வெளியிடப்பட்டது
முக்கியக் குறிப்புகள்
- குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியல் (PQC) என்பது, நடைமுறைக்கு உகந்த குவாண்டம் கணினி இருந்தாலும், தற்போது அறியப்பட்டவரை திறமையான தாக்குதல் எதுவும் இல்லாத குறியாக்கம். குறியாக்கத்தை உடைக்கும் திறன் கொண்ட குவாண்டம் கணினி (CRQC) உருவானதும் RSA, நீள்வட்ட வளைவு குறியாக்கவியல் போன்ற பொதுத் திறவுகோல் முறைகள் பாதுகாப்பற்றவையாகும் என்று எதிர்பார்க்கப்படுவதால், அவற்றை மாற்ற வேண்டும்.
- குறியாக்கம் செய்யப்பட்ட தரவை இப்போது சேகரித்துப் பின்னர் குறிவிலக்கம் செய்யும் harvest-now-decrypt-later (HNDL) தாக்குதல்களின் காரணமாக, நீண்ட காலம் பாதுகாக்கப்பட வேண்டிய தரவுக்கு CRQC தோன்றுவதற்கு முன்பே கவனம் தேவை.
- NIST, 13 ஆகஸ்ட் 2024 அன்று FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) ஆகியவற்றை வெளியிட்டது. 112-பிட் வலிமை கொண்ட குவாண்டம் பாதிப்புள்ள பொதுத் திறவுகோல் முறைகளை 2030-க்குப் பின் தவிர்க்கப்பட வேண்டியவையாகவும், 2035-க்குப் பின் அனுமதியற்றவையாகவும் ஆக்கும் NIST IR 8547, 13 அக்டோபர் 2026 நிலவரப்படி இன்னும் ஆரம்பப் பொது வரைவாகவே (நவம்பர் 2024) உள்ளது.
- அதிக முன்னுரிமை கொண்ட சிஸ்டம்கள் சுமார் 2030-களின் நடுப்பகுதிக்குள் PQC அல்காரிதங்களைப் பயன்படுத்தக்கூடிய நிலையில் இருக்க வேண்டும் என்று FSA ஆய்வுக் குழு அறிக்கை (26 நவம்பர் 2024) கூறுகிறது; மூத்த நிர்வாகத்தின் தலைமை, முன்கூட்டிய குறியாக்கச் சரக்குப் பட்டியல், அதிக crypto-agility, விற்பனையாளர்களுடன் ஒத்துழைப்பு ஆகியவற்றைக் கோருகிறது. FISC பாதுகாப்பு வழிகாட்டுதல்களின் 14-ஆம் பதிப்பு (மார்ச் 2026) அறிக்கையின் கவனிக்க வேண்டிய அம்சங்களையும் கால அட்டவணையையும் பிரதிபலிக்கிறது.
- ஜூன் 2025-இல் புதிய வணிக மாதிரிகளைக் கொண்ட வங்கிகளுடனான கருத்துப் பரிமாற்றத்தில், தயாரிப்பைத் தள்ளிப்போடுவது பொருத்தமற்றது என்று கூறிய FSA, IT விற்பனையாளர்களுடன் கலந்தாலோசித்து வழிவரைபடம் வகுப்பதையும், குறியாக்கச் சரக்குப் பட்டியல் மற்றும் இடர் மதிப்பீட்டையும் உடனடியாகத் தொடங்குமாறு கேட்டுக்கொண்டது; ஆய்வுகள், கண்காணிப்பு உள்ளிட்ட கருவிகள் மூலம் முன்னேற்றத்தைப் பின்தொடர்வதாகவும் கூறியது.
குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியல் (PQC) என்றால் என்ன
குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியல் (post-quantum cryptography, PQC) என்பது, குவாண்டம் கணினிகள் நடைமுறைக்கு வந்தாலும், தற்போது அறியப்பட்டவரை திறமையான தாக்குதல் முறை எதுவும் இல்லாத குறியாக்கம் ஆகும்; FSA ஆய்வுக் குழு அறிக்கையின் சொற்களஞ்சியம் இதை இவ்வாறே வரையறுக்கிறது. குவாண்டம் இயக்கவியலின் கோட்பாடுகளைக் கொண்டு திறவுகோல்களைப் பகிரும் குவாண்டம் திறவுகோல் விநியோகத்திலிருந்து (quantum key distribution, QKD) இது வேறுபட்ட தொழில்நுட்பம்; நவம்பர் 2025-இல் வெளியான ஜப்பானிய அரசின் இடைக்கால அறிக்கையும் இவ்விரண்டையும் தனித்தனியாகவே கையாள்கிறது.
குவாண்டம் கணினியில் Shor அல்காரிதத்தை (1994-இல் வெளியானது) இயக்கினால் இன்றைய பொதுத் திறவுகோல் குறியாக்கவியலை உடைக்க முடியும் என்பது நீண்ட காலமாகவே அறியப்பட்டது; ஆனால் அதை இயக்கக்கூடிய குவாண்டம் கணினி எதுவும் இல்லாததால், அது நடைமுறை அச்சுறுத்தலாகக் கருதப்படவில்லை. அண்மை ஆண்டுகளில் குவாண்டம் கணினித் தொழில்நுட்பம் குறிப்பிடத்தக்க முன்னேற்றம் கண்டிருந்தாலும், பொதுத் திறவுகோல் குறியாக்கவியலுக்கு நடைமுறை அச்சுறுத்தலை ஏற்படுத்தும் நிலையை அது இன்னும் எட்டவில்லை என்று FSA அறிக்கை குறிப்பிடுகிறது. அரசின் இடைக்கால அறிக்கையின்படி, தகவல்தொடர்புகளில் பயன்படுத்தப்படும் பொதுத் திறவுகோல் குறியாக்கவியலை நடைமுறைக்கு உகந்த காலத்துக்குள் உடைக்க, குறைந்தது பத்து லட்சம் இயற்பியல் க்யூபிட்கள் (physical qubits) கொண்ட பிழை தாங்கும் குவாண்டம் கணினி (fault-tolerant quantum computer, FTQC) தேவைப்படும்.
| அல்காரிதம் | வகை | பயன்பாடு | பெரிய அளவிலான குவாண்டம் கணினியின் தாக்கம் |
|---|---|---|---|
| AES | சமச்சீர் திறவுகோல் | குறியாக்கம் | பெரிய திறவுகோல் அளவு தேவை |
| SHA-2, SHA-3 | ஹாஷ் சார்பு | ஹாஷ் கணக்கீடு | பெரிய வெளியீட்டு அளவு தேவை |
| RSA | பொதுத் திறவுகோல் | கையொப்பங்கள், திறவுகோல் நிறுவுதல் | இனி பாதுகாப்பானது அல்ல |
| ECDSA, ECDH (நீள்வட்ட வளைவு குறியாக்கவியல்) | பொதுத் திறவுகோல் | கையொப்பங்கள், திறவுகோல் பரிமாற்றம் | இனி பாதுகாப்பானது அல்ல |
| DSA (வரம்புறு புல குறியாக்கவியல்) | பொதுத் திறவுகோல் | கையொப்பங்கள், திறவுகோல் பரிமாற்றம் | இனி பாதுகாப்பானது அல்ல |
திறவுகோல்களை நீளமாக்குவதால் போதிய பாதுகாப்பை மீட்டெடுக்க முடியாது என்று கருதப்படுவதே, பொதுத் திறவுகோல் குறியாக்கவியலைச் சமச்சீர் குறியாக்கங்களிலிருந்தும் ஹாஷ் சார்புகளிலிருந்தும் வேறுபடுத்துகிறது. நிதி நிறுவனங்களில் பயனர் அங்கீகாரம், firmware கையொப்பங்கள், டிஜிட்டல் சான்றிதழ்கள், திறவுகோல் பரிமாற்றம் ஆகியவற்றைப் பொதுத் திறவுகோல் குறியாக்கவியல் பாதுகாக்கிறது. பாதுகாக்க வேண்டிய முக்கியத் தரவுகளாக, இணைய வங்கியின் அங்கீகாரத் தகவல்கள் மற்றும் பரிவர்த்தனைத் தரவு, பணம் எடுக்கும் அட்டைகளின் IC chip-இல் உள்ள அங்கீகாரத் தரவு, வங்கியின் உள் அலுவல் தரவு, மின்னஞ்சல் மற்றும் SMS ஆகியவற்றை FSA அறிக்கை பட்டியலிடுகிறது; Zengin System, BOJ-NET, ஒருங்கிணைந்த ATM இணைப்புச் சேவை, Densai.net, CAFIS, SWIFT போன்ற பகிர்ந்த சிஸ்டம்களையும் எடுத்துக்காட்டுகிறது. பகிர்ந்த சிஸ்டம்களை ஏராளமான நிறுவனங்கள் பயன்படுத்துவதால், அவற்றின் பாதுகாப்பு நடவடிக்கைகளில் மாற்றம் செய்ய ஒருமித்த கருத்தை எட்டக் காலம் ஆகும் என்று அறிக்கை எதிர்பார்க்கிறது.
