Российские ученые создали индекс риска квантового взлома данных
Ученые Южного федерального университета и Университета "Сириус" разработали индекс квантового риска QRI для защиты данных. Анализ почти 80 тысяч уязвимостей показал, что те из них, которые злоумышленники уже используют для взлома компьютерных систем, имеют в среднем на 26,6% более высокий показатель, чем остальные. Об этом сообщает сайт Ferra.
Индекс предоставляет организациям математически обоснованный инструмент для начала превентивной защиты стратегических данных, не дожидаясь появления мощных квантовых вычислителей, как отметил один из авторов исследования, профессор Сергей Петренко.
Для проверки нового индекса исследователи проанализировали почти 80 тысяч криптографических уязвимостей, зарегистрированных в Национальной базе уязвимостей NIST за 2016-2026 годы. Результаты сопоставили с каталогом CISA KEV, содержащим сведения об уязвимостях, которые уже используются злоумышленниками в реальных атаках. Средний показатель QRI для 437 уязвимостей из этого каталога составил 13,05 против 10,31 у остальных.
Кроме того, уязвимости, чувствительные к квантовому алгоритму Шора, встречались среди эксплуатируемых в 1,52 раза чаще, чем в среднем по исследованной базе. Авторы работы считают, что злоумышленники уже сегодня используют уязвимости, которые могут представлять серьезную угрозу в эпоху квантовых вычислений.
Особую опасность представляет стратегия "собери сейчас, расшифруй потом", когда злоумышленники похищают зашифрованные сведения с расчетом на то, что в будущем квантовые компьютеры позволят получить доступ к содержимому. Под угрозой могут оказаться медицинские карты, дипломатическая переписка и другие данные, которые должны оставаться конфиденциальными на протяжении десятилетий.
Индекс QRI позволяет оценивать уязвимости не только с точки зрения текущей опасности, но и с учетом потенциальных квантовых угроз. В отличие от традиционной системы CVSS, новая методика учитывает возможные последствия эксплуатации уязвимости в долгосрочной перспективе.
Формула объединяет три показателя: текущую степень опасности уязвимости по шкале CVSS, ее чувствительность к квантовым алгоритмам Шора и Гровера, а также возможность использования для перехвата и последующей расшифровки данных. Чем дольше сведения должны оставаться секретными и чем выше их ценность для злоумышленников, тем больше итоговое значение индекса.
Исследование также показало увеличение числа криптографических уязвимостей. Если в 2016 году их насчитывалось 2 593, то в 2025 году - уже 14 523. Таким образом, за девять лет показатель вырос в 5,6 раза.
По мнению исследователей, первоочередное внимание необходимо уделить государственному и оборонно-промышленному секторам, здравоохранению, фармакологии, финансовой сфере и блокчейн-технологиям. В этих областях хранятся сведения, которые могут сохранять свою ценность десятилетиями.
Авторы работы рекомендуют организациям пересмотреть подход к устранению уязвимостей, учитывая не только их текущую опасность, но и потенциальный квантовый риск. В частности, предлагается выявить и изолировать данные, которые должны оставаться конфиденциальными более пяти лет, а также начать переход на постквантовые стандарты шифрования FIPS 203 и FIPS 204.
В дальнейшем ученые предлагают объединить QRI с системой EPSS, которая прогнозирует вероятность эксплуатации уязвимости в ближайшие 30 дней. Такое сочетание позволит определять, какие угрозы требуют первоочередного устранения с учетом вероятности атаки и возможных последствий квантового взлома в будущем.
