Criptografia post-cuantică: avertismentele Europol și GAO

În aceeași săptămână, două instituții, una europeană și una americană, au cerut accelerarea migrării la criptografia post-cuantică (PQC). Europol a publicat două rapoarte pe 7 octombrie 2026; Government Accountability Office (GAO), organismul care controlează cheltuielile guvernului federal al Statelor Unite, a publicat unul pe 6 octombrie. În aceleași zile, un studiu al F5 Labs, preluat de CSO Online, a măsurat cât de răspândită este de fapt PQC pe web.

Nu există un CVE de corectat și nici un produs de actualizat în grabă: tema este criptografia pe care se bazează astăzi schimbul de chei și semnăturile digitale, pe care un computer cuantic suficient de puternic ar putea-o sparge. Unele contramăsuri pot fi însă aplicate imediat.

Ce s-a întâmplat

Europol a publicat două studii:

• primul evaluează cum comunicațiile criptate și fișierele stocate pot deveni vulnerabile la atacurile harvest now, decrypt later (HNDL): date furate astăzi și păstrate pentru a fi decriptate când va fi posibil. Potrivit Europol, expunerea unei organizații depinde de protocoalele, configurațiile și gestionarea cheilor pe care le folosește;
• al doilea privește portofelele de criptomonede: potrivit Europol, criptomonedele nu se vor prăbuși din cauza calculului cuantic, dar securitatea lor pe termen lung cere o tranziție treptată la algoritmi rezistenți.

GAO a publicat versiunea cenzurată a unui raport trimis agențiilor federale în septembrie 2025. A formulat 89 de recomandări pentru 23 de agenții în trei domenii: un inventar prioritizat al criptografiei vulnerabile, estimarea fondurilor necesare pentru PQC și testarea PQC. Niciuna dintre agențiile analizate nu le-a acoperit complet pe toate trei. Cauzele indicate: lipsa expertizei în criptografie, a proceselor pentru realizarea inventarelor și estimarea fondurilor și a planurilor de testare.

Când va veni „Q-day”

Nu există un consens privind momentul în care vor apărea computerele cuantice relevante criptografic (CRQC). Sursele îl citează pe Google, dar diferit: potrivit Infosecurity Magazine, în martie Google a indicat că ar putea apărea chiar din 2029; potrivit CyberScoop, Google și-a fixat anul 2029 ca țintă pentru propria tranziție la PQC. CyberScoop mai menționează o cercetare a Oratomic, spin-off al Caltech, potrivit căreia un CRQC ar putea necesita resurse fizice mult mai mici decât estimările anterioare.

Pentru cei care apără sistemele, data contează mai puțin decât pare: datele care trebuie să rămână confidențiale ani de zile sunt deja expuse la HNDL. Riscul a fost recunoscut și de ordinul Casei Albe din iunie, care, potrivit CyberScoop, cere sistemelor federale de mare valoare să adopte PQC pentru stabilirea cheilor până la sfârșitul lui 2030 și pentru semnăturile digitale până la sfârșitul lui 2031. Pentru sistemele de securitate națională, NSA mută deja sistemele clasificate către standardele CNSA 2.0.

Cât de avansată este migrarea: datele F5 Labs

Potrivit F5 Labs, 54% din primul milion de site-uri web acceptă schimbul de chei post-cuantic. Cifra trebuie însă nuanțată:

• o mare parte din acest suport vine de la CDN-uri care au activat PQC implicit: fără site-urile găzduite de Cloudflare, procentul scade la 22%;
• studiul analizează doar partea publică a site-ului, nu legătura dintre CDN și serverul de origine și nici traficul intern, care, potrivit F5 Labs, poate fi o țintă și mai atractivă pentru HNDL;
• mai mult de un site din zece nu acceptă încă TLS 1.3, condiție prealabilă pentru schimbul de chei post-cuantic testat;
• printre site-urile din administrația publică și telecomunicații, suportul se oprește la 35%;
• cifra măsoară schimbul de chei: certificatele PQC nu sunt încă disponibile pentru internetul public, iar dimensiunea lor mai mare va crea probleme. Potrivit F5 Labs, Merkle Tree Certificates ar trebui să ajute browserele, dar multe alte medii vor avea nevoie de certificate PQC.

Sursele nu sunt complet de acord asupra interpretării. Keyfactor, citată de CSO Online, consideră că datele de pe web nu reflectă programele PQC ale companiilor, mai avansate în finanțe, telecomunicații și administrația publică, cu sănătatea în accelerare. Deloitte avertizează în schimb că un plan matur nu înseamnă o migrare încheiată. Potrivit unui sondaj KPMG din iunie, citat de CSO Online, doar 27% dintre CISO implementează PQC.

În privința standardelor, NIST a finalizat primele standarde PQC în 2024; potrivit PQShield, IETF a publicat abia în august 2026 standardul mecanismelor hibride de schimb de chei pentru TLS 1.3.

Impactul pentru companiile europene și italiene

Recomandările Europol se aplică oricărei organizații. Sursele indică drept cele mai expuse sectoarele cu date care rămân sensibile mult timp: finanțe (module HSM, infrastructuri de plată, PKI și servicii terțe), telecomunicații, sănătate, administrație publică și mediile industriale cu OT care va rămâne în funcțiune ani de zile.

Pentru entitățile NIS2, politicile privind utilizarea criptografiei fac parte din măsurile de gestionare a riscurilor cerute de directivă: inventarul criptografiei este și punctul de plecare pentru migrarea la PQC. Un CDN cu PQC activă protejează porțiunea dintre utilizator și CDN, nu originea, API-urile interne, traficul dintre servicii sau PKI-ul companiei.

Ce trebuie făcut acum

1. Întărește protocoalele, așa cum cere Europol: TLS 1.3 și SSH2, protocoale învechite dezactivate și forward secrecy impusă.
2. Redu datele stocate: identifică și șterge datele sensibile de care nu mai ai nevoie, pentru a limita ce poate colecta un atacator astăzi.
3. Fă inventarul criptografiei dincolo de site-ul web: aplicații interne, API-uri, VPN, SSH, sisteme de identitate, semnarea codului și biblioteci încorporate. Păstrează-l într-un cryptographic bill of materials, cu un responsabil.
4. Stabilește priorități: datele care trebuie să rămână confidențiale ani de zile și sistemele care se schimbă cel mai greu.
5. Adoptă schimbul de chei hibrid acolo unde este disponibil, verificând și legătura dintre CDN și origine.
6. Automatizează gestionarea certificatelor, în vederea certificatelor de 47 de zile, ca să poți schimba algoritmi și certificate fără proiecte extraordinare.
7. Planifică fondurile și testele, două dintre cele trei domenii în care GAO a găsit lacune la agențiile federale.

Cum ajută ARXDOME

ARX Expose arată ce parte a companiei tale este vizibilă de pe internet, inclusiv certificate, porturi deschise și produse recunoscute: un punct de plecare pentru partea externă a inventarului. ARX Sentry colectează inventarul de sisteme, software și porturi al mașinilor monitorizate, util pentru a identifica unde trebuie intervenit în interior.

Ultima actualizare: 8 octombrie 2026