hot Nỗi lo bảo mật tại Việt Nam khi Q-Day đến sớm

Nỗi lo bảo mật tại Việt Nam khi Q-Day đến sớm

Dự báo về thời gian máy tính lượng tử có thể phá vỡ các hệ mật mã hiện nay đang dịch chuyển gần hơn, trong khi quá trình thay thế công nghệ bảo mật có thể kéo dài nhiều năm.

Q-Day là thuật ngữ chỉ ngày máy tính lượng tử đủ mạnh để phá vỡ các hệ mật mã khóa công khai đang được sử dụng rộng rãi, trong đó có RSA và mật mã đường cong elliptic (ECC). Theo các chuyên gia, khi kịch bản đó xảy ra, những cơ chế bảo vệ dữ liệu, giao dịch điện tử và chữ ký số có thể đối mặt với rủi ro lớn.

Tại hội thảo của Liên minh An toàn thông tin CYSEEX, tổ chức ngày 21/10 ở Hà Nội, ông Vũ Ngọc Sơn, Trưởng ban Nghiên cứu công nghệ - Hiệp hội An ninh mạng Quốc gia (NCA), cảnh báo các tổ chức có thể không còn nhiều thời gian nếu Q-Day xuất hiện sớm hơn dự kiến. Trong khi một số quốc gia đặt mục tiêu hoàn tất chuyển đổi sang mật mã hậu lượng tử vào giai đoạn 2030-2035, một số dự báo rằng máy tính lượng tử đủ khả năng phá vỡ mật mã truyền thống có thể xuất hiện ngay từ năm 2028-2030.

"Vấn đề là, nếu Q-Day đến sớm hơn giai đoạn hoàn tất chuyển đổi, khoảng trống đó sẽ tạo ra rủi ro", ông Sơn nói.


Hiện chưa có dự báo cụ thể về mốc thời gian Q-Day có thể xảy ra. Tuy nhiên một số tổ chức lớn trên thế giới đã chuẩn bị cho mốc này. Hồi tháng 6, Google cảnh báo máy tính lượng tử có thể đủ khả năng tấn công một số hệ thống mã hóa vào năm 2029, sớm hơn 6-15 năm so với dự đoán trước đây. Năm 2024, Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) công bố những tiêu chuẩn mật mã hậu lượng tử đầu tiên, tạo cơ sở để các tổ chức bắt đầu chuyển đổi.

Tuy nhiên theo giới chuyên gia, rủi ro không chỉ xuất hiện vào ngày máy tính lượng tử đủ mạnh. Với phương thức tấn công được gọi là "Harvest Now, Decrypt Later" (thu thập ngay, giải mã sau), kẻ tấn công có thể lưu trữ dữ liệu đang được mã hóa để chờ công nghệ lượng tử phát triển rồi tìm cách giải mã.

Điều này đặc biệt đáng lo với những thông tin cần được bảo mật trong thời gian dài, như hồ sơ tài chính, dữ liệu định danh, thông tin nghiên cứu hay dữ liệu nhạy cảm của cơ quan, doanh nghiệp. Dữ liệu bị đánh cắp hôm nay vẫn có thể trở thành mục tiêu trong tương lai, ngay cả khi hiện tại kẻ tấn công chưa giải mã được.

Vì vậy, theo ông Sơn, các tổ chức không nên chờ đến khi Q-Day được xác định mới bắt đầu chuẩn bị. Mật mã hiện diện trong nhiều lớp của hạ tầng số, từ kết nối bảo mật đến xác thực và chữ ký số. Việc thay thế không đơn giản là cập nhật một phần mềm mà có thể liên quan đến nhiều hệ thống, thiết bị và quy trình vận hành.

Giải pháp đang được phát triển là mật mã hậu lượng tử (PQC), sử dụng các thuật toán được thiết kế để chống lại những kiểu tấn công dựa trên máy tính lượng tử, đồng thời có thể triển khai trên máy tính thông thường. NIST đã ban hành ba tiêu chuẩn PQC đầu tiên vào tháng 8/2024, gồm một tiêu chuẩn thiết lập khóa và hai tiêu chuẩn chữ ký số.

