به گزارش ستاد رویداد تراکنش ایران، نشست تخصصی «گذار به رمزنگاری پساکوانتومی در شبکه پرداخت و زیرساخت کلید عمومی» با حضور جمعی از مدیران و متخصصان امنیت اطلاعات، رمزنگاری و فناوری بانکی برگزار شد. صادق انصاری، مدیر امنیت اطلاعات و فناوری اطلاعات شرکت ملی انفورماتیک، وحید خدابخشی، مدیرعامل شرکت مدیریت امن الکترونیکی (کاشف)، محمد ذوالفقاریپور، محقق رمزنگاری پساکوانتومی در شرکت ملی انفورماتیک، حمیدرضا شهریاری، عضو هیئت علمی دانشگاه صنعتی امیرکبیر و سجاد طرهانی، مدیر ماهر شرکت کاشف، از سخنرانان و حاضران این نشست بودند. مباحث این برنامه بر پیامدهای پیشرفت رایانش کوانتومی برای امنیت ارتباطات مالی، ضرورت بازنگری در الگوریتمهای رمزنگاری و چگونگی آغاز فرایند مهاجرت در شبکه بانکی متمرکز بود.
رایانش کوانتومی میتواند مبانی امنیت ارتباطات دیجیتال را تغییر دهد
حمیدرضا شهریاری، عضو هیئت علمی دانشگاه صنعتی امیرکبیر، در آغاز نشست با اشاره به سرعت گسترش فناوریهایی مانند رایانش ابری، کلانداده و هوش مصنوعی توضیح داد که بسیاری از فناوریهای امروز، زمانی پدیدههایی نوظهور و دور از دسترس تلقی میشدند. او با طرح موضوع آینده رایانش کوانتومی، ضرورت شناخت تهدیدهای احتمالی این فناوری برای امنیت اطلاعات و بررسی پیامدهای آن بر زیرساختهای بانکی را مورد توجه قرار داد.
محمد ذوالفقاریپور، محقق رمزنگاری پساکوانتومی در شرکت ملی انفورماتیک، در ادامه با تشریح مفهوم «اکنون جمعآوری کن، بعداً رمزگشایی کن» توضیح داد که مهاجمان ممکن است اطلاعات رمزگذاریشده را از امروز جمعآوری و ذخیره کنند تا در آینده، با دسترسی به رایانههای کوانتومی توانمند، امکان رمزگشایی آنها را به دست آورند. این تهدید بهویژه برای اطلاعاتی اهمیت دارد که باید برای سالهای طولانی محرمانه باقی بمانند؛ زیرا ممکن است دادههای محافظتشده با الگوریتمهای متداول، در آینده در معرض افشا قرار گیرند.
ذوالفقاریپور با اشاره به الگوریتم شور توضیح داد که رایانههای کوانتومی برخوردار از توان محاسباتی کافی میتوانند برخی مسائل ریاضی زیربنای رمزنگاری نامتقارن را با سرعتی بسیار بیشتر از روشهای شناختهشده کلاسیک حل کنند. این مسئله الگوریتمهایی مانند RSA و ECC را که در سازوکارهای تبادل کلید، امضای دیجیتال و احراز اصالت کاربرد دارند، با تهدید مواجه میکند. او همچنین به تجربه چین در توسعه ارتباطات کوانتومی و ایجاد یک مسیر ارتباطی حدود ۱۴۰۰ کیلومتری مبتنی بر توزیع کلید کوانتومی اشاره کرد و از آزمایشهایی در زمینه تبادل امن اطلاعات بانکی بر بستر این فناوری سخن گفت.
استانداردهای جدید، مسیر جایگزینی الگوریتمهای آسیبپذیر را فراهم میکنند
بخش دیگری از سخنان ذوالفقاریپور به روند توسعه استانداردهای رمزنگاری پساکوانتومی اختصاص داشت. او توضیح داد که مؤسسه ملی استاندارد و فناوری آمریکا (NIST) با برگزاری فرایندی چندمرحلهای و دریافت پیشنهادهای پژوهشگران و متخصصان رمزنگاری، مجموعهای از الگوریتمهای مقاوم در برابر حملات شناختهشده کوانتومی را ارزیابی و استانداردسازی کرده است. هدف از این اقدامات، فراهم کردن جایگزینهایی برای سازوکارهایی است که امنیت آنها با ظهور رایانههای کوانتومی توانمند به خطر میافتد.
