Nguy cơ lớn
Q-Day là thuật ngữ chỉ thời điểm máy tính lượng tử đủ mạnh để phá vỡ các hệ mật mã khóa công khai đang được sử dụng rộng rãi, trong đó có RSA (một thuật toán mã hóa dữ liệu theo cơ chế bất đối xứng) và mật mã đường cong elliptic (ECC). Khi kịch bản này xảy ra, nhiều cơ chế bảo vệ dữ liệu, giao dịch điện tử và chữ ký số có thể đối mặt với rủi ro.
 |
| Ông Vũ Ngọc Sơn, Trưởng Ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế (Hiệp hội An ninh mạng quốc gia). |
Ông Vũ Ngọc Sơn, Trưởng Ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế (Hiệp hội An ninh mạng quốc gia) cảnh báo, các tổ chức có thể không còn nhiều thời gian nếu Q-Day xuất hiện sớm hơn dự kiến.
Theo ông Vũ Ngọc Sơn, trong khi một số quốc gia đặt mục tiêu hoàn tất chuyển đổi sang mật mã hậu lượng tử vào giai đoạn 2030-2035, một số dự báo cho rằng máy tính lượng tử đủ khả năng phá vỡ mật mã truyền thống có thể xuất hiện ngay từ năm 2028-2030.
“Nếu Q-Day đến sớm hơn giai đoạn hoàn tất chuyển đổi, khoảng trống đó sẽ tạo ra rủi ro”, ông Vũ Ngọc Sơn nói.
Tuy nhiên, rủi ro không chỉ xuất hiện vào thời điểm máy tính lượng tử đủ mạnh. Đáng chú ý là phương thức tấn công “Harvest Now, Decrypt Later” (thu thập trước, giải mã sau), trong đó dữ liệu đang được mã hóa có thể bị kẻ tấn công thu thập và lưu trữ để chờ thời điểm công nghệ lượng tử phát triển đủ mạnh.
Những dữ liệu có thời gian bảo mật dài như hồ sơ tài chính, dữ liệu định danh, thông tin nghiên cứu hoặc dữ liệu nhạy cảm của cơ quan, doanh nghiệp vì thế có thể trở thành mục tiêu ngay từ hiện tại.
Theo ông Vũ Ngọc Sơn, câu hỏi về mật mã hậu lượng tử không còn đơn thuần là “liệu có xảy ra không”, mà là “khi nào, và ta đã sẵn sàng chưa”. Quá trình chuyển đổi mật mã có thể kéo dài nhiều năm, tác động đến nhiều hệ thống, thiết bị và cả chuỗi cung ứng.
Giải pháp đang được phát triển là mật mã hậu lượng tử (PQC), sử dụng những thuật toán được thiết kế để chống lại các kiểu tấn công dựa trên máy tính lượng tử và có thể triển khai trên máy tính thông thường.
Năm 2024, NIST đã công bố các tiêu chuẩn PQC đầu tiên.Tuy nhiên, việc có tiêu chuẩn mới không đồng nghĩa các tổ chức có thể chuyển đổi ngay. Theo ông Vũ Ngọc Sơn, trước hết các đơn vị cần kiểm kê tài sản mật mã, xác định các thuật toán, thư viện và chứng thư đang được sử dụng ở đâu; đồng thời phân loại dữ liệu theo vòng đời bảo mật để xác định những dữ liệu cần được bảo vệ trong bao lâu.
Đây là bước quan trọng bởi mật mã hiện diện trong nhiều lớp của hạ tầng số, từ kết nối bảo mật, xác thực đến chữ ký số. Việc thay thế vì vậy không chỉ là cập nhật một phần mềm mà có thể liên quan đến nhiều hệ thống, thiết bị và quy trình vận hành.
Trong giai đoạn chuyển tiếp, theo ông Vũ Ngọc Sơn, một hướng tiếp cận là sử dụng mô hình lai (hybrid), kết hợp mật mã truyền thống với thuật toán hậu lượng tử.
Cách tiếp cận này cho phép hệ thống từng bước bổ sung khả năng chống chịu trước nguy cơ lượng tử, đồng thời duy trì khả năng tương thích với hạ tầng hiện hữu. Việc thử nghiệm có thể bắt đầu từ hệ thống nội bộ hoặc môi trường ít phụ thuộc vào đối tác bên ngoài.
 |
| Tấn công mạng hậu lượng tử đang trở thành nguy cơ lớn trong thời gian tới. |
Trong quá trình thử nghiệm, các đơn vị cần đánh giá độ trễ, kích thước gói bắt tay, khả năng tương thích với thiết bị và proxy; đồng thời ghi nhận sự cố, chi phí và quy trình để có cơ sở trước khi nhân rộng.
Theo ông Vũ Ngọc Sơn, các tổ chức cũng cần yêu cầu nhà cung cấp cam kết bằng văn bản về lộ trình PQC, đồng thời xây dựng kế hoạch chuyển đổi trước năm 2030 với các mốc cụ thể, ngân sách và người phụ trách.
Chủ động trước khi nguy cơ trở thành hiện thực
Tại Việt Nam, dự thảo ba tiêu chuẩn quốc gia về mật mã hậu lượng tử đã được xây dựng. Tuy nhiên, việc triển khai trên diện rộng còn phụ thuộc vào tiêu chuẩn kỹ