Что такое PQC для туннелей IPsec?

Примечание

Примечание: Пожалуйста, свяжитесь с feature-releases@catonetworks.com для получения дополнительной информации о включении и использовании этой функции.

Обзор

Криптография постквантовая (PQC) усиливает безопасность туннелей IPsec путем введения механизмов обмена ключами, устойчивых к квантовой атаке. По мере развития возможностей квантовых вычислений широко используемые алгоритмы, такие как RSA и эллиптическая криптография (ECC), могут стать уязвимыми. PQC помогает гарантировать, что ваш трафик WAN между сайтами остается защищенным от текущих и будущих криптографических угроз.

Включение PQC для сайтов и туннелей IPsec позволяет вашей организации согласовать стратегию шифрования с долгосрочными требованиями безопасности и соответствия без изменения способа подключения ваших сайтов к облаку Cato.

Защита от атак «собираем сейчас, расшифровываем позже»

Один из основных рисков, связанных с квантовыми вычислениями, — это модель "собираем сейчас, расшифровываем позже". В этом сценарии злоумышленники захватывают зашифрованный трафик сегодня, сохраняют его и ждут, пока квантовые возможности не станут достаточно зрелыми, чтобы сломать классическое шифрование.

Даже если трафик не может быть расшифрован сейчас, конфиденциальная информация с длительным сроком хранения может быть раскрыта в будущем. PQC снижает этот риск, внедряя алгоритмы обмена ключами, устойчивые к квантовым атакам, в процесс переговоров IPsec. В результате трафик, захваченный сегодня, остается защищенным даже от будущих попыток квантовой расшифровки.

Операционные и безопасностные аспекты

Долгосрочная защита данных

Многие организации используют долгоживущие туннели IPsec для передачи конфиденциального трафика между сайтами, дата-центрами и облачными средами. Этот трафик часто включает регулируемые или критически важные данные, которые должны оставаться конфиденциальными в течение многих лет или десятилетий. Включая PQC, вы помогаете гарантировать, что сила шифрования соответствует долгосрочным стратегиям защиты данных и новым стандартам безопасности.

Гибридная модель переговоров IKEv2

PQC для туннелей IPsec реализуется с использованием гибридного подхода к переговорам IKEv2. Во время установления туннеля согласовываются вместе классическая криптография и алгоритмы PQC. Этот проект сохраняет совместимость с узлами, которые еще не поддерживают PQC, и поддерживает соединение через управляемый механизм возврата, если это требуется.

Этот подход позволяет вам вводить криптографию, устойчивую к квантовой атаке, без нарушения существующего подключения сайтов или требований к одновременному обновлению всех узлов.

Контроль видимости и миграции

Поддержка PQC включает телеметрию, которая предоставляет информацию о поведении переговоров туннеля. Вы можете контролировать результаты переговоров, идентифицировать сценарии возврата и подтверждать успешные переговоры с квантовой безопасностью. Эта видимость помогает вам определить, какие узлы готовы к PQC, и управлять процессом миграции в контролируемый и измеримый способ.

Централизованное управление в CMA

Конфигурация PQC интегрируется непосредственно в настройки туннеля IKEv2 и IPsec и доступна через соответствующие API и поля AccountSnapshot. Это позволяет вам централизованно управлять настройками криптографии в Приложении Управления Cato (CMA). Принятие PQC не вводит дополнительную операционную сложность. Модель конфигурации остается согласованной с существующими процессами управления IPsec.

Когда включить PQC

Вы должны рассмотреть возможность включения PQC для туннелей IPsec, если ваша организация управляет критической инфраструктурой, регулируемыми средами или передает конфиденциальные данные с долгосрочными требованиями хранения.

PQC также актуален, если вы проактивно согласовываете с новыми криптографическими стандартами и готовите архитектуру вашей сети к постквантовой эпохе.