ஏன் இப்போது: harvest now, decrypt later, நீண்ட இடம்பெயர்வுக் காலம்
குறியாக்கத்தை உடைக்கும் திறன் கொண்ட குவாண்டம் கணினி (cryptographically relevant quantum computer, CRQC) எப்போது தோன்றும் என்பது குறித்த மதிப்பீடுகள் பெரிதும் வேறுபடுகின்றன. சுமார் 2030 முதல் 2050 வரை என்பதிலிருந்து, அது ஒருபோதும் உருவாகாது என்பது வரை பல கருத்துகள் இருப்பதாக FSA அறிக்கை குறிப்பிடுகிறது. 2039-க்கு முன் RSA-2048-ஐ உடைக்கக்கூடிய குவாண்டம் கணினி உருவாகும் வாய்ப்பு 5%-க்கும் குறைவு என்று மதிப்பிடும் ஓர் ஆய்வையும், 2024 நிலவரப்படி 15 ஆண்டுகளுக்குள் அது உருவாகும் வாய்ப்பு சுமார் 39% முதல் 62% வரை என்று கணிக்கும் மற்றொரு பகுப்பாய்வையும் அரசின் இடைக்கால அறிக்கை மேற்கோள் காட்டி, அந்தக் காலத்தைத் துல்லியமாகக் கணிப்பது கடினம் என்று முடிவு செய்கிறது. இருந்தபோதிலும், இரண்டு காரணங்கள் தயாரிப்பை அவசரமாக்குகின்றன: harvest-now-decrypt-later தாக்குதல்கள், இடம்பெயர்வுக்கே ஆகும் நீண்ட காலம்.
Mosca சமனின்மை: X + Y > Z என்றால் நடவடிக்கை தேவை
harvest-now-decrypt-later (HNDL) தாக்குதலில், குறியாக்கம் செய்யப்பட்ட தரவு இப்போதே சேகரிக்கப்பட்டுச் சேமிக்கப்பட்டு, CRQC உருவான பின் குறிவிலக்கம் செய்யப்படுகிறது. Michele Mosca-வை மேற்கோள் காட்டி FSA அறிக்கை இவ்வாறு விளக்குகிறது: ஒரு குறியாக்க சிஸ்டத்தை இடம்பெயர்க்கத் தேவையான ஆண்டுகள் X, தரவு பாதுகாக்கப்பட வேண்டிய ஆண்டுகள் Y, CRQC தோன்றும் வரையிலான ஆண்டுகள் Z என்றால், X + Y > Z ஆக இருக்கும்போது HNDL தாக்குதல்களுக்கு எதிரான தயாரிப்பு தேவை. எடுத்துக்காட்டாக, இடம்பெயர்வுக்கு 10 ஆண்டுகள் ஆகி, தரவை 20 ஆண்டுகள் பாதுகாக்க வேண்டியிருந்தால், இடம்பெயர்வு முடிவதற்குச் சற்று முன் உருவாக்கப்பட்ட தரவையும் சேர்த்து, பழைய குறியாக்கத்தின் பாதுகாப்பு 30 ஆண்டுகள் நீடிக்க வேண்டும். அந்த 30 ஆண்டுகளுக்குள் CRQC தோன்றினால், அந்தத் தரவு HNDL தாக்குதல்களுக்கு உள்ளாகும்.
இடம்பெயர்வு நீண்ட காலம் எடுப்பதற்குப் பல காரணங்களை அறிக்கை குறிப்பிடுகிறது: TLS, மின்னணு ஆவணங்கள் மீதான கையொப்பங்கள், IC அட்டைகள், பயன்பாடுகளுக்கே உரிய குறியாக்கம் எனப் பல இடங்களில் பொதுத் திறவுகோல் குறியாக்கவியல் பயன்படுத்தப்படுவதால் அனைத்தையும் கண்டறிய நேரம் ஆகிறது; மேம்பாட்டு ஒப்பந்ததாரர்கள், தயாரிப்பு விற்பனையாளர்கள், இணைக்கப்பட்ட சிஸ்டம்களின் உரிமையாளர்கள் எனப் பல தரப்பினர் சம்பந்தப்பட்டுள்ளனர்; PQC-ஐ உள்ளடக்கிய நெறிமுறைகளும் (protocols) தயாரிப்புகளும் இன்னும் பரவலாகும் நிலையில் உள்ளன. RSA போன்ற முறைகள் முன்மொழியப்பட்டதிலிருந்து பரவலான பயன்பாட்டுக்கு வரச் சுமார் 20 ஆண்டுகள் ஆனதால், நீண்ட இடம்பெயர்வுக் கால அட்டவணையை வகுத்துத் தயாராக வேண்டும் என்று அரசின் இடைக்கால அறிக்கையும் கூறுகிறது.
முழுமைத்தன்மை (integrity), அதாவது சேதப்படுத்தலுக்கு எதிரான பாதுகாப்பு, CRQC உருவான பின்னரே பாதிக்கப்பட முடியும்; எனவே HNDL தாக்குதல்கள் அச்சுறுத்தும் ரகசியத்தன்மையை (confidentiality) விட அதற்குக் குறைந்த முன்னுரிமை அளிக்கலாம் என்று அறிக்கை கூறுகிறது. ஆனால் CRQC தோன்றுவதற்கு முன் டிஜிட்டல் கையொப்பமிடப்பட்ட தரவின் முழுமைத்தன்மைக்கான உத்தரவாதம் அதன் பின் இழக்கப்படும்; எனவே தரவுக் காப்பகங்கள் (data archives), நேர முத்திரைகள் (timestamps) போன்ற முழுமைத்தன்மையைச் சரிபார்க்கும் வழிமுறைகளைப் பரிசீலிக்குமாறு அறிக்கை பரிந்துரைக்கிறது.
NIST தரநிலைகள்: FIPS 203, 204, 205
அமெரிக்காவின் National Institute of Standards and Technology (NIST), பிப்ரவரி 2016-இல் தன் PQC தரப்படுத்தல் திட்டத்தை அறிவித்து, டஜன் கணக்கான வேட்பாளர் அல்காரிதங்களை மதிப்பிட்ட பின், 13 ஆகஸ்ட் 2024 அன்று தன் முதல் மூன்று PQC தரநிலைகளை வெளியிட்டது. NIST-இன் PQC தரப்படுத்தல் திட்டத்துக்குத் தலைமை தாங்கும் கணிதவியலாளர், சிஸ்டம் நிர்வாகிகள் இவற்றைத் தங்கள் சிஸ்டம்களில் உடனடியாக இணைக்கத் தொடங்க வேண்டும் என்றும், எதிர்காலத் தரநிலைகளுக்காகக் காத்திருக்கத் தேவையில்லை என்றும் வலியுறுத்தினார்.
| தரநிலை | முறை | பயன்பாடு | அடிப்படையும் பங்கும் |
|---|---|---|---|
| FIPS 203 | ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) | திறவுகோல் நிறுவுதல் | CRYSTALS-Kyber-ஐ அடிப்படையாகக் கொண்டது; பொதுவான குறியாக்கத்துக்கான முதன்மைத் தரநிலை |
| FIPS 204 | ML-DSA (Module-Lattice-Based Digital Signature Algorithm) | டிஜிட்டல் கையொப்பங்கள் | CRYSTALS-Dilithium-ஐ அடிப்படையாகக் கொண்டது; டிஜிட்டல் கையொப்பங்களுக்கான முதன்மைத் தரநிலை |
| FIPS 205 | SLH-DSA (Stateless Hash-Based Digital Signature Algorithm) | டிஜிட்டல் கையொப்பங்கள் | SPHINCS+-ஐ அடிப்படையாகக் கொண்டது; ML-DSA பாதிப்புக்கு உள்ளாகக்கூடியது எனத் தெரியவந்தால் பயன்படும் மாற்று; வேறுபட்ட கணித அணுகுமுறையைப் பயன்படுத்துகிறது |
Falcon-ஐ அடிப்படையாகக் கொண்ட FN-DSA என்ற கையொப்ப முறை FIPS 206 ஆகத் தரப்படுத்தப்பட உள்ளது. 5 ஆகஸ்ட் 2026 அன்று புதுப்பிக்கப்பட்ட NIST-இன் PQC திட்டப் பக்கம், Falcon-ஐயும் HQC-ஐயும் தொடர் தரப்படுத்தலுக்குத் தேர்ந்தெடுக்கப்பட்டவை என்று விவரிக்கிறது. ML-KEM உடைக்கப்பட்டால் மாற்றாகப் பயன்படும் திறவுகோல் உறையிடல் முறையான (key-encapsulation mechanism) HQC, 11 மார்ச் 2025 அன்று தேர்ந்தெடுக்கப்பட்டது; அப்போது, சுமார் ஓராண்டில் வரைவுத் தரநிலையை வெளியிட்டு 2027-இல் இறுதி செய்ய NIST திட்டமிட்டிருந்தது. ஜப்பானில், அரசின் இடைக்கால அறிக்கையின்படி, FIPS 203, 204, 205 ஆகியவற்றின் பாதுகாப்பையும் செயலாக்கச் செயல்திறனையும் CRYPTREC வரிசையாக மதிப்பிட்டு வருகிறது; அதன் முடிவுகளை CRYPTREC குறியாக்கப் பட்டியலில் (CRYPTREC Ciphers List) பிரதிபலிக்கச் செய்வதே நோக்கம்.
