Александр Товстолип: «Банковский сектор – одна из самых привлекательных целей в постквантовом мире»

Еще недавно квантовые компьютеры воспринимались как академический эксперимент, но в ближайшем будущем квантовая угроза может стать реальностью. Следовательно, уже сейчас нужно выстраивать квантово устойчивую защиту данных и систем. Для банковского сектора этот вопрос особенно важен: финансовые организации – традиционно любимая цель мошенников. О сути квантовой угрозы и мерах противодействия ей, а также о том, что уже реализовано финансовыми организациями, рассказывает руководитель управления информационной безопасности Ассоциации «ФинТех» (АФТ) Александр Товстолип.

Современный цифровой мир основан на криптографии, защищающей конфиденциальные данные, финансовые транзакции и государственные коммуникации. Однако с развитием квантовых вычислений традиционные методы шифрования становятся уязвимыми. Квантово устойчивая криптография – это новое поколение алгоритмов, способных противостоять атакам как классических, так и квантовых компьютеров.

К 2029 г. угроза применения квантовых вычислений сделает традиционную криптографию небезопасной. По мнению экспертов, к этому времени мощность квантовых компьютеров станет достаточной для взлома существующих криптографических алгоритмов. Поэтому переход к квантово устойчивой (постквантовой) криптографии стоит начинать уже сейчас.

Суть квантовой угрозы

Современная финансовая инфраструктура опирается на криптографию с открытым ключом – RSA, эллиптические кривые, протоколы Диффи – Хеллмана и производные от них системы электронной подписи. Их безопасность базируется на вычислительной сложности факторизации и дискретного логарифмирования. Квантовые алгоритмы, прежде всего алгоритм Шора, теоретически позволяют решать эти задачи за приемлемое время на достаточно мощном квантовом компьютере. Это означает, что при достижении необходимого технологического порога большая часть используемых сегодня механизмов аутентификации, обмена ключами и цифровых подписей станет уязвимой.

Дополняет картину алгоритм Гровера, который ускоряет перебор и снижает эффективную стойкость алгоритмов симметричного шифрования. Хотя симметричная криптография в целом считается квантово устойчивой, она также требует пересмотра параметров и архитектур.

Квантовая угроза усиливает ключевые риски кибербезопасности сразу по нескольким направлениям: сетевой инфраструктуре, криптографическим системам, интернету вещей и блокчейн-решениям. Мощность квантовых компьютеров возрастает, а наличие облачного доступа упрощает их использование.

Банковский сектор – одна из самых привлекательных целей в постквантовом мире. Во-первых, банки хранят данные с долгим сроком ценности: персональные данные клиентов, кредитные истории, документы и артефакты KYC (обязательная процедура проверки личности перед началом обслуживания), финансовые отчеты, записи транзакций. Во-вторых, их инфраструктура сложна и неоднородна: в одном контуре могут сосуществовать унаследованные системы 1990-х гг. и облачные платформы, использующие современные протоколы и компоненты. В-третьих, доверие – ключевой актив банка. Компрометация криптографии означает не просто утечку данных, а подрыв легитимности операций и юридической силы электронных документов.

Квантовые кейсы и сценарии

Один из наиболее обсуждаемых сценариев – «сохранение данных сейчас – взлом потом» (harvest now, decrypt later). Злоумышленники уже сегодня могут перехватывать и сохранять зашифрованный трафик: межбанковские сообщения, архивы резервных копий, защищенные сведения дистанционного банковского обслуживания. Сейчас эти данные бесполезны, но появление квантового компьютера достаточной мощности позволит ретроспективно расшифровать многолетние массивы информации.

Для банка это означает риск компрометации историй транзакций VIP-клиентов, архивов платежных систем, а также долгосрочных контрактов и юридически значимых документов.

