Measuring Post-Quantum TLS Deployment Across UK Internet Sectors
Deze studie naar 4.665 Britse organisaties onthult dat de waarneembare implementatie van post-quantum cryptografie zeer ongelijkmatig en gefragmenteerd is, primair gedreven door beslissingen van infrastructuurproviders in plaats van de sector van de organisatie, met een aanzienlijk hogere adoptie in HTTPS vergeleken met SMTP en een opvallende afwezigheid van post-quantum certificaatsignaturen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je het internet voor als een enorme, bruisende stad waar elk gebouw een website, een e-mailserver of een clouddienst is. Om de deuren op slot te houden en de geheimen veilig te bewaren, gebruiken deze gebouwen speciale digitale sleutels die cryptografie worden genoemd. Decennialang waren deze sleutels ongelooflijk sterk, maar wetenschappers maken zich zorgen over een toekomstige "super-sleutel" die ze allemaal kan kraken. Deze super-sleutel komt van een nieuw soort computer, een quantumcomputer, die nog in aanbouw is maar naar verwachting krachtig genoeg zal zijn om de huidige sloten te breken. Om zich voor te bereiden, ontwerpen experts nieuwe, quantum-bestendige sloten genaamd Post-Quantum Cryptography (PQC). De grote vraag voor overheden en bedrijven is: "Zijn we deze nieuwe sloten eigenlijk al op onze deuren aan het plaatsen, of praten we er alleen maar over?" Dit artikel is als een enorme, stadsbrede inspectie om precies te zien hoeveel gebouwen in het VK deze nieuwe, futuristische sloten daadwerkelijk op hun voordeuren hebben geïnstalleerd.
De auteurs, Konstantinos Loizou en Essam Ghadafi van Newcastle University, besloten een zeer specifieke en slimme kijk op dit probleem te werpen. In plaats van alleen de meest populaire websites te scannen (zoals alleen de wolkenkrabbers in het stadscentrum controleren), maakten ze een gebalanceerde kaart van 4.665 verschillende organisaties in tien verschillende sectoren, van banken en ziekenhuizen tot universiteiten en overheidsinstanties. Ze controleerden twee hoofdtypen "deuren": het web (HTTPS, wat het slot is dat je ziet wanneer je een website bezoekt) en e-mail (SMTP, wat het slot is dat wordt gebruikt om berichten te verzenden en te ontvangen). Ze wilden zien of deze organisaties de nieuwe quantum-bestendige sleuteluitwisselingsmethoden gebruikten.
Dit is wat zij vonden, en het is een beetje een gemengd beeld. Ten eerste ontdekten ze dat de nieuwe sloten weliswaar verschijnen, maar vooral op het web. Ongeveer 44% van de gecontroleerde bereikbare websites had ten minste één van deze nieuwe quantum-bestendige sleutels geïnstalleerd. Echter, toen ze naar e-mailservers keken, was het beeld veel somberder: slechts ongeveer 6,4% van de e-maildiensten had de nieuwe sleutels. Het blijkt dat als een organisatie het nieuwe slot op zijn website heeft, het ongeveer 17 keer waarschijnlijker is dat het ook het nieuwe slot op zijn e-mailserver heeft dan wanneer dat niet het geval zou zijn, maar zelfs dan gebruiken de meeste e-mailservers nog de oude, potentieel breekbare sloten.
De meest verrassende wending in het verhaal is wie deze sloten daadwerkelijk plaatst. Je zou denken dat een bank heel anders zou zijn dan een technologiebedrijf in hoe snel ze upgraden, maar de studie vond dat de sector van de organisatie er minder toe deed dan wie het gebouw beheert. Het is alsof je beseft dat of een huis een nieuw beveiligingssysteem heeft, volledig afhangt van de huisbaas, en niet van de familie die er woont. De onderzoekers ontdekten dat een klein handjevol grote infrastructuurproviders (bedrijven zoals Cloudflare, Google en Amazon) verantwoordelijk was voor bijna alle nieuwe sloten die ze zagen. Bijvoorbeeld, 95% van de websites die door Cloudflare worden gehost, had de nieuwe sleutels, terwijl Microsoft-gehoste e-mailservers er geen enkele hadden. Sterker nog, voor e-mail was Google de enige grote provider met de nieuwe sleutels, wat bijna de volledige adoptie die zij zagen verklaarde.
Het artikel controleerde ook de "handtekeningen" op de certificaten (de digitale ID-kaarten die bewijzen dat een gebouw is wie het zegt te zijn). Ze ontdekten dat hoewel de sleutels voor de deuren al begin kwamen te worden gemaakt voor quantum-bestendigheid, de ID-kaarten nog steeds de oude, klassieke handtekeningen gebruikten. Niemand was nog overgestapt op de nieuwe quantum-bestendige ID-kaarten. Dit suggereert dat hoewel de voordeur sterker wordt, de manier waarop we verifiëren wie daar staat, niet is veranderd.
Kortom, de studie suggereert dat wanneer we een website met een quantum-bestendig slot zien, dit vaak komt omdat het grote technologiebedrijf dat de website host heeft besloten te upgraden, en niet omdat de specifieke organisatie die de site beheert een speciaal plan heeft gemaakt om dat te doen. Dit betekent dat het simpelweg bekijken van een website en het zien van een nieuw slot niet noodzakelijkerwijs betekent dat de hele organisatie klaar is voor de quantum-toekomst; het kan ook betekenen dat hun huisbaas een stap voor is. De onderzoekers concluderen dat we voorzichtig moeten zijn om deze zichtbare upgrades niet te verwarren met een volledige, organisatiebrede migratie, aangezien de e-mailsystemen en de digitale ID-kaarten nog in de wachtkamer staan.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.