این پژوهشگر با اشاره به استانداردهای FIPS 203، FIPS 204 و FIPS 205، دو استاندارد نخست را از مهمترین موارد مرتبط با نیازهای زیرساخت بانکی دانست. استاندارد FIPS 203 با عنوان ML-KEM برای کپسولهسازی کلید طراحی شده و از طرح CRYSTALS-Kyber توسعه یافته است. استاندارد FIPS 204 نیز با عنوان ML-DSA، مبتنی بر طرح CRYSTALS-Dilithium است و در حوزه امضای دیجیتال کاربرد دارد. او توضیح داد که هر دو استاندارد بر مبنای مسائل ریاضی مرتبط با شبکهها طراحی شدهاند و میتوانند در مسیر نوسازی سازوکارهای امنیتی مورد استفاده قرار گیرند.
ذوالفقاریپور با اشاره به آغاز پیادهسازی و آزمایش این الگوریتمها در خدمات برخی شرکتهای فناوری از جمله گوگل و کلادفلر، تأکید کرد که بانکها نیز باید بهتدریج برای استفاده از استانداردهای جدید آماده شوند. به اعتقاد او، نقطه آغاز این فرایند، شناخت دقیق محل استفاده از الگوریتمهای فعلی و تهیه تصویری جامع از داراییهای رمزنگاری سازمان است؛ زیرا بدون اطلاع از وضعیت موجود، امکان تعیین اولویتهای فنی و اجرایی مهاجرت وجود نخواهد داشت.
تهدید کوانتومی زنجیره اعتماد و زیرساخت کلید عمومی را هدف میگیرد
صادق انصاری، مدیر امنیت اطلاعات و فناوری اطلاعات شرکت ملی انفورماتیک، با بررسی مبانی ریاضی رمزنگاری متداول توضیح داد که نگرانی از رایانش کوانتومی به توانایی بالقوه این فناوری در حل مسائلی بازمیگردد که امنیت بسیاری از ارتباطات دیجیتال بر دشواری آنها استوار است. او با اشاره به پژوهش پیتر شور در سال ۱۹۹۴ گفت الگوریتم شور نشان داد که در صورت توسعه رایانههای کوانتومی به سطح توانمندی لازم، برخی فرضهای امنیتی مورد استفاده در رمزنگاری نامتقارن دیگر قابل اتکا نخواهند بود.
انصاری برای تشریح اهمیت موضوع به سازوکار ارتباطات امن اینترنتی و کاربرد پروتکل HTTPS در خدماتی مانند همراهبانک اشاره کرد. او توضیح داد که سامانههای ارتباطی برای احراز هویت، ایجاد ارتباط امن و محافظت از اطلاعات به مجموعهای از الگوریتمهای رمزنگاری متقارن و نامتقارن وابستهاند. بنابراین، آسیبپذیر شدن سازوکارهای نامتقارن تنها یک مسئله محدود به چند نرمافزار نیست و میتواند اجزای مهم زیرساخت کلید عمومی (PKI)، گواهیهای دیجیتال و زنجیره اعتماد در ارتباطات الکترونیکی را تحت تأثیر قرار دهد.
او همچنین مفهوم «روز کوانتومی» یا Q-Day را مطرح کرد؛ اصطلاحی که به زمان دستیابی به توان عملی لازم برای شکستن الگوریتمهای رمزنگاری آسیبپذیر در برابر حملات کوانتومی اشاره دارد. انصاری تأکید کرد که حتی اگر زمان دقیق تحقق چنین توانمندی مشخص نباشد، تهدید ذخیرهسازی اطلاعات رمزگذاریشده برای رمزگشایی در آینده، ضرورت برنامهریزی پیش از رسیدن به این مرحله را افزایش میدهد.