Второй сценарий – «подрыв инфраструктуры цифровых подписей». Квантовый взлом закрытых ключей удостоверяющих центров теоретически открывает путь к выпуску фальшивых сертификатов, подделке подписей под финансовыми документами, несанкционированному доступу к системам дистанционного банковского обслуживания и внутренним сервисам.

Третий класс угроз связан с межбанковскими и трансграничными каналами. Платежные шлюзы, системы обмена сообщениями, API-интерфейсы финтехпартнеров активно используют TLS (Transport Layer Security) и PKI (Public Key Infrastructure). Их компрометация может привести не только к утечкам, но и к незаметной подмене реквизитов платежей, внедрению вредоносных обновлений и атакам на цепочки поставок.

Наконец, в зоне риска оказываются блокчейн-решения и токенизированные активы, где владение активом напрямую связано с криптографическим ключом. Квантовый взлом подписи превращает математическую гарантию собственности в иллюзию.

Что делается уже сейчас

Ответом индустрии стала постквантовая криптография – класс алгоритмов, устойчивых к известным квантовым атакам. Крупные вендоры уже внедряют экспериментальную поддержку таких алгоритмов в VPN, TLS-стеках (криптографический протокол, обеспечивающий конфиденциальность, целостность данных и аутентификацию между узлами в сети), системах электронной подписи и аппаратных модулях безопасности.

Второе направление – криптоагильность. Банки начинают проектировать системы так, чтобы алгоритмы можно было менять без перестройки всей архитектуры: через абстрактные криптопровайдеры, централизованные сервисы ключей, унифицированные API. Это снижает риск технологической заморозки на устаревших механизмах.

Параллельно развиваются пилотные проекты по квантовому распределению ключей, где безопасность обмена обеспечивается законами физики. Хотя такие решения пока дороги и ограничены по дальности, они рассматриваются как дополнительный уровень защиты для магистральных каналов между дата-центрами и расчетными узлами.

Не менее важная работа ведется в плоскости инвентаризации. Банки начинают отвечать на базовые вопросы: где используется криптография, какие данные требуют защиты 10–20 лет, какие внешние сервисы и вендоры встроены в критические процессы? Без такой карты невозможно выстроить реалистичный план миграции.

Практические кейсы в области постквантовой криптографии уже реализованы как в России, так и в других странах.

Если говорить о зарубежных кейсах, стоит отметить первые постквантовые стандарты, опубликованные Национальным институтом стандартов США (NIST), первый чип, поддерживающий постквантовые алгоритмы от компании PQCShield и внедрение постквантового шифрования для видеоконференций в Zoom Meetings.

Тем временем в России уже реализованы проекты по постквантовому шифрованию документооборота, квантово устойчивому шифрованию канала передачи резервных копий данных, постквантовому шифрованию на платформе видеоконференций и в блокчейн-платформе и пр.

Практические шаги для банков

Квантовая перестройка – это не проект информационной безопасности, а долгосрочная трансформация. На практике она начинается с классификации данных по сроку ценности и моделирования квантовых рисков. Далее следует внедрение гибридных схем, где классические и постквантовые алгоритмы работают параллельно, обеспечивая обратную совместимость и плавный переход.

Важно пересмотреть жизненный цикл IТ-систем: требования к криптоустойчивости должны включаться в закупки, разработку, аудит и процессы управления изменениями. Отдельное внимание стоит уделять персоналу и подрядчикам – постквантовая эпоха потребует новых компетенций и обновления регламентов.

Квантовые компьютеры еще не взломали банковскую криптографию, но окно для подготовки к таким угрозам стремительно сокращается. С учетом инерционности финансовых IТ-ландшафтов ожидание «готовой угрозы» означает гарантированное запаздывание. Квантовая перестройка – это инвестиция в устойчивость, сопоставимая по масштабу с переходом на электронные платежи или облачные платформы. Те банки, которые начнут ее сегодня, завтра будут не латать фундамент, а спокойно строить на нем новые цифровые сервисы. &