นักวิทยาศาสตร์กำลังสร้างเกราะป้องกันควอนตัมให้โลกดิจิทัลตั้งแต่วันนี้

ความเสี่ยงควอนตัมคืออะไร และทำไมต้องเริ่มกังวลตั้งแต่ตอนนี้

ความเสี่ยงควอนตัม คือความเสี่ยงที่คอมพิวเตอร์ควอนตัมในอนาคตจะทำลายระบบการเข้ารหัสแบบกุญแจสาธารณะที่ใช้ปกป้องข้อมูล การเงิน และตัวตนบนโลกดิจิทัลในปัจจุบัน ความเสี่ยงนี้ไม่ได้อยู่ที่วันนี้มีเครื่องโจมตีสำเร็จแล้ว แต่อยู่ที่ข้อมูลที่ถูกเก็บไปตอนนี้สามารถถูกถอดรหัสภายหลังเมื่อเทคโนโลยีควอนตัมพัฒนาเพียงพอ ทำให้ความปลอดภัยดิจิทัลแบบเดิมเริ่มไม่เพียงพออีกต่อไป

ประเด็นสำคัญคือ ปัจจุบันเรายังไม่มีคอมพิวเตอร์ควอนตัมที่สามารถโจมตีการเข้ารหัสได้ในทางปฏิบัติ แต่โครงสร้างพื้นฐานดิจิทัลจำนวนมากถูกออกแบบให้ใช้งานยาวนาน ข้อมูลธุรกรรม สัญญา และตัวตนดิจิทัลไม่ได้หายไปในไม่กี่ปี ความเสี่ยงจึงยืดข้ามเวลาไปถึงวันที่เทคโนโลยีควอนตัมพร้อม คำถามที่องค์กรควรถามตัวเองจึงไม่ใช่ว่าเมื่อไรควอนตัมจะโจมตีได้ แต่คือจะเตรียมความปลอดภัยดิจิทัลให้รับมือความเสี่ยงควอนตัมทันเวลาก่อนถึงวันนั้นได้อย่างไร

จากความเสี่ยงควอนตัมสู่การเข้ารหัสหลังควอนตัม: โลกไม่ได้รอให้เครื่องพร้อมก่อนค่อยป้องกัน

ท่าทีของประเทศชั้นนำชัดเจนว่า โลกไม่ควรรอให้คอมพิวเตอร์ควอนตัมพร้อมโจมตีก่อน ถึงค่อยขยับเรื่องการเข้ารหัสหลังควอนตัม การทำงานของคณะทำงานด้านความมั่นคงปลอดภัยไซเบอร์ของกลุ่ม G7 แสดงให้เห็นว่า การยอมรับความเสี่ยงควอนตัมเป็นเรื่องจริงจัง และการวางมาตรฐานเพื่อรองรับการเข้ารหัสรูปแบบใหม่ต้องเริ่มตั้งแต่ก่อนภัยจะเกิดขึ้น โดยแนวคิดคือแบ่งการเปลี่ยนผ่านเป็นระยะและจัดลำดับตามความเสี่ยงของแต่ละระบบ

การเข้ารหัสหลังควอนตัมไม่ได้เป็นเพียงเทคโนโลยีที่สวยหรูบนเวทีสัมมนา แต่กำลังกลายเป็นข้อกำหนดด้านความปลอดภัยใหม่ในระดับชาติและระดับอุตสาหกรรม การแทรก PQC เข้าไปในมาตรฐานความมั่นคงปลอดภัยและการจัดซื้อภาครัฐถูกเสนอให้เป็นทางบังคับเพื่อดันตลาดไปข้างหน้า มุมมองนี้ชัดเจนว่าใครรอ ย่อมเสี่ยงเป็นฝ่ายเสียเปรียบ เพราะเมื่อมาตรฐานใหม่กลายเป็นข้อบังคับ องค์กรที่ไม่เริ่มเตรียมวันนี้จะต้องเร่งเปลี่ยนอย่างตื่นตระหนกในวันข้างหน้า

องค์กรควรเริ่มอย่างไร: ย้ายสู่โลก quantum-safe โดยไม่ต้องรื้อระบบทั้งหมด

เมื่อพูดถึงการเปลี่ยนผ่านสู่ยุค quantum-safe หลายองค์กรกังวลว่าจะต้องลงทุนครั้งใหญ่และรื้อโครงสร้างพื้นฐานทั้งหมด ทั้งที่ข้อเท็จจริงคือ การเตรียมความพร้อมสามารถทำแบบค่อยเป็นค่อยไปได้โดยผูกเข้ากับรอบอัปเกรดระบบตามปกติ จุดเริ่มต้นไม่ใช่การซื้อเทคโนโลยีใหม่ แต่คือการรู้ว่าองค์กรมีทรัพย์สินเข้ารหัสอะไรอยู่บ้าง ใช้อัลกอริทึมอะไร และเชื่อมโยงกับระบบหรือคู่ค้าใด