NIST IR 8547: 2030, 2035 இடம்பெயர்வுக் கால அட்டவணையின் வரைவு
12 நவம்பர் 2024 அன்று, குவாண்டம் பாதிப்புள்ள (quantum-vulnerable) அல்காரிதங்களிலிருந்து PQC-க்கு மாறும் தன் அணுகுமுறையை விவரிக்கும் NIST IR 8547, “Transition to Post-Quantum Cryptography Standards” என்ற ஆவணத்தை NIST ஆரம்பப் பொது வரைவாக (initial public draft, ipd) வெளியிட்டது. கருத்துக் கோரல் காலம் 10 ஜனவரி 2025 அன்று முடிவடைந்தது; பெறப்பட்ட கருத்துகள் 21 ஜனவரி 2025 அன்று வெளியிடப்பட்டன. 13 அக்டோபர் 2026 நிலவரப்படி, NIST-இன் Computer Security Resource Center (CSRC) தளத்தில் இந்த ஆரம்பப் பொது வரைவு மட்டுமே உள்ளது; இறுதிப் பதிப்பு வெளியிடப்படவில்லை.
| பயன்பாடு | அல்காரிதங்கள் | 112-பிட் பாதுகாப்பு வலிமை | 128 பிட் அல்லது அதற்கு மேல் |
|---|---|---|---|
| டிஜிட்டல் கையொப்பங்கள் | ECDSA, RSA | 2030-க்குப் பின் தவிர்க்கப்பட வேண்டியது, 2035-க்குப் பின் அனுமதி இல்லை | 2035-க்குப் பின் அனுமதி இல்லை |
| டிஜிட்டல் கையொப்பங்கள் | EdDSA | பட்டியலில் இல்லை | 2035-க்குப் பின் அனுமதி இல்லை |
| திறவுகோல் நிறுவுதல் | Finite field DH மற்றும் MQV, elliptic curve DH மற்றும் MQV, RSA | 2030-க்குப் பின் தவிர்க்கப்பட வேண்டியது, 2035-க்குப் பின் அனுமதி இல்லை | 2035-க்குப் பின் அனுமதி இல்லை |
“தவிர்க்கப்பட வேண்டியது” (deprecated) என்றால், அந்த அல்காரிதத்தைப் பயன்படுத்தலாம், ஆனால் அதில் சில இடர் உள்ளது; அதைத் தொடர்ந்து பயன்படுத்துவதா என்பதைத் தரவின் உரிமையாளர் தீர்மானிக்கிறார். “அனுமதி இல்லை” (disallowed) என்றால், குறிப்பிட்ட நோக்கத்துக்கு அதைப் பயன்படுத்த இனி அனுமதி இல்லை. அமெரிக்கக் கூட்டாட்சி சிஸ்டம்களின் PQC இடம்பெயர்வை முடிப்பதற்கான முதன்மை இலக்கு ஆண்டாக 2035-ஐ நிர்ணயிக்கும் தேசியப் பாதுகாப்புக் குறிப்பாணை 10-ஐ (NSM-10) வரைவு மேற்கோள் காட்டுகிறது; நீண்ட கால ரகசியத்தன்மை தேவைப்படும் சிஸ்டம்கள் போன்றவை முன்கூட்டியே மாற வேண்டியிருக்கலாம் என்றும் குறிப்பிடுகிறது. வலையமைப்புத் தகவல்தொடர்புகள் மீதான HNDL தாக்குதல்களைத் தணிக்க, பாரம்பரிய முறைகளுக்குப் பொதுவாக அனுமதி நீக்கப்படுவதற்கு முன்பே, குவாண்டம் எதிர்ப்புத் திறன் கொண்ட திறவுகோல் நிறுவுதலுக்கு மாறுமாறு பயன்பாடு சார்ந்த வழிகாட்டுதல்கள் கோரலாம் அல்லது பரிந்துரைக்கலாம் என்றும் அது கூறுகிறது.
IR 8547 என்பது அமெரிக்கக் கூட்டாட்சித் தரநிலைகளுக்கான இடம்பெயர்வுத் திட்டம்; இது ஜப்பானிய நிதி நிறுவனங்களுக்கு நேரடியாகப் பொருந்தாது. ஆனால், அமெரிக்க அரசு 2035-ஐ இலக்காகக் கொண்டு இடம்பெயர்வை முன்னெடுப்பதால், வைப்புத்தொகை ஏற்கும் நிறுவனங்களுக்குப் பொருந்தும் சட்டங்களிலும் வெளிநாட்டு ஒழுங்குமுறைகளிலும் இடம்பெயர்வுத் தேவைகள் சேர்க்கப்படக்கூடும் என்று FSA அறிக்கை சுட்டிக்காட்டுகிறது.
FSA ஆய்வுக் குழு அறிக்கை (நவம்பர் 2024): முக்கிய அம்சங்கள்
வைப்புத்தொகை ஏற்கும் நிதி நிறுவனங்களுக்கான குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியல் குறித்த தன் ஆய்வுக் குழுவின் மூன்று கூட்டங்களை FSA ஜூலை முதல் அக்டோபர் 2024 வரை நடத்தி, 26 நவம்பர் 2024 அன்று அறிக்கையை வெளியிட்டது. மூன்று பெரும் வங்கிக் குழுமங்களின் (megabanks) பிரதிநிதிகள், வைப்புத்தொகை ஏற்கும் நிறுவனங்களின் தொழில் சங்கங்களின் பிரதிநிதிகள், குறியாக்கவியல் நிபுணர்கள் ஆகியோர் உறுப்பினர்களாக இருந்தனர்; Financial ISAC Japan, CRYPTREC செயலகம், FISC, Bank of Japan-இன் Financial System and Bank Examination Department, National center of Incident readiness and Strategy for Cybersecurity (NISC) ஆகியவை பார்வையாளர்களாகப் பங்கேற்றன. இந்த ஆய்வுக் குழு நிர்வாக விவகாரங்கள் குறித்துக் கருத்துப் பரிமாற்றம் செய்வதற்கான மன்றம் என்றும், சட்டப்படி அமைக்கப்பட்ட மன்றம் அல்ல என்றும் அறிக்கை குறிப்பிடுகிறது.
கால அட்டவணை: 2030-களின் நடுப்பகுதி
தொழில்நுட்ப முன்னேற்றத்தையும் வெளிநாட்டு ஒழுங்குமுறைகளையும் கவனித்தபடியே, ஒவ்வொரு நிறுவனத்திலும் உள்ள அதிக முன்னுரிமை கொண்ட சிஸ்டம்கள் சுமார் 2030-களின் நடுப்பகுதிக்குள் PQC அல்காரிதங்களைப் பயன்படுத்தக்கூடிய நிலையில் இருக்க வேண்டும் என்று அறிக்கையின் நிர்வாகச் சுருக்கம் கூறுகிறது. அறிக்கையின் உடற்பகுதியில் உள்ள பரிந்துரைகள் “2030-களின் தொடக்கம் முதல் நடுப்பகுதி வரை” என்பதை அளவுகோலாகக் கொள்கின்றன; இந்தக் காலக்கெடு நிலையானது அல்ல என்றும், சட்டங்கள், ஒழுங்குமுறைகள், CRQC வளர்ச்சி ஆகியவற்றுக்கு ஏற்ப நெகிழ்வாக மறுஆய்வு செய்யப்பட வேண்டும் என்றும் கூறுகின்றன. காலக்கெடுவுக்குள் அதிக முன்னுரிமை கொண்ட சிஸ்டம்களை இடம்பெயர்க்க முடியாமல் போவதை எதிர்பாராத நிலையாகக் கருதி, மாற்று நடவடிக்கைகளைத் தயாரித்து வைக்குமாறும் அறிக்கை பரிந்துரைக்கிறது: முன்பகிர்ந்த திறவுகோல்கள் (pre-shared keys) மூலம் தகவல்தொடர்புகளைப் பாதுகாத்தல் (இதைப் பயன்படுத்தக்கூடிய சூழல்கள் மிகக் குறைவு என்ற குறிப்புடன்), குறியாக்கப்பட்ட தகவல்தொடர்புகளின் பயன்பாட்டைத் தேவையான குறைந்தபட்ச அளவுக்குக் கட்டுப்படுத்தும் கொள்கை, மிக முக்கியமான கையொப்பமிட்ட ஆவணங்களின் அசல் பிரதிகளைப் பாதுகாப்பாக வைத்திருத்தல் ஆகியவை அவற்றுள் அடங்கும்.