Tuy nhiên, có tiêu chuẩn mới không đồng nghĩa các tổ chức có thể chuyển đổi ngay. Họ cần xác định những hệ thống đang sử dụng thuật toán nào, đánh giá mức độ rủi ro, kiểm tra khả năng tương thích và thay thế từng phần mà không làm gián đoạn dịch vụ.

Theo ông Sơn, trong giai đoạn chuyển tiếp, một hướng tiếp cận là sử dụng mô hình lai, kết hợp mật mã truyền thống với thuật toán hậu lượng tử. Cách này giúp hệ thống từng bước bổ sung khả năng chống chịu trước nguy cơ lượng tử, đồng thời duy trì khả năng tương thích với hạ tầng hiện hữu.

Một yêu cầu khác là "crypto-agility", tức thay đổi thuật toán hoặc cơ chế mật mã mà không phải thiết kế lại toàn bộ ứng dụng. Theo ông Sơn, nếu hệ thống được xây dựng quá cứng nhắc, mỗi lần thay đổi tiêu chuẩn có thể kéo theo chi phí và thời gian triển khai lớn hơn.

Tại Việt Nam, chuyên gia từ NCA cho biết dự thảo ba tiêu chuẩn quốc gia về mật mã hậu lượng tử đã được xây dựng. Việc triển khai trên diện rộng sẽ còn phụ thuộc vào tiêu chuẩn kỹ thuật, khả năng tương thích giữa các hệ thống và lộ trình chuyển đổi của từng lĩnh vực.


Theo ông Nguyễn Quang Hoàng, Giám đốc An ninh thông tin Misa, thời gian chuẩn bị là yếu tố quan trọng bởi việc chuyển đổi không thể thực hiện trong một sớm một chiều. Doanh nghiệp có thể nghiên cứu, thử nghiệm tạo khóa và chữ ký bằng thuật toán hậu lượng tử trong môi trường thử nghiệm, nhưng chưa thể tự triển khai thương mại độc lập nếu các thành phần khác trong chuỗi chưa tương thích.

"Không thể chỉ một doanh nghiệp chuyển đổi là xong", ông nói, nhấn mạnh yêu cầu phối hợp giữa các đơn vị trong quá trình triển khai mật mã hậu lượng tử.

Theo đại diện Misa, doanh nghiệp có thể sẵn sàng về công nghệ nhưng chưa thể đưa giải pháp vào vận hành nếu thiếu tiêu chuẩn chung và sự đồng bộ từ các bên liên quan. Vì vậy, quá trình chuyển đổi cần có lộ trình phối hợp giữa cơ quan quản lý, đơn vị cung cấp hạ tầng chứng thực và những tổ chức đang sử dụng chữ ký số.

Ông Phạm Trung Thành, chuyên gia tư vấn bảo mật tại Công ty cổ phần Công nghệ An ninh mạng Quốc gia Việt Nam (NCS), khuyến nghị doanh nghiệp nên bắt đầu từ biện pháp nền tảng như xây dựng quy định sử dụng thiết bị, tài khoản và dữ liệu an toàn; kiểm kê tài sản công nghệ thông tin và thu hẹp bề mặt tấn công. Những bước này giúp tổ chức hiểu rõ hệ thống của mình trước khi quyết định đầu tư các giải pháp chuyên sâu.


Tại sự kiện, đại diện CYSEEX cho biết trong năm 2027, liên minh đặt ra các định hướng gồm "AI tự chủ", "Phòng thủ chủ động" và "An toàn lượng tử". Trong đó, liên minh dự kiến mở rộng ứng dụng tác nhân AI theo hướng tự động hóa có kiểm soát, bảo đảm mọi hành động được giám sát, truy vết và các quyết định rủi ro cao vẫn do con người phê duyệt. Hoạt động diễn tập tấn công - phòng thủ, ứng cứu sự cố và phòng chống lừa đảo trực tuyến cũng sẽ được duy trì.

Với an toàn lượng tử, CYSEEX hướng tới thử nghiệm mật mã hậu lượng tử trong các hệ thống phù hợp, đồng thời đặt trọng tâm kiểm kê hệ thống mã hóa, xây dựng lộ trình chuyển đổi trước khi máy tính lượng tử đủ khả năng đe dọa các cơ chế bảo mật hiện nay.

---

Nguồn: VnExpress Số hóa
Chuyên mục: HOT