量子技术用于保护金融消息

2024年7月 QED-C成员专有 QED-C Member Proprietary 致谢 感谢量⼦经济发展联盟（QED-C®）⽤例技术咨询委员会。此外，没有研讨会组织委员会成员的领导和贡献，这份报告将⽆法实现。 彼得·博多，富国银⾏斯科特·布克霍尔兹，德勤约翰·布塞利，IBM特⾥·克罗宁，东芝Carl Dukatz, AccentureMehdi Namazi, QunnectSimon Patkovic, ID Quantique 布鲁诺·胡特纳，ID Quantique约翰·普⾥斯科，安全量⼦塔赫⾥·雷扎伊，富国银⾏基普·夏基，ODE，L3CCatherine Simondi, ID QuantiqueColin Soutar, DeloitteJeff Stapleton, Wells Fargo 感谢埃森哲提供的研讨会设施美国国家标准与技术研究所（NIST）为本研究提供财政⽀持 关于 QED-C QED-C 是由SRI国际管理的⼀个产业驱动联盟。该联盟拥有代表产业、学术界、政府和其他利益相关⽅的多样成员，旨在促进和发展量⼦产业及相关供应链。 有关QED-C的更多信息，请访问我们的⽹站quantumconsortium.org 建议引用 量⼦经济发展联盟（QED-C®）。⽤于保障⾦融消息的量⼦技术。弗吉尼亚州阿灵顿。2024年5⽉。https://quantumconsortium.org/financial24 政府目的权利 协议编号：OTA-2019-0001承包商名称：SRI国际承包商地址：333 Ravenswood Avenue, Menlo Park, CA 94025到期⽇期：永久使⽤、复制或披露受协议中规定的限制约束NIST与SRI之间的协议之间 非美国政府通知 版权所有 © 2024年斯坦福研究所。保留所有权利 免责声明此由斯坦福研究所管理的量⼦经济发展联盟的出版物，不⼀定代表斯坦福研究所、任何QED-C个⼈成员或任何政府机构的观点 QED-C Member Proprietary 目录 执⾏摘要 ......................................................................................................................................................... ii介绍........................................................................................................................................................... 3量⼦抗性安全⽅法 ............................................................................................ 6当前的密码⼯具 .................................................................................................. 6后量⼦密码学............................................................................................................. 7量⼦密钥分发............................................................................................................. 9组合⽅法........................................................................................................... 11当前和新兴技术............................................................................................ 12⽤例主题的关键主题 ........................................................................................ 14主题1: 当前威胁 ..................................................................................................................... 14主题2: 综合系统 .............................................................................................................. 15主题3: 量⼦安全服务 .................................................................................... 16所选⽤例的影响和可⾏性 .................................................................................. 17分类 ..................................................................................................................................................... 19所选⽤例的实施细节 ....................................................................................... 20跨境交易 ................................................................................................................. 20物理基础设施 ........................................................................................................... 21量⼦安全服务 .......................................................................................................... 22后量⼦TLS: 连接客⼾ ................................................................................... 23量⼦通信服务提供商..................................................................................... 24建议......................................................................................................................................... 26附录A：⽅法论........................................................................................................................... 29附录B：⾦融服务的量⼦安全⽤例 ...................................................................... 36附录C：研讨会参与者................................................................................................... 40 QED-C Member Proprietary 执行摘要 ⾦融⾏业依赖于银⾏、商家、客⼾和政府机构之间发送的安全消息，包括信⽤卡授权； 电汇；帐⼾信息以及其他类型的通信。⾦融消息的货币和系统价值使其特别容易受到⽹络安全攻击。因此，加密对于⾦融系统的信任⾄关重要，对⾦融⾏业和依赖它的经济体系⾄关重要。 量⼦计算的出现为⾦融机构带来了新的⽹络安全挑战 ，因为量⼦计算机终将变得⾜够强⼤，可以破解当前⽤于保护数据和通信的许多加密算法。其中最值得关注的是量⼦计算机能够运⾏Shor算法，这威胁到许多常⽤的加密⽅法，⽤以保护通信。运⾏Shor算法需要⼀个具有密码学意义的量⼦计算机(CRQC)，⽽这可能仍需要数年的时间。然⽽，“现在获取，以后解密”的概念意味着今天获取的加密数据会增加整体⻛险。此外，向后量⼦安全准备的技术升级路径需要花费多年时间。⾦融机构需要⽴即采取措施来减轻未来⻛险。 有两种技术可以提供不同形式的CRQC安全：后量⼦密码学(PQC)和量⼦密钥分发(QKD)；我们分别描述它们。它们提供不同的好处，如果结合使⽤，可能提供更⾼的保护。 这两种技术对以下⾼可⾏性、⾼影响⼒的⽤例有潜在应⽤，这些⽤例由利益相关者在量⼦安全和⾦融服务中确定： 更安全的跨境交易，•安全启⽤的物理基础设施•⾦融机构量⼦安全状况的第三⽅验证•后量⼦传输层安全，以及•量⼦通信服务提供商• 这项研究中出现了三个重要主题 1未来CRQC可能带来的威胁需要⽴即评估暴露于⽹络安全漏洞的⻛险，因为现在采集、以后解密的威胁。2采⽤多种技术的综合⽅法可能增加安全性。 3第三⽅服务供应商可以帮助确保较⼩机构及时进⾏⻛险缓解。 此外，建议⾦融⾏业采取三项措施推进安全保障： 1⽀持⾦融⾏业实施PQC标准：联邦机构应通过共享信息和资源以及向⾦融机构提供资助，⽀持迁移到PQC算法。也应考虑向处理敏感财务信息的州和地⽅政府实体提供资助。尽管⼤型⾦融机构将拥有财务和技术资源迅速实施变⾰，但美国有数以千计的⼩型基于社区的银⾏和信⽤合作社更易受到影响，因为它们资源较少，准备不⾜。向中⼩型⾦融机构提供⽀持PQC技术采⽤的联邦资助或贷款对于保持稳健的、量⼦抗性的⾦融⾏业⾄关重要。 2增加⾦融机构的量⼦专业知识：⾦融⾏业应培养内部的量⼦专业知识，增加对量⼦技术的影响（包括好处和⻛险）的认识。 ⾦融机构应聘⽤量⼦⽹络和安全专家协助进⾏存量脆弱量⼦加密资产清查和实施PQC标准。⾦融机构还可以与正在发展量⼦密钥分发技术的公司合作，试⽤这种不断提升能⼒的技术。投资银⾏还可以通过投资提供量⼦通信和安全服务的公司，保持在量⼦技术领域的领先地位。 3探索QKD+PQC组合⽅法：尽管量⼦密钥分发和PQC各⾃具有优势和局限性，但将两种技术结合应⽤可能⽐单独应⽤任何⼀种技术都更具安全性。美国政府已将部署PQC置于优先位置，但也应资助QKD相关技术的研发，以确保国家保持竞争⼒和安全性。联邦机构应当⽴即投资于旨在使QKD更具可扩展性和认证性的研究。对结合QKD、PQC和传统密码学的⽅法进⾏研究和发展投资，