எந்த சிஸ்டம்களுக்கு முன்னுரிமை அளிப்பது
முக்கியமான, குவாண்டம் பாதிப்புள்ள, சுரண்டப்படும் வாய்ப்பு ஒப்பீட்டளவில் அதிகமுள்ள சிஸ்டம்களிலிருந்து தொடங்குவதே அடிப்படை அணுகுமுறை என்று அறிக்கை கூறுகிறது; இந்த மூன்று நிபந்தனைகளையும் பூர்த்தி செய்பவற்றுக்கு முன்னுரிமை அளிப்பதை எடுத்துக்காட்டாகத் தருகிறது. நீண்ட காலப் பாதுகாப்பு தேவைப்படும், முன்கூட்டியே நடவடிக்கை எடுக்க வேண்டியிருக்கக்கூடிய இரண்டு பயன்பாடுகளையும் அது குறிப்பிடுகிறது: எளிதில் மாற்ற முடியாத வன்பொருளின் firmware-க்கான code signing, TLS-இல் திறவுகோல் பரிமாற்றம். TLS-இல் நீண்ட மற்றும் குறுகிய சேமிப்புக் காலம் கொண்ட தகவல்கள் கலந்து, அனைத்தும் ஒரே மாதிரியாகச் செயலாக்கப்படக்கூடும் என்பதால், TLS திறவுகோல் பரிமாற்றத்துக்கு முன்னுரிமை அளிக்குமாறு அறிக்கை பரிந்துரைக்கிறது.
| அளவுகோல் | எடுத்துக்காட்டுகள் |
|---|---|
| அதிக முக்கியத்துவம் | FISC பாதுகாப்பு வழிகாட்டுதல்களின் கீழ் உள்ள “குறிப்பிட்ட சிஸ்டம்” (tokutei shisutemu) போலப் பெரிய சமூகத் தாக்கம் கொண்டது; நீண்ட பாதுகாப்புக் காலம் கொண்ட அல்லது கசிந்தால் மிகப் பெரிய தாக்கம் ஏற்படுத்தும் தரவைக் கையாள்கிறது; வெளிநாட்டு ஒழுங்குமுறைகளுக்கு உட்பட்டது |
| குவாண்டம் பாதிப்புள்ளது | பொதுத் திறவுகோல் குறியாக்கவியலையோ குறுகிய திறவுகோல் கொண்ட சமச்சீர் குறியாக்கத்தையோ பயன்படுத்துகிறது; மென்பொருள், firmware கையொப்பங்கள் போல, குவாண்டம் பாதிப்புள்ள குறியாக்கம் சொத்துகளை ஒப்பீட்டளவில் நீண்ட காலம் பாதுகாக்கிறது |
| சுரண்டப்படும் வாய்ப்பு ஒப்பீட்டளவில் அதிகம் | பாதுகாக்க வேண்டிய தகவல்களை இணையம் வழியாகப் பரிமாறுகிறது; இடர் மேலாண்மை நிலையை நிறுவனம் நேரடியாக அறிய முடியாத வெளிப்புற சிஸ்டம்களுடன் இணைந்து, அங்கு பாதுகாக்க வேண்டிய தகவல்கள் கையாளப்படுகின்றன; குறியாக்கத்தைத் தவிர வேறு பாதுகாப்பு இல்லை (பல அடுக்குப் பாதுகாப்பு இல்லை) |
மூத்த நிர்வாகத்தின் பங்கு
PQC-ஐ ஒரு முக்கிய இடர் மேலாண்மைப் பிரச்சினையாக அறிக்கை கருதுகிறது; மூத்த நிர்வாகம் அதை நிறுவனம் முழுவதற்குமான முன்முயற்சியாக முன்னின்று நடத்தி, ஒவ்வொரு சிஸ்டத்திலும் குறியாக்கம் எவ்வாறு பயன்படுத்தப்படுகிறது, தரவு எவ்வளவு முக்கியமானது, எவ்வளவு காலம் வைக்கப்படுகிறது என்பதைப் புரிந்துகொண்டு, இடம்பெயர்வுக் கொள்கையைத் தீர்மானிக்க வேண்டும் என்று கூறுகிறது. ஜப்பானிய நிதி நிறுவனங்கள் மேம்பாட்டுக்கும் இயக்கத்துக்கும் அவுட்சோர்சிங் வழங்குநர்களைப் பெரிதும் சார்ந்துள்ளன; ஆனால் விற்பனையாளர்களின் தயார்நிலை வேறுபடுவதால், விற்பனையாளர்களை முழுமையாகச் சார்ந்திருக்காமல் நிறுவனங்களே பொறுப்பேற்க வேண்டும் என்று அறிக்கை கேட்டுக்கொள்கிறது. நிறுவனத்துக்குள், வணிகம், சைபர் பாதுகாப்பு, IT, இடர் மேலாண்மை, உள் தணிக்கை, மக்கள் தொடர்பு ஆகிய பிரிவுகளின் பங்குகளையும் பொறுப்புகளையும் தெளிவுபடுத்த வேண்டும் என்றும், குறியாக்கவியல் நிபுணர்கள் பற்றாக்குறையாக இருந்தால் வெளிப் பங்காளிகள் உட்பட வளங்களைப் பெற வேண்டும் என்றும் அது பரிந்துரைக்கிறது.
இந்த அறிக்கை வைப்புத்தொகை ஏற்கும் நிறுவனங்களுக்கானது. ஆனால் பிப்ரவரி 2025-இல் Japan Investment Advisers Association உடனான கருத்துப் பரிமாற்றத்தில், ஆய்வுக் குழுவின் விவாதங்கள் பிற வணிக வகைகளுக்கும் பயனுள்ளதாக இருக்க வேண்டும் என்று FSA கூறியது. FISC பாதுகாப்பு வழிகாட்டுதல்கள் பொதுவாக அனைத்து நிதி நிறுவனங்களுக்காகவும் எழுதப்பட்டவை; எனவே பங்குத் தரகு நிறுவனங்கள், காப்பீட்டு நிறுவனங்கள், சொத்து மேலாண்மை நிறுவனங்கள் ஆகியவையும் இதே வழியில் தயாராவதே நடைமுறைக்கு உகந்தது.
2025-இல் FSA-வின் கோரிக்கை: தயாரிப்பைத் தள்ளிப்போட வேண்டாம்
அறிக்கையை வெளியிட்ட பின், நிதி நிறுவனங்களுடனான கருத்துப் பரிமாற்றங்களிலும் இடம்பெயர்வைத் தொடங்குமாறு FSA வலியுறுத்தி வருகிறது. புதிய வணிக மாதிரிகளைக் கொண்ட வங்கிகளுடன் 6 ஜூன் 2025 அன்று நடந்த கூட்டத்துக்கான குறிப்புகளில், குவாண்டம் கணினிகள் தவறாகப் பயன்படுத்தப்பட்டால், இணைய வங்கி போன்ற சேவைகளில் பயன்படுத்தப்படும் குறியாக்கம் உடைக்கப்பட்டு, வாடிக்கையாளர் தகவல்களின் ரகசியத்தன்மை பாதிக்கப்படக்கூடும் என்று அது சுட்டிக்காட்டியது. பெரிய சிஸ்டம் புதுப்பிப்புகள் பொதுவாகச் சில ஆண்டுகளுக்கு ஒருமுறையே நடப்பதால் PQC இடம்பெயர்வுக்கான வாய்ப்புகள் குறைவு என்று குறிப்பிட்டு, இதைத் தொலைதூரப் பிரச்சினையாகக் கருதித் தயாரிப்பைத் தள்ளிப்போடுவது பொருத்தமற்றது என்று கூறி, உடனடியாகத் தொடங்குமாறு FSA கேட்டுக்கொண்டது.