คณะทำงานด้านความมั่นคงปลอดภัยไซเบอร์ของกลุ่ม G7 แนะนำให้เริ่มจากการสำรวจ cryptographic assets จากนั้นจัดลำดับว่าอะไรสำคัญสูงและมีอายุข้อมูลยาวนาน แล้วจึงกำหนดแผนการย้ายสู่ PQC แบบเป็นเฟส ที่สำคัญคือไม่จำเป็นต้องรอคอมพิวเตอร์ควอนตัมที่มีศักยภาพโจมตีจริง หรือ CRQC ก่อนค่อยเริ่ม เพราะการเตรียมตัวล่วงหน้าช่วยลดความเสี่ยงและหลีกเลี่ยงการเปลี่ยนแปลงแบบเร่งด่วนในอนาคต กล่าวง่ายๆ คือยิ่งเริ่มเร็ว ยิ่งมีสิทธิ์ควบคุมเกมมากกว่าถูกเกมควบคุม

บล็อกเชนและควอนตัม: เมื่อข้อมูลที่อยู่ยาวนานต้องเตรียมรับมือภัยเก็บวันนี้ ถอดรหัสทีหลัง

โลกของบล็อกเชนและควอนตัมกำลังมาบรรจบกันในจุดที่หลายคนอาจมองข้าม ความเสี่ยงแบบ Harvest Now Decrypt Later หรือการเก็บข้อมูลวันนี้แล้วรอถอดรหัสในอนาคต เป็นภัยที่กระทบเครือข่ายบล็อกเชนโดยตรง เพราะข้อมูลธุรกรรม เงินทุน ตัวตน และสัญญาบนเครือข่ายถูกออกแบบให้คงอยู่ยาวนาน หากผู้โจมตีบันทึกข้อมูลที่เข้ารหัสไว้ตอนนี้ เมื่อควอนตัมพร้อม ข้อมูลทั้งหมดอาจถูกเปิดเผยในภายหลัง

ท่าทีของนักวิจัยบล็อกเชนชัดเจนว่าเครือข่ายไม่ควรรอให้ควอนตัมโจมตีสำเร็จก่อนจึงค่อยปรับโครงสร้าง ตัวอย่างเช่น การสนับสนุนงานวิจัยด้านการเข้ารหัสหลังควอนตัมสำหรับเครือข่ายขนาดใหญ่ และการเลือกใช้ลายเซ็นดิจิทัลที่มีคุณสมบัติต้านภัยควอนตัมเพื่อปกป้องประวัติของเครือข่ายในระยะยาว การเปลี่ยนผ่านนี้ไม่ได้เป็นแค่เรื่องเทคนิค แต่เกี่ยวข้องกับความเชื่อมั่นในระบบการเงินและโครงสร้างพื้นฐานดิจิทัลใหม่ทั้งหมด ใครออกตัวก่อนย่อมมีข้อได้เปรียบทางความปลอดภัยและความน่าเชื่อถือ

ยุทธศาสตร์รับมือความเสี่ยงควอนตัม: จากระดับองค์กรสู่ระดับประเทศ

เมื่อความเสี่ยงควอนตัมเป็นมากกว่าปัญหาเทคนิค การตอบสนองจึงต้องยกทั้งระบบ ไม่ใช่ปล่อยให้องค์กรรายใดรายหนึ่งรับภาระลำพัง บทความด้านความปลอดภัยยุคควอนตัมชี้ว่าการเปลี่ยนผ่านสู่การเข้ารหัสหลังควอนตัมต้องอาศัยความร่วมมือระหว่างภาครัฐ ภาคเอกชน และภาคอุตสาหกรรม ตั้งแต่มาตรฐาน แนวทางกำกับดูแล ผลิตภัณฑ์ที่รองรับ ไปจนถึงการทำงานร่วมกันของระบบ หากระดับนโยบายไม่ขยับ ระดับองค์กรก็จะลังเลในการลงทุน

ข้อความสำคัญที่ผู้เขียนเห็นด้วยอย่างยิ่งคือ การมองภัยควอนตัมไม่ใช่แค่ cryptographic risk แต่เป็น business risk ที่กระทบทั้งข้อมูลสำคัญ ความต่อเนื่องทางธุรกิจ และความสามารถในการแข่งขัน การสนับสนุน R&D โครงการทดสอบจริง และความร่วมมือระหว่างรัฐ อุตสาหกรรม และสถานศึกษา คือเครื่องยนต์ที่จะทำให้เทคโนโลยี quantum-safe ออกจากห้องทดลองสู่การใช้งานจริง หากเราเลือกจะรอ จะแปลว่าปล่อยให้คนอื่นกำหนดมาตรฐานและกติกาความปลอดภัยดิจิทัลแทนเรา