مهاجرت پساکوانتومی به برنامهریزی ملی و اولویتبندی نیاز دارد
انصاری در ادامه دو رویکرد توزیع کلید کوانتومی (QKD) و رمزنگاری پساکوانتومی (PQC) را از مسیرهای مطرح برای مقابله با تهدیدهای آینده معرفی کرد. او توضیح داد که در روش نخست، از ویژگیهای فیزیک کوانتومی برای توزیع کلید استفاده میشود و اجرای آن به زیرساختهای تخصصی و سرمایهگذاری قابلتوجه نیاز دارد. در مقابل، رمزنگاری پساکوانتومی بر الگوریتمهایی استوار است که روی سامانههای محاسباتی متداول نیز قابل پیادهسازی هستند و برای مقاومت در برابر حملات شناختهشده رایانههای کوانتومی طراحی شدهاند.
مدیر امنیت اطلاعات و فناوری اطلاعات شرکت ملی انفورماتیک با اشاره به تجربه کشورهایی مانند فرانسه، بریتانیا و آمریکا، تدوین نقشه راه ملی، تعیین مسئولیت نهادهای متولی و شناسایی سامانههای آسیبپذیر را از اقدامات ضروری برای آغاز مهاجرت دانست. او همچنین به تجربه عربستان سعودی در الزام سازمانهای حیاتی به ارزیابی ریسکهای رمزنگاری و طرح این موضوع در سطوح مدیریتی اشاره کرد و از ارزیابی آمادگی بانکها در هنگکنگ بهعنوان نمونهای از تلاش نهادهای نظارتی برای شناخت وضعیت موجود نام برد.
انصاری در تشریح اقدامات داخلی نیز از همکاری بانک مرکزی و معاونت علمی، فناوری و اقتصاد دانشبنیان ریاستجمهوری سخن گفت و به تفاهمنامهای با حضور حسین افشین، معاون علمی رئیسجمهور، اشاره کرد. به گفته او، برنامه ایجاد شرکت توسعه ملی کوانتومی، راهاندازی آزمایشگاههای تخصصی برای ارزیابی الگوریتمهای داخلی و توسعه همکاری با دانشگاهها از جمله اقداماتی است که برای تقویت ظرفیتهای علمی و اجرایی کشور مطرح شدهاند. او این اقدامات را زمینهای برای افزایش توان داخلی در حوزه فناوریهای کوانتومی و آمادهسازی زیرساختهای امنیتی دانست.
تهدیدهای آینده نباید امنیت امروز بانکها را به حاشیه ببرند
حمیدرضا شهریاری در بخش دیگری از نشست با تأکید بر ضرورت حفظ تعادل میان آمادگی برای آینده و مقابله با تهدیدهای فعلی، نسبت به هزینهکرد شتابزده در پروژههای مهاجرت پساکوانتومی هشدار داد. او توضیح داد که شبکه بانکی هماکنون نیز با مخاطرات امنیتی متعددی روبهرو است و تخصیص منابع باید با توجه به میزان فوریت تهدیدها، ظرفیت اجرایی سازمانها و آثار احتمالی هر مخاطره انجام شود.
شهریاری برای روشن شدن دیدگاه خود، وضعیت سازمان را به خودرویی تشبیه کرد که لاستیک آن پنچر شده است و در چنین شرایطی، رسیدگی به مشکل فعلی را مقدم بر برنامههای بلندمدت نگهداری دانست. او تأکید کرد که این اولویتبندی به معنای نادیده گرفتن تهدید کوانتومی نیست؛ بلکه بانکها باید از هماکنون آموزش، مطالعه، ارزیابی و برنامهریزی را آغاز کنند، بدون آنکه منابع حیاتی مورد نیاز برای مقابله با مخاطرات جاری صرف اجرای عجولانه و گسترده فناوریهای جدید شود.