- வழிவரைபடம் (roadmap): ஆய்வின் தொடக்கம் முதல் இடம்பெயர்வு முடியும் வரையிலான அனைத்துப் பணிகளுக்கும், IT விற்பனையாளர்களுடன் கலந்தாலோசித்து இப்போதே ஒரு வழிவரைபடத்தை உருவாக்கவும். Financial ISAC Japan வழிவரைபட மாதிரியை உருவாக்கி வருகிறது; ஆனால் அதற்காகக் காத்திருக்காமல், தாங்களே செய்யக்கூடியவற்றை நிறுவனங்கள் தொடங்க வேண்டும்.
- சரக்குப் பட்டியலும் இடர் மதிப்பீடும்: தகவல் சொத்துகளை முழுமையாக அறிந்து, ஒவ்வொன்றும் பயன்படுத்தும் குறியாக்கத்தைப் பட்டியலிடும் சரக்குப் பட்டியலை உருவாக்கவும். குவாண்டம் கணினிகள் வந்த பின் குறியாக்கம் பாதிக்கப்படும் இடரையும், HNDL தாக்குதல்களுக்கு எதிராக இப்போதே நடவடிக்கை தேவைப்படும் இடர்களையும் மதிப்பிட்டு, முக்கியத்துவத்தையும் அவசரத்தையும் மதிப்பிடவும்.
- பின்தொடர்தல்: Financial ISAC Japan, தொழில் சங்கங்கள் ஆகியவற்றுடன் இணைந்து, ஆய்வுகள், கண்காணிப்பு உள்ளிட்ட கருவிகளைப் பயன்படுத்தி, ஒவ்வொரு நிறுவனத்தின் மற்றும் முழுத் தொழில்துறையின் PQC இடம்பெயர்வை FSA ஊக்குவித்துப் பின்தொடரும்.
FISC பாதுகாப்பு வழிகாட்டுதல்களின் 14-ஆம் பதிப்புடனான தொடர்பு
மார்ச் 2026-இல் வெளியான FISC Security Guidelines on Computer Systems for Financial Institutions-இன் 14-ஆம் பதிப்பு, தன் திருத்தப் பகுதிகளில் ஒன்றாகக் குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியலைப் பட்டியலிட்டு, FSA ஆய்வுக் குழு அறிக்கையின் “PQC இடம்பெயர்வில் கவனிக்க வேண்டிய அம்சங்கள் மற்றும் எதிர்வினைக் கால அட்டவணை” உள்ளிட்டவற்றைப் பிரதிபலிப்பதாகக் கூறுகிறது. எந்த உருப்படிகள் எவ்வாறு மாறின என்பதை FISC-இன் பொதுப் பக்கங்கள் காட்டவில்லை; எனவே விவரங்களை வாங்கிய பதிப்பில் சரிபார்க்கவும். முன்னுரிமை அளவுகோலுக்கான எடுத்துக்காட்டாக FISC-இன் “குறிப்பிட்ட சிஸ்டம்களை” அறிக்கையே குறிப்பிடுவதால், PQC உருப்படிகளை FISC பொருத்த அட்டவணையில் (mapping table) நிர்வகித்து, குறியாக்கச் சரக்குப் பட்டியலையும் இடம்பெயர்வுத் திட்டத்தையும் சான்றுகளாக அவற்றுடன் இணைப்பது உதவும்; இது ஆய்வாளர்களுக்கும் உள் தணிக்கையாளர்களுக்கும் நிலையை விளக்குவதை எளிதாக்கும்.
அரசு மற்றும் G7 கால அட்டவணைகள்: பொது இலக்காக 2035
அரசு நிறுவனங்களில் குவாண்டத்திற்குப் பிந்தைய குறியாக்கவியலைப் பயன்படுத்துவது குறித்த அமைச்சகங்களுக்கு இடையிலான ஒருங்கிணைப்புக் கூட்டத்தின் முதல் கூட்டத்தை ஜப்பானிய அரசு 30 ஜூன் 2025 அன்று நடத்தி, நவம்பர் 2025-இல் இடைக்கால அறிக்கையை வெளியிட்டது. அமெரிக்கா, EU, பிரிட்டன், கனடா உள்ளிட்ட பல நாடுகள் 2035-ஐக் காலக்கெடுவாகக் கொண்டு இடம்பெயர்வதைச் சுட்டிக்காட்டி, அரசு நிறுவனங்கள் கொள்கையளவில் 2035-க்குள் PQC இடம்பெயர்வை முடிக்க இலக்கு வைக்கும் என்றும், 2026 நிதியாண்டில் ஒரு வழிவரைபடம் வகுக்கப்படும் என்றும் இடைக்கால அறிக்கை கூறுகிறது. இது அரசு நிறுவனங்களை உள்ளடக்கியது என்றாலும், PQC இடம்பெயர்வு முக்கிய உள்கட்டமைப்பு இயக்குநர்களும் தனியார் வணிகங்களும் கருத்தில் கொள்ள வேண்டிய பிரச்சினை என்றும், சுமூகமான மாற்றத்துக்கு அரசு ஆதரவளிக்கும் என்றும் அது கூறுகிறது. அரசின் செயல் திட்டம் வரையறுக்கும் முக்கிய உள்கட்டமைப்புத் துறைகளில் நிதியும் ஒன்று.
G7 நிதி அமைச்சர்களுக்கும் மத்திய வங்கி ஆளுநர்களுக்கும் ஆலோசனை வழங்கும் G7 Cyber Expert Group (CEG), 12 ஜனவரி 2026 அன்று Statement on Advancing a Coordinated Roadmap for the Transition to Post-Quantum Cryptography in the Financial Sector என்ற அறிக்கையை வெளியிட்டது; அதன் தற்காலிக ஜப்பானிய மொழிபெயர்ப்பை FSA வெளியிட்டுள்ளது. இந்த அறிக்கை வழிகாட்டுதல்களையோ ஒழுங்குமுறை எதிர்பார்ப்புகளையோ நிர்ணயிக்கவில்லை என்று கூறுகிறது. தற்போதைய வழிகாட்டுதல்கள் பெரும்பாலும் 2035-ஐ ஒட்டுமொத்த இலக்காகக் குறிப்பிடுவதைச் சுட்டிக்காட்டி, மிக முக்கியமான சிஸ்டம்களுக்கு முன்னுரிமை அளிப்பது, எடுத்துக்காட்டாக 2030 முதல் 2032-க்குள் அவற்றைக் கையாள்வது, இடர்கள் முன்கூட்டியே நிகழ்ந்தால் ஏற்படும் பாதிப்பைக் கட்டுப்படுத்தும் என்று அது கூறுகிறது. இடம்பெயர்வுச் செயல்பாடுகளை அது ஆறு கட்டங்களாகத் தொகுக்கிறது: விழிப்புணர்வும் தயாரிப்பும், கண்டறிதலும் சரக்குப் பட்டியலும், இடர் மதிப்பீடும் திட்டமிடலும், இடம்பெயர்வுச் செயலாக்கம், இடம்பெயர்வுச் சோதனை, சரிபார்ப்பும் கண்காணிப்பும். ஆனால் பல செயல்பாடுகள் இணையாக நடந்து மீண்டும் மீண்டும் மேற்கொள்ளப்படும் என்றும் அது வலியுறுத்துகிறது.
