บทความ
เร้ดแฮท แนะ 4 ขั้นตอนรับมือ Q-Day ชู PQC ปกป้องไฮบริดคลาวด์และข้อมูล AI
สำนักข่าวบริคอินโฟ – เร้ดแฮท (Red Hat) เปิดเผยแนวทางรับมือการมาถึงของควอนตัมคอมพิวเตอร์ หรือ Q-Day ซึ่งเป็นช่วงเวลาที่คอมพิวเตอร์มีศักยภาพสูงพอที่จะถอดรหัสความปลอดภัยไซเบอร์ในปัจจุบัน โดยเตือนว่ากลุ่มผู้ไม่หวังดีเริ่มใช้วิธีดักเก็บข้อมูลในปัจจุบันเพื่อรอถอดรหัสในอนาคต (harvest now, decrypt later) องค์กรต่างๆ จึงต้องวางแผนและลงมือปรับเปลี่ยนระบบความปลอดภัยไซเบอร์บนไฮบริดคลาวด์ตั้งแต่วันนี้
คำสั่งบริหารหมายเลข 14412 ของทำเนียบขาว สหรัฐอเมริกา กำหนดให้หน่วยงานรัฐบาลกลางนำร่องย้ายระบบไปสู่ความพร้อมด้านการเข้ารหัสยุคหลังควอนตัม (Post-Quantum Cryptography หรือ PQC) ภายในปี 2027 และดำเนินการเต็มรูปแบบภายในปี 2029 สอดคล้องกับข้อกำหนด Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) ของสำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) ที่กำหนดกรอบเวลาเข้มงวดสำหรับโปรโตคอล TLS เชิงพาณิชย์ภายในปี 2030 หากองค์กรเริ่มย้ายระบบเมื่อควอนตัมคอมพิวเตอร์เกิดขึ้นจริง อาจทำให้การดำเนินงานล้าหลังไป 3-5 ปี
Red Hat นำเสนอการฝังความปลอดภัยยุคควอนตัมลงในชั้นโครงสร้างพื้นฐานไฮบริดคลาวด์โดยตรง ผ่าน Red Hat Enterprise Linux 10 (RHEL 10) ซึ่งเป็นระบบปฏิบัติการ Linux ระดับองค์กรที่รองรับอัลกอริทึมยุคหลังควอนตัมมาตรฐาน NIST เช่น ML-KEM และ ML-DSA ในระดับระบบปฏิบัติการ ขณะที่ Red Hat OpenShift ได้นำขีดความสามารถจาก RHEL มาเปิดใช้งานและขยายการคุ้มครองครอบคลุมสภาพแวดล้อมแบบกระจายตัว ช่วยย้ายงานด้านความปลอดภัยจากชั้นแอปพลิเคชันลงมาไว้ที่ชั้นโครงสร้างพื้นฐาน
สำหรับ 4 ขั้นตอนสำคัญที่องค์กรสามารถดำเนินการได้เพื่อเตรียมพร้อมรับมือ Q-Day ประกอบด้วย
ขั้นแรก การสำรวจร่องรอยการเข้ารหัสบนไฮบริดคลาวด์ทั้งหมด เพื่อระบุจุดจัดเก็บข้อมูลและจุดสร้างกุญแจดิจิทัล โดยเน้นสินทรัพย์ที่มีมูลค่าสูง เช่น AI model weights และบันทึกการฝึกอบรม ซึ่ง RHEL 10 มีนโยบายการเข้ารหัสเริ่มต้นที่รองรับอัลกอริทึมต้านทานควอนตัมสำหรับการแคปซูลกุญแจ (key encapsulation) ช่วยให้สามารถทดสอบประสิทธิภาพระบบก่อนใช้งานจริง
ขั้นที่สอง การทดสอบชุดคำสั่งทางคณิตศาสตร์ของการเข้ารหัสยุคใหม่ในสภาพแวดล้อมทดลอง โดย RHEL 10 มีนโยบาย FUTURE ที่ช่วยให้ผู้ดูแลระบบสับเปลี่ยนรูปแบบการเข้ารหัสของโฮสต์ทั้งหมดได้ในคำสั่งเดียว ส่วน Red Hat OpenShift 4.22 มีการเปิดใช้งานการแลกเปลี่ยนคีย์รหัส ML-KEM hybrid key exchange เป็นค่าเริ่มต้นในการสร้างความเชื่อมต่อแบบปลอดภัย (TLS handshake) ระหว่างส่วนประกอบของ control plane โดยไม่จำเป็นต้องแก้ไขโค้ดแอปพลิเคชัน
ขั้นที่สาม การย้ายขอบเขตความปลอดภัยจากเลเยอร์แอปพลิเคชันไปสู่เลเยอร์แพลตฟอร์ม เพื่อลดภาระของนักพัฒนาในการเขียนโค้ดใหม่ โดย Red Hat OpenShift จะจัดการเปลี่ยนวิธีการเข้ารหัสในชั้นแพลตฟอร์มด้วยอัลกอริทึมต้านทานควอนตัม ช่วยคุ้มครองข้อมูลการสอน GPU Cluster, Model Weights และบันทึกการทำงานของเอเจนต์
ขั้นที่สี่ การควบคุมตำแหน่งจัดเก็บและการประมวลผลข้อมูลอย่างเบ็ดเสร็จ ผ่านการใช้สภาพแวดล้อมแพลตฟอร์มแบบแยกส่วน (isolated platform environments) ควบคู่กับโซลูชันการรันคอนเทนเนอร์ในพื้นที่ประมวลผลที่ถูกเข้ารหัสระดับฮาร์ดแวร์ (confidential containers)
องค์กรไม่จำเป็นต้องรอให้ถึง Q-day แล้วค่อยเริ่มเตรียมตัว แต่สามารถเริ่มต้นได้เลยด้วยการสำรวจระบบและโครงสร้างการเข้ารหัสทั้งหมดขององค์กร (cryptographic footprint) เพื่อให้ทราบว่า แอปพลิเคชันในปัจจุบันขององค์กร ใช้งานอัลกอริทึมใด ใช้คีย์ที่ใช้ในการเข้ารหัสข้อมูลที่มีขนาดหรือความยาวเท่าไร และโพรโทคอลรูปแบบใดบ้าง และสามารถศึกษารายละเอียดเพิ่มเติมได้จาก RHEL post-quantum cryptography documentation และ OCP 4.22 release notes เพื่อดูว่ามีฟีเจอร์และขีดความสามารถใดที่พร้อมใช้งานแล้วในปัจจุบัน รวมถึงปรึกษาทีมดูแลลูกค้าของเร้ดแฮทเพื่อประเมินความพร้อมด้าน PQC และวางโรดแมปการย้ายระบบอย่างเป็นขั้นตอนล่วงหน้าก่อนที่เส้นตายจะมาถึง
บทความโดย JP Jung, Red Hat