این عضو هیئت علمی دانشگاه صنعتی امیرکبیر با اشاره به تجربه اجرای نظام مدیریت امنیت اطلاعات (ISMS) در کشور، توضیح داد که صدور بخشنامه و الزام سازمانها به پیادهسازی یک چارچوب امنیتی، بهتنهایی موفقیت آن را تضمین نمیکند. او با یادآوری بخشنامه سال ۱۳۸۴ درباره استقرار ISMS در دستگاههای دولتی و بانکها، به کاستیهای باقیمانده در اجرای اثربخش این نظام اشاره کرد و گفت ضعف شناخت کارفرمایان، پیمانکاران و مشاوران از ماهیت پروژههای امنیتی میتواند حتی با وجود تخصیص بودجه، مانع دستیابی به اهداف مورد انتظار شود.
شهریاری همچنین با تفکیک مفاهیم امنیت مطلق و امنیت محاسباتی، بر اهمیت تناسب سطح محافظت با ارزش و عمر محرمانگی دادهها تأکید کرد. به گفته او، در ارزیابی امنیت محاسباتی باید هزینه و زمان لازم برای شکستن رمز با ارزش اطلاعات و مدتزمانی که محرمانگی آنها اهمیت دارد، سنجیده شود. از این منظر، برنامه مهاجرت باید متناسب با سطح بلوغ فنی و مدیریتی هر سازمان طراحی شود و نمیتوان یک نسخه یکسان برای تمام بانکها و شرکتهای مالی در نظر گرفت.
شناسایی داراییهای رمزنگاری نخستین گام عملیاتی مهاجرت است
وحید خدابخشی، مدیرعامل شرکت مدیریت امن الکترونیکی (کاشف)، با تأکید بر ضرورت تبدیل مباحث نظری به برنامههای اجرایی، تهیه فهرستی جامع از داراییهای رمزنگاری را نقطه شروع مهاجرت پساکوانتومی دانست. او توضیح داد که بانکها باید ابتدا مشخص کنند در کدام سامانهها، ارتباطات و تجهیزات از الگوریتمهای رمزنگاری استفاده میشود، کلیدهای امنیتی در چه بخشهایی قرار دارند و در صورت آسیبپذیر شدن هر سازوکار، چه خدمات و اطلاعاتی در معرض خطر خواهند بود.
خدابخشی با اشاره به تفاوت تأثیر رایانش کوانتومی بر الگوریتمهای متقارن و نامتقارن توضیح داد که الگوریتم شور، RSA و ECC را با تهدید مواجه میکند، در حالی که الگوریتم گروور میتواند پیچیدگی جستوجوی فراگیر کلید را در رمزنگاری متقارن کاهش دهد. او تأکید کرد که این تفاوتها باید در ارزیابی ریسک مورد توجه قرار گیرند و همه اطلاعات رمزگذاریشده یا اجزای زیرساخت بانکی نباید با یک سطح از حساسیت و فوریت بررسی شوند.
مدیرعامل شرکت کاشف چهار حوزه اصلی را برای ارزیابی آثار تهدیدهای کوانتومی معرفی کرد که شامل دادههای ذخیرهشده، ارتباطات رمزگذاریشده، تجهیزات امنیتی و زیرساخت کلید عمومی است. به گفته او، در حوزه دادهها باید محل واقعی نگهداری اطلاعات حساس و کلیدهای رمزنگاری شناسایی شود و در بخش ارتباطات نیز تونلهای امن، سازوکارهای تبادل کلید و امضای دیجیتال مورد بررسی قرار گیرند. تجهیزات تخصصی مانند ماژولهای امنیتی سختافزاری (HSM) و زنجیره اعتماد گواهیهای دیجیتال نیز از دیگر اجزایی هستند که باید در فهرست ارزیابی قرار بگیرند.
خدابخشی همچنین پیشنهاد کرد بانکها با در نظر گرفتن افقهای زمانی متفاوت، از جمله چهار، هفت و ۱۰ سال آینده، میزان حساسیت داراییها و مدتزمان مورد نیاز برای حفاظت از آنها را ارزیابی کنند. چنین رویکردی امکان میدهد اولویت مهاجرت براساس اهمیت واقعی اطلاعات، عمر محرمانگی دادهها و میزان آسیبپذیری سامانهها تعیین شود و منابع سازمانها به بخشهایی اختصاص یابد که بیشترین نیاز به محافظت دارند.