| ஆவணம் | வரம்பு | கால அட்டவணை |
|---|---|---|
| FSA ஆய்வுக் குழு அறிக்கை (நவம்பர் 2024) | வைப்புத்தொகை ஏற்கும் நிதி நிறுவனங்கள் | அதிக முன்னுரிமை கொண்ட சிஸ்டம்களில் சுமார் 2030-களின் நடுப்பகுதிக்குள் PQC பயன்படுத்தக்கூடிய நிலை (உடற்பகுதியில் 2030-களின் தொடக்கம் முதல் நடுப்பகுதி வரை) |
| அரசின் இடைக்கால அறிக்கை (நவம்பர் 2025) | ஜப்பானிய அரசு நிறுவனங்கள் | கொள்கையளவில் 2035-க்குள் இடம்பெயர்வு; 2026 நிதியாண்டில் வழிவரைபடம் |
| NIST IR 8547 ஆரம்பப் பொது வரைவு (நவம்பர் 2024) | அமெரிக்கக் கூட்டாட்சித் தரநிலைகள் | 112-பிட் வலிமை கொண்ட குவாண்டம் பாதிப்புள்ள முறைகள் 2030-க்குப் பின் தவிர்க்கப்பட வேண்டியவை; குவாண்டம் பாதிப்புள்ள பொதுத் திறவுகோல் முறைகளுக்கு 2035-க்குப் பின் அனுமதி இல்லை |
| G7 CEG அறிக்கை (ஜனவரி 2026) | G7 நிதித் துறை (கட்டாயமானது அல்ல) | ஒட்டுமொத்தமாக 2035; மிக முக்கியமான சிஸ்டம்களுக்கு, எடுத்துக்காட்டாக, 2030 முதல் 2032 |
| பிரிட்டனின் NCSC (மார்ச் 2025) | பிரிட்டனின் பெரிய நிறுவனங்கள், முக்கியத் தேசிய உள்கட்டமைப்பு இயக்குநர்கள் உள்ளிட்டோர் | 2028-க்குள் கண்டறிதலும் ஆரம்பத் திட்டமும்; 2031-க்குள் மிக அதிக முன்னுரிமை கொண்ட இடம்பெயர்வு; 2035-க்குள் அனைத்து இடம்பெயர்வும் நிறைவு |
Crypto-agility-யும் கலப்பு முறைகளும்
Crypto-agility என்பது, ஒரு குறியாக்க முறையிலிருந்து மற்றொன்றுக்குச் சுமூகமாகவும் குறைந்தபட்ச இடையூறுடனும் மாறுவதற்கு ஒரு சிஸ்டத்துக்கு உள்ள பண்பு. PQC ஒப்பீட்டளவில் புதியது; NIST தரப்படுத்தல் செயல்முறையின் நான்காம் சுற்றை எட்டிய பின் உடைக்கப்பட்ட SIKE என்ற வேட்பாளரை FSA அறிக்கை சுட்டிக்காட்டுகிறது. எனவே, குவாண்டம் பாதிப்புள்ள குறியாக்கத்திலிருந்து PQC-க்கு ஒருமுறை மட்டும் மாறுவதற்கு அல்லாமல், பலமுறை இடம்பெயர்வதற்குத் திட்டமிடுமாறு அது பரிந்துரைக்கிறது. அறிக்கை தரும் நடைமுறை வழிமுறைகள் பின்வருமாறு.
- குறியாக்க அழைப்புகளைச் சுருக்கமாக்குதல் (abstraction): பயன்பாட்டின் முதன்மை நிரல்பகுதி சுருக்கமாக்கப்பட்ட குறியாக்கச் செயல்பாடுகளை மட்டுமே அழைக்கும்படி அமைத்து, குறிப்பிட்ட அல்காரிதங்கள் மற்றும் அளவுருக்களுக்கான செயலாக்கத்தைத் தனியாக வைக்கவும்.
- தரநிலை அடிப்படையிலான தயாரிப்புகளைத் தேர்ந்தெடுத்தல்: தரப்படுத்தப்பட்ட PQC அல்காரிதங்களையும் அளவுருக்களையும் தேர்ந்தெடுக்க அனுமதிக்கும், அல்லது தரப்படுத்தப்பட்ட நெறிமுறை விவரக்குறிப்புகளைச் செயல்படுத்தும் தயாரிப்புகளைப் பயன்படுத்தவும்.
- செல்லுபடிக் காலத்தைக் குறுகியதாக வைத்தல்: டிஜிட்டல் சான்றிதழ்கள், IC அட்டைகள் போன்ற மூன்றாம் தரப்பினருக்கு விநியோகிக்கப்படுபவற்றுக்கு ஒப்பீட்டளவில் குறுகிய செல்லுபடிக் காலத்தை அமைக்கவும்.
- நெறிமுறைகளை மேம்படுத்துதல்: PQC-ஐ ஒருபோதும் ஆதரிக்காமல் போகக்கூடிய நெறிமுறைகளையும் பதிப்புகளையும் மேம்படுத்தவும்; TLS 1.2-இலிருந்து TLS 1.3-க்கு மாறுவதை அறிக்கை எடுத்துக்காட்டாகக் குறிப்பிடுகிறது.
- சான்றிதழ்களையும் திறவுகோல்களையும் மையமாக நிர்வகித்தல்: டிஜிட்டல் சான்றிதழ்களின் வாழ்க்கைச் சுழற்சியை மையமாகக் கையாண்டு தானாகப் புதுப்பிக்கும் மேலாண்மைத் தளங்களை அதிகம் பயன்படுத்தவும்.
கலப்பு முறை (hybrid scheme) என்பது, ஒரே குறியாக்கச் செயல்பாட்டில் தற்போதைய குறியாக்கத்தையும் PQC-ஐயும் இணைத்து, இரண்டில் ஒன்று உடைக்கப்பட்டாலும் பாதுகாப்பைத் தக்கவைக்க முயலும் முறை; முழு இடம்பெயர்வை நோக்கிய மாறுதல் காலத்தில் இது பெரும்பாலும் பயன்படுத்தப்படுகிறது. தனிப்பயன் செயலாக்கங்கள், ஒட்டுமொத்த சிஸ்டத்தின் பாதுகாப்பை அதன் மிகப் பலவீனமான முறையின் அளவுக்குக் குறைத்துவிடும் அபாயம் உள்ளது என்று அறிக்கை எச்சரிக்கிறது; RFC 9370 ஆக வெளியிடப்பட்ட IKEv2 கலப்பு முறை போன்ற, தரப்படுத்தப்பட்ட அல்லது தரப்படுத்தப்பட்டு வரும் முறைகளைப் பின்பற்றுமாறு பரிந்துரைக்கிறது. செயல்திறனைப் பொறுத்தவரை, திறவுகோல் அளவு, கையொப்ப அளவு, கணக்கீடு ஆகியவற்றில் குறைந்தது ஒன்றிலாவது PQC தற்போதைய பொதுத் திறவுகோல் குறியாக்கவியலை விட அதிக வளங்களைப் பயன்படுத்துகிறது; இதனால் TLS சர்வர் சான்றிதழ்களைக் கொண்டு செல்வதிலும், ஒரு வலை சர்வர் ஒரே நேரத்தில் கையாளக்கூடிய இணைப்புகளின் எண்ணிக்கையிலும் சிக்கல்கள் எழுகின்றன. மாறுதல் காலத்தில், PQC-ஐ ஆதரிக்கும் மற்றும் ஆதரிக்காத தரப்புகள் கலந்திருப்பதையும், இரண்டுக்கும் சேவை செய்யக்கூடிய செயல்பாடுகளையும் நிறுவனங்கள் திட்டமிட வேண்டும்.
நிதி நிறுவனம் எங்கிருந்து தொடங்க வேண்டும்: ஆறு படிகள்
- மூத்த நிர்வாகத்தை ஈடுபடுத்தி அமைப்பை உருவாக்குதல்: PQC இடம்பெயர்வை இடர் மேலாண்மைப் பிரச்சினையாக மூத்த நிர்வாகத்திடம் அறிக்கையிட்டு, இடம்பெயர்வுக் கொள்கை, பொறுப்பான நிர்வாகி, சம்பந்தப்பட்ட பிரிவுகளின் (IT, சைபர் பாதுகாப்பு, இடர் மேலாண்மை, உள் தணிக்கை, வணிகப் பிரிவுகள் உள்ளிட்டவை) பங்குகள் ஆகியவற்றைத் தீர்மானிக்கவும். ஒவ்வொரு முடிவையும் அதன் காரணத்தையும் கூட்டக் குறிப்புகளிலோ ஒப்புதல் பதிவுகளிலோ பதிவு செய்யவும்.
- குறியாக்கச் சரக்குப் பட்டியலை உருவாக்குதல்: உள்ளக சிஸ்டம்கள், வெளியிலிருந்து வழங்கப்பட்ட சிஸ்டம்கள் மற்றும் தயாரிப்புகள் இரண்டையும் உள்ளடக்கி, அதிக முன்னுரிமை கொண்ட சிஸ்டம்களிலிருந்து தொடங்கி, குறியாக்கம் எங்கு, எந்த நோக்கத்துக்கு, எந்த அல்காரிதங்கள் மற்றும் திறவுகோல் நீளங்களுடன் பயன்படுத்தப்படுகிறது, திறவுகோல்கள் எவ்வாறு நிர்வகிக்கப்படுகின்றன என்பதைப் பட்டியலிடவும். ஏற்கெனவே IT சொத்துப் பேரேடு இருந்தால், பயன்பாட்டில் உள்ள மற்றும் பயன்படுத்தக்கூடிய அல்காரிதங்களுக்கான புலங்களைச் சேர்ப்பது ஒரு வழி.
- முன்னுரிமை அளித்தல்: தரவு எவ்வளவு காலம் பாதுகாக்கப்பட வேண்டும், வணிகம் எவ்வளவு முக்கியமானது, இணையம் மற்றும் வெளிப்புற சிஸ்டம்களுடனான தொடர்பு, பல அடுக்குப் பாதுகாப்பு உள்ளதா என்பவற்றின் அடிப்படையில் சிஸ்டம்களை வரிசைப்படுத்தவும். TLS திறவுகோல் பரிமாற்றம் போன்ற HNDL தாக்குதல்களுக்கு அதிகம் உள்ளாகும் பயன்பாடுகளையும், நீண்ட காலம் சேவையில் இருக்கும் கருவிகளின் firmware கையொப்பங்களையும் முன்கூட்டியே மதிப்பிடவும்.
