Komputery kwantowe mogą w przyszłości złamać współczesne metody szyfrowania i zagrozić cyfrowym tożsamościom. Microsoft ogłosił kompleksową strategię, która ma zapewnić bezpieczeństwo danych klientów i partnerów jeszcze przed nadejściem ery skalowalnych maszyn kwantowych. Firma nie tylko wdraża nowe algorytmy, ale także współtworzy standardy, które mają obowiązywać na całym świecie.
Microsoft buduje fundamenty bezpieczeństwa post-kwantowego
Choć skalowalne komputery kwantowe pozostają w fazie badań, ich potencjalna moc obliczeniowa już dziś stanowi wyzwanie dla stosowanych metod szyfrowania. Algorytmy takie jak RSA czy ECDSA, powszechnie używane do zabezpieczenia komunikacji i podpisów cyfrowych, mogą zostać złamane w perspektywie kilkunastu lat. Dlatego, jak podkreślają Mark Russinovich i Michal Braverman-Blumenstyk, przygotowania muszą rozpocząć się natychmiast.
Microsoft rozwija własne podejście do post-quantum cryptography (PQC) od 2014 roku, uczestnicząc w projektach badawczych NIST i testując w praktyce nowe algorytmy. W 2019 r. zrealizowano eksperymentalne połączenie VPN oparte na PQC pomiędzy ośrodkiem w Redmond a podwodnym centrum danych Project Natick w Szkocji. Firma współtworzy także standardy ISO i IETF, a w ramach Open Quantum Safe Project udostępnia otwarte implementacje nowych rozwiązań.
Strategia QSP i trzy etapy wdrożenia
W 2023 r. Microsoft powołał Quantum Safe Program (QSP), który integruje działania wszystkich działów badawczych i inżynieryjnych. Celem jest pełna odporność produktów i usług firmy na ataki kwantowe do 2033 r., czyli dwa lata przed terminem wyznaczonym przez większość rządów.
Plan obejmuje trzy fazy:
- Fundamentalne komponenty bezpieczeństwa – modernizacja biblioteki SymCrypt i integracja algorytmów PQC, takich jak ML-KEM czy ML-DSA, w Windows i Linuksie. Aktualizacja obejmuje również obsługę hybrydowych metod wymiany kluczy w protokole TLS, co pozwoli przeciwdziałać atakom Harvest Now, Decrypt Later.
- Infrastruktura krytyczna – wdrożenie PQC w usługach uwierzytelniania Entra, zarządzaniu kluczami i usługach podpisu cyfrowego, które stanowią kręgosłup bezpieczeństwa w chmurze i systemach operacyjnych Microsoftu.
- Wszystkie usługi i urządzenia końcowe – sukcesywne rozszerzanie ochrony na Windows, Azure, Microsoft 365, platformy danych, usługi AI oraz sieciowe.
Według planu pierwsze szerokie wdrożenia nastąpią już w 2029 r., a następnie algorytmy PQC staną się domyślnym standardem w kolejnych latach.
Globalne standardy
Microsoft aktywnie współpracuje z instytucjami regulacyjnymi w USA i na świecie. Program QSP jest zgodny z wytycznymi amerykańskiego Biura Zarządzania i Budżetu (OMB), agencji CISA, NIST oraz NSA. Firma monitoruje także inicjatywy UE, Japonii, Kanady, Australii i Wielkiej Brytanii, aby zapewnić interoperacyjność i jednolitość standardów globalnych.
Eksperci podkreślają, iż migracja do PQC nie będzie prostym „przełączeniem wtyczki”, ale wieloletnim procesem wymagającym aktualizacji systemów, testów i budowy tzw. crypto-agility, czyli umiejętności szybkiej wymiany algorytmów w razie potrzeby. Dla wielu organizacji może to być również okazja do modernizacji przestarzałych systemów i uporządkowania praktyk bezpieczeństwa.