اجرای آزمایشی باید از بخشهای کمحساسیت شبکه بانکی آغاز شود
خدابخشی در پاسخ به پرسشی درباره چگونگی آغاز مهاجرت، ایجاد محیطهای آزمایشگاهی و اجرای طرحهای پایلوت را از اقدامات ضروری دانست. او توضیح داد که الگوریتمها و راهکارهای جایگزین باید پیش از ورود به بخشهای حساس شبکه بانکی، از نظر امنیت، کارایی، قابلیت اطمینان و سازگاری با سامانههای موجود ارزیابی شوند. همچنین لازم است زیرساختها بهگونهای طراحی شوند که تغییر و بهروزرسانی الگوریتمهای رمزنگاری در آینده با کمترین اختلال امکانپذیر باشد.
مدیرعامل شرکت کاشف پیشنهاد کرد آزمونهای اولیه در بخشهایی با حساسیت کمتر، مانند ارتباطات رمزگذاریشده میان دو سامانه داخلی، دو رابط برنامهنویسی یا دو ماشین انجام شوند. به اعتقاد او، انتخاب چنین محیطهایی میتواند امکان بررسی عملکرد الگوریتمهای جدید و شناسایی مشکلات فنی را بدون ایجاد ریسک گسترده برای خدمات حیاتی فراهم کند و نتایج آن مبنایی برای تصمیمگیری درباره مراحل بعدی مهاجرت باشد.
خدابخشی همچنین از برنامه شرکت کاشف برای نقشآفرینی در ایجاد محیط آزمایشگاهی یا سندباکس مهاجرت پساکوانتومی در حوزه بانکی سخن گفت. این محیط با هدف شبیهسازی بخشهایی از معماری واقعی شبکه بانکی و آزمون راهکارهای جایگزین پیش از استقرار گسترده در نظر گرفته شده است. او با اشاره به وجود ظرفیتهای تخصصی در کشور تأکید کرد که توان داخلی هنوز به سطح آمادگی عملیاتی کامل نرسیده و لازم است توسعه دانش فنی، ایجاد زیرساختهای آزمایشی و تربیت نیروی متخصص بهصورت همزمان دنبال شود.
مهاجرت پساکوانتومی فرصتی برای نوسازی امنیت شبکه بانکی است
محمد ذوالفقاریپور در بخش دیگری از نشست، مهاجرت به رمزنگاری پساکوانتومی را فرصتی برای بازنگری در معماری امنیتی شبکه بانکی و شناسایی ضعفهای انباشته زیرساختها دانست. او با اشاره به استفاده از برخی الگوریتمهای قدیمی مانند Triple DES در بخشهایی از زیرساختها توضیح داد که حرکت به سمت استانداردهای جدید میتواند همزمان زمینه بررسی وضعیت تجهیزات، سامانههای نرمافزاری و روشهای کنونی مدیریت کلید را فراهم کند.
ذوالفقاریپور همچنین به نبود نقشه جامع از داراییهای رمزنگاری در برخی بانکها اشاره کرد و گفت حتی در مجموعههایی که فرایند ادغام سازمانی را تجربه کردهاند، ممکن است تصویر یکپارچهای از الگوریتمها، تجهیزات و ساختار امنیتی تمام بخشهای شبکه وجود نداشته باشد. به گفته او، شناسایی این داراییها میتواند مشکلات قدیمی و نقاط ضعف پنهان را آشکار کند و برنامه مهاجرت را به فرصتی برای اصلاح و نوسازی زیرساختهای فناوری تبدیل کند.
این پژوهشگر با اشاره به هزینه بالای تجهیزات امنیتی جدید، بر اهمیت توسعه محصولات بومی و تقویت توان ساخت تجهیزات رمزنگاری تأکید کرد. او در عین حال توضیح داد که همه مراحل مهاجرت الزاماً به جایگزینی سختافزار نیاز ندارند و بخشی از تغییرات ممکن است از طریق بهروزرسانی نرمافزارها و پیادهسازی الگوریتمهای جدید در سامانههای موجود، از جمله سامانههای بانکداری متمرکز، انجام شود. از نگاه او، آموزش مدیران، شناخت دقیق معماری فعلی و شناسایی داراییهای رمزنگاری باید پیش از تصمیمگیری درباره خرید تجهیزات یا اجرای تغییرات گسترده در اولویت قرار گیرند.