- இடம்பெயர்வுத் திட்டத்தில் crypto-agility-யை இணைத்தல்: PQC இடம்பெயர்வையும் crypto-agility-யையும் பெரிய சிஸ்டம் புதுப்பிப்புகள் மற்றும் மேம்படுத்தல்களுடன் ஒத்திசைத்து, அதிக முன்னுரிமை கொண்டவற்றிலிருந்து தொடங்கிக் காலக்கெடுக்களை நிர்ணயிக்கவும். காலக்கெடு தவறினால் மேற்கொள்ள வேண்டிய மாற்று நடவடிக்கைகளையும் சேர்க்கவும்.
- விற்பனையாளர்களிடமும் கிளவுட் வழங்குநர்களிடமும் கேட்டல்: மேம்பாட்டு விற்பனையாளர்கள், தயாரிப்பு விற்பனையாளர்கள், கிளவுட் வழங்குநர்கள் ஆகியோரிடம் அவர்களின் PQC வழிவரைபடங்களைக் கேட்டு, ஒப்பந்தம் செய்யும்போதோ புதுப்பிக்கும்போதோ ஆதரவுத் தேதிகளை நிபந்தனையாக்குவதைப் பரிசீலிக்கவும்.
- பதிவுசெய்து, தொடர்ந்து மறுஆய்வு செய்தல்: ஒவ்வொரு சிஸ்டம் புதுப்பிப்பின்போதும் சரக்குப் பட்டியலைப் புதுப்பித்து, தரநிலைகள், ஒழுங்குமுறைகள், CRQC வளர்ச்சி ஆகியவற்றுக்கு ஏற்பத் திட்டத்தை மறுஆய்வு செய்யவும். இடரை ஏற்றுக்கொள்ளும் முடிவுகளையும் காரணங்களுடன் பதிவு செய்யவும்.
குறியாக்கச் சரக்குப் பட்டியலில் பதிவு செய்ய வேண்டியவை
| புலம் | எடுத்துக்காட்டுகள் |
|---|---|
| குறியாக்கம் பயன்படும் இடம் | பயனர்களுடனான தகவல்தொடர்பு, இணைய VPN மூலமான தொலைநிலை அணுகல், மின்னணு ஆவணங்கள் மற்றும் மின்னஞ்சல் மீதான கையொப்பங்கள், சர்வர் சான்றிதழ்கள் மூலமான அங்கீகாரம், தரவுத்தளக் குறியாக்கம் |
| நோக்கம் | தகவல்தொடர்புகளைப் பாதுகாத்தல், வாடிக்கையாளர் தகவல்களைப் பாதுகாப்பாகச் சேமித்தல், ஆவணங்கள் சேதப்படுத்தப்படுவதைத் தடுத்தல், சர்வர் ஆள்மாறாட்டத்தைத் தடுத்தல் |
| செயல்படுத்தப்பட்ட இடம் | உள்ளகப் பயன்பாடுகளில் தனிப்பயன் செயலாக்கம்; வெளியிலிருந்து வழங்கப்பட்ட தயாரிப்புகள் (வன்பொருள், மென்பொருள், பயன்பாடுகள்) |
| அல்காரிதங்களும் திறவுகோல்களும் | RSA-OAEP, ECDH, RSA-PSS, ECDSA உள்ளிட்டவை; திறவுகோல் நீளம், திறவுகோல்கள் எவ்வளவு அடிக்கடி புதுப்பிக்கப்படுகின்றன |
| திறவுகோல் மேலாண்மை | நிறுவனத்துக்குச் சொந்தமான HSM; கிளவுட் சேவையில் மேலாண்மை |
| நீண்ட காலப் பாதுகாப்பு தேவைப்படும் தரவுடனான தொடர்பு | அத்தகைய தரவை இணையம் வழியாக அனுப்புதல் அல்லது பெறுதல்; அவுட்சோர்சிங் வழங்குநரின் சிஸ்டம்களில் சேமித்தல் |
| பொறுப்பாளர் | குறியாக்கத்தைப் பயன்படுத்தும் சிஸ்டத்துக்குப் பொறுப்பானவர் |
தகவல்களைச் சேகரிக்க, சிஸ்டம் உரிமையாளர்களிடம் நேர்காணல், மேம்பாட்டு மற்றும் தயாரிப்பு விற்பனையாளர்களிடம் நேர்காணல், வலையமைப்பு ஸ்கேனிங் கருவிகள் மூலம் கண்டறிதல், பயன்பாட்டு நிரல் குறியீட்டின் பகுப்பாய்வு ஆகியவற்றை அறிக்கை பரிந்துரைக்கிறது; சரக்குப் பட்டியல் ஒருமுறை மட்டும் செய்யும் பணி அல்ல என்றும், தொடர்ந்தும் ஒவ்வொரு சிஸ்டம் புதுப்பிப்பின்போதும் அது புதுப்பிக்கப்பட வேண்டும் என்றும் வலியுறுத்துகிறது. தயாரிப்புகளுக்குள் உட்பொதிக்கப்பட்ட குறியாக்கத்தைக் கண்டறிதல் கருவிகள் கண்டுபிடிக்காமல் போகலாம் என்பதால், தயாரிப்புகளில் உட்பொதிக்கப்பட்ட குறியாக்கத்தின் பட்டியலை விற்பனையாளர்களிடம் கேட்க வேண்டும் என்று CISA, NSA, NIST ஆகியவற்றின் தகவல் தாள் குறிப்பிடுகிறது. வடிவத்தைப் பொறுத்தவரை, Ecma சர்வதேசத் தரநிலையாக ஏற்கப்பட்ட CycloneDX v1.6 வரையறுக்கும் வடிவமும் பயனுள்ள தேர்வு என்று FSA அறிக்கை கூறுகிறது.
விற்பனையாளர்களிடமும் கிளவுட் வழங்குநர்களிடமும் கேட்க வேண்டியவை
- PQC இடம்பெயர்வு வழிவரைபடம்: PQC அல்காரிதங்கள் எப்போது சோதிக்கப்பட்டுத் தயாரிப்புகளில் இணைக்கப்படும். விற்பனையாளர்கள் தங்கள் PQC வழிவரைபடங்களை வெளியிடுவது விரும்பத்தக்கது என்று CISA, NSA, NIST கூறுகின்றன.
- உட்பொதிக்கப்பட்ட குறியாக்கம்: தயாரிப்பு அல்லது சேவைக்குள் பயன்படுத்தப்படும் அல்காரிதங்களும் திறவுகோல் நீளங்களும்.
- முறையும் செலவும்: புதிய தயாரிப்புகள் PQC உள்ளிணைந்த நிலையில் வழங்கப்படுமா, தற்போதைய தயாரிப்புகள் எப்போது, எந்தப் புதுப்பிப்புகள் மூலம் PQC-ஐ ஆதரிக்கும், இடம்பெயர்வுக்கு எவ்வளவு செலவாகும் என்று எதிர்பார்க்கப்படுகிறது.
- கிளவுடில் PQC-ஐச் செயல்படுத்துதல்: கிளவுட் சேவையில் PQC-ஐப் பயன்படுத்த அமைப்பு மாற்றங்களோ பயன்பாட்டுப் புதுப்பிப்புகளோ தேவையா.
- விற்பனையாளரின் சொந்தத் தயார்நிலை: உயர் நிர்வாகத்தின் ஈடுபாடு, குறியாக்கச் சரக்குப் பட்டியல், இடம்பெயர்வுக்கு முன்னுரிமை அளிக்கும் கொள்கை. இவை தொடர்பாக FS-ISAC வழங்கும் மாதிரிக் கேள்விகளை உண்மையான விற்பனையாளர் நேர்காணல்களில் பயன்படுத்தலாம் என்று FSA அறிக்கை கூறுகிறது.
கேள்விகளும் பதில்களும்
- ஜப்பானிய நிதி நிறுவனங்கள் PQC-க்கு இடம்பெயர வேண்டும் என்று கட்டாயப்படுத்தும் சட்டம் உள்ளதா?