آمادگی برای تهدید کوانتومی به همکاری نهادهای سیاستگذار و بانکها نیاز دارد
سجاد طرهانی، مدیر ماهر شرکت کاشف، در ادامه نشست با طرح پرسشی درباره افق زمانی تهدیدهای کوانتومی، ضرورت تعیین نقطه شروع اقدامات اجرایی را مورد توجه قرار داد. او با اشاره به برآوردی درباره جدیتر شدن این تهدید در حدود هفت تا هشت سال آینده، این پرسش را مطرح کرد که حاکمیت شرکتی و نهادهای دولتی باید از کدام بخش وارد عمل شوند و در برنامهریزی اولیه، تجهیزات، نیروی انسانی یا فرایندهای سازمانی را در اولویت قرار دهند.
مباحث مطرحشده در پاسخ به این پرسش بر ضرورت ارزیابی سطح بلوغ سازمانی، شناسایی داراییهای حساس، تعیین مسئولیتها و تدوین نقشه راه متناسب با منابع و ظرفیتهای موجود متمرکز بود. سخنرانان تأکید کردند که آمادهسازی شبکه بانکی برای تهدیدهای آینده، فرایندی صرفاً فنی نیست و به هماهنگی میان سیاستگذاران، نهادهای نظارتی، بانکها، شرکتهای تخصصی و دانشگاهها نیاز دارد.
برآیند نشست «گذار به رمزنگاری پساکوانتومی در شبکه پرداخت و زیرساخت کلید عمومی» بر ضرورت آغاز برنامهریزی از امروز و پرهیز از اجرای شتابزده و فاقد اولویت تأکید داشت. تهیه فهرست داراییهای رمزنگاری، ارزیابی ریسک، آموزش مدیران و متخصصان، ایجاد محیطهای آزمایشگاهی، آزمون الگوریتمهای جایگزین و توسعه توانمندیهای داخلی، از جمله اقداماتی بودند که بهعنوان مقدمات مهاجرت مورد توجه قرار گرفتند. در این چارچوب، مسیر گذار به رمزنگاری پساکوانتومی باید مرحلهای، مبتنی بر شواهد فنی و متناسب با حساسیت اطلاعات و میزان آمادگی هر سازمان طراحی شود تا حفاظت از خدمات مالی در آینده، بدون تضعیف امنیت امروز شبکه بانکی دنبال شود.
دوازدهمین رویداد بزرگ تراکنش ایران از ۱۰ تا ۱۲ آبان ۱۴۰۵ با مشارکت بیش از ۱۰۰ بانک و شرکت، برگزاری ۲۶ نشست تخصصی و بیش از ۱۰۰ سخنرانی، بخش نمایشگاهی و جشنوارههای تخصصی در تهران برگزار میشود.
علاقهمندان برای کسب اطلاعات بیشتر میتوانند به سایت تراکنش ایران مراجعه کنند. همچنین اخبار روزانه، گزارشهای تصویری و آخرین اطلاعات رویداد از طریق سایت فابانیوز منتشر میشود.

برای کسب اطلاعات بیشتر میتوانید ویژهنامه دوازدهمین رویداد بزرگ تراکنش ایران را دریافت کنید.

تراکنش دوازدهم ایران میزبان هزاران مدیر و متخصص و بیش از ۱۰۰ بانک و شرکت فعال اکوسیستم صنایع مالی، بانکی، پرداخت، نوآوری، فناوری، تلکام، تجارت الکترونیکی و اقتصاد دیجیتال ایران است و علاوه بر بخش نمایشگاهی با برپایی ۲۶ نشست و بیش از ۱۰۰ سخنرانی، چالشها و دغدغههای روز اکوسیستم را به بحث میگذارد.

شبکه پایدار، تراکنش در حال انجام است

گفتوگوی کاربران
نظر شما میتواند این بحث را کاملتر کند.
اولین نفری باشید که درباره این نوشته گفتگو را شروع میکند.