- PQC தொடர்பாக இயற்றப்பட்ட சட்டங்களும் ஒழுங்குமுறைகளும் இன்னும் குறைவு என்று FSA அறிக்கை குறிப்பிட்டு, ஜப்பானிலும் வெளிநாடுகளிலும் சட்ட மற்றும் ஒழுங்குமுறை வளர்ச்சிகளைத் தொடர்ந்து கவனிக்குமாறு நிறுவனங்களைக் கேட்டுக்கொண்டது (நவம்பர் 2024 நிலவரம்). அதன் பின், 2025-இல் நடந்த கருத்துப் பரிமாற்றங்களில், தயாரிப்பைத் தள்ளிப்போடாமல் உடனடியாகத் தொடங்குமாறு FSA நிறுவனங்களைக் கேட்டுக்கொண்டுள்ளது; Financial ISAC Japan, தொழில் சங்கங்கள் ஆகியவற்றுடன் இணைந்து, ஆய்வுகள், கண்காணிப்பு உள்ளிட்ட கருவிகள் மூலம் முன்னேற்றத்தைப் பின்தொடர்வதாகவும் கூறுகிறது. FISC பாதுகாப்பு வழிகாட்டுதல்களின் 14-ஆம் பதிப்பும் அறிக்கையின் கால அட்டவணையைப் பிரதிபலிக்கிறது. சட்ட நிலை எதுவாக இருந்தாலும், நிறுவனம் எவ்வளவு முன்னேறியுள்ளது என்று FSA-வின் கண்காணிப்பு கேட்கும் என எதிர்பார்ப்பதே நடைமுறைக்கு உகந்தது.
- இடம்பெயர்வு எப்போதுக்குள் முடிய வேண்டும்?
- அதிக முன்னுரிமை கொண்ட சிஸ்டம்கள் சுமார் 2030-களின் நடுப்பகுதிக்குள் (அறிக்கையின் உடற்பகுதியில் 2030-களின் தொடக்கம் முதல் நடுப்பகுதி வரை) PQC அல்காரிதங்களைப் பயன்படுத்தக்கூடிய நிலையில் இருக்க வேண்டும் என்று FSA அறிக்கை கூறுகிறது. அரசு நிறுவனங்களைக் கொள்கையளவில் 2035-க்குள் இடம்பெயர்க்க ஜப்பானிய அரசு இலக்கு வைத்துள்ளது; G7 Cyber Expert Group ஒட்டுமொத்த இலக்காக 2035-ஐக் குறிப்பிட்டு, மிக முக்கியமான சிஸ்டம்களை எடுத்துக்காட்டாக 2030 முதல் 2032-க்குள் கையாள்வதைக் குறிப்பிடுகிறது. இவை எதுவும் நிலையான காலக்கெடு அல்ல; தொழில்நுட்பமும் ஒழுங்குமுறையும் மாறும்போது மறுஆய்வு செய்யப்படும். ஒரு சிஸ்டத்தின் தரவு எவ்வளவு நீண்ட காலம் பாதுகாக்கப்பட வேண்டுமோ, அவ்வளவு முன்கூட்டியே அது மாற வேண்டும்.
- பங்குத் தரகு நிறுவனங்களும் காப்பீட்டு நிறுவனங்களும் நடவடிக்கை எடுக்க வேண்டுமா?
- FSA அறிக்கை வைப்புத்தொகை ஏற்கும் நிறுவனங்களுக்கானது; ஆனால் பிப்ரவரி 2025-இல் Japan Investment Advisers Association உடனான கருத்துப் பரிமாற்றத்தில், ஆய்வுக் குழுவின் விவாதங்கள் பிற வணிக வகைகளுக்கும் பயனுள்ளதாக இருக்க வேண்டும் என்று FSA கூறியது. அனைத்து வகை நிதி நிறுவனங்களும் பார்க்கும் FISC பாதுகாப்பு வழிகாட்டுதல்களின் 14-ஆம் பதிப்பில் PQC தொடர்பான திருத்தங்களும் உள்ளன. நீண்ட காலப் பாதுகாப்பு தேவைப்படும் வாடிக்கையாளர் அல்லது பரிவர்த்தனைத் தரவைக் கையாளும் எந்த நிறுவனமும் இதே வழியில் தயாராவது நல்லது.
- AES போன்ற சமச்சீர் குறியாக்கங்களையும் ஹாஷ் சார்புகளையும் மாற்ற வேண்டுமா?
- இடம்பெயர்வின் முதன்மை இலக்கு பொதுத் திறவுகோல் முறைகள். FSA அறிக்கை மேற்கோள் காட்டும் NIST கண்ணோட்டத்தில், AES போன்ற சமச்சீர் குறியாக்கங்களைப் பெரிய திறவுகோல்களாலும், SHA-2, SHA-3 போன்ற ஹாஷ் சார்புகளைப் பெரிய வெளியீடுகளாலும் வலுப்படுத்தலாம். இன்று பெரும்பாலும் பயன்படுத்தப்படும் சுமார் 128 பிட் சமச்சீர் குறியாக்கங்களையும் ஹாஷ் சார்புகளையும் வலுவான திறவுகோல் நீளங்களுக்கு மாற்றுவதைப் பரிசீலிக்க வேண்டும் என்று அரசின் இடைக்கால அறிக்கை கூறுகிறது. குறுகிய திறவுகோல் கொண்ட சமச்சீர் குறியாக்கத்தின் பயன்பாடும் FSA அறிக்கையின் முன்னுரிமை அளவுகோல்களில் அடங்கும்.
- NIST IR 8547-இல் உள்ள 2030, 2035 தேதிகள் இறுதியானவையா?
- இல்லை. NIST IR 8547, 12 நவம்பர் 2024 அன்று ஆரம்பப் பொது வரைவாக வெளியிடப்பட்டது; கருத்துக் கோரல் காலம் 10 ஜனவரி 2025 அன்று முடிந்தது; ஆனால் 13 அக்டோபர் 2026 நிலவரப்படி NIST-இன் CSRC தளத்தில் இறுதிப் பதிப்பு இல்லை. 112-பிட் வலிமை கொண்ட, குவாண்டம் பாதிப்புள்ள கையொப்ப மற்றும் திறவுகோல் நிறுவுதல் முறைகளை 2030-க்குப் பின் தவிர்க்கப்பட வேண்டியவையாகவும், பட்டியலிடப்பட்ட குவாண்டம் பாதிப்புள்ள முறைகளை 2035-க்குப் பின் அனுமதியற்றவையாகவும் ஆக்க வரைவு முன்மொழிகிறது. இறுதிப் பதிப்பு வேறுபடக்கூடும் என்பதால், தற்போதைய நிலையை NIST பக்கத்தில் சரிபார்க்கவும்.
ஆதாரங்கள்
- Report of the Study Group on Post-Quantum Cryptography for Deposit-Taking Financial Institutions (Japanese, 26 November 2024) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- Publication of the study group report (Japanese) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- Notes for the exchange of views with banks with new business models on financial crime and other matters, 6 June 2025 (Japanese) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- Main points raised by the FSA at exchanges of views with industry associations: Japan Investment Advisers Association, 26 February 2025 (Japanese) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- G7 Cyber Expert Group Statement on Advancing a Coordinated Roadmap for the Transition to Post-Quantum Cryptography in the Financial Sector (January 2026) வெளித் தளத்தில் திறக்கும் (G7 Cyber Expert Group (published by the U.S. Department of the Treasury))
- Provisional Japanese translation of the G7 Cyber Expert Group statement (Japanese) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- FISC Security Guidelines on Computer Systems for Financial Institutions, 14th edition (PDF): publication page (Japanese) வெளித் தளத்தில் திறக்கும் (The Center for Financial Industry Information Systems (FISC))
- Migration of government agencies to post-quantum cryptography: interim report (Japanese, November 2025) வெளித் தளத்தில் திறக்கும் (Cabinet Secretariat, Japan (inter-ministerial liaison conference on PQC in government agencies))
- Inter-ministerial liaison conference on the use of PQC in government agencies (Japanese) வெளித் தளத்தில் திறக்கும் (Cabinet Secretariat, Japan)
- NIST Releases First 3 Finalized Post-Quantum Encryption Standards வெளித் தளத்தில் திறக்கும் (National Institute of Standards and Technology (NIST))
- FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard வெளித் தளத்தில் திறக்கும் (NIST Computer Security Resource Center (CSRC))
- NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards வெளித் தளத்தில் திறக்கும் (NIST Computer Security Resource Center (CSRC))
- Post-Quantum Cryptography (project page) வெளித் தளத்தில் திறக்கும் (NIST Computer Security Resource Center (CSRC))
- NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption வெளித் தளத்தில் திறக்கும் (National Institute of Standards and Technology (NIST))
- Timelines for migration to post-quantum cryptography வெளித் தளத்தில் திறக்கும் (National Cyber Security Centre (NCSC), UK)
- Quantum-Readiness: Migration to Post-Quantum Cryptography வெளித் தளத்தில் திறக்கும் (CISA, NSA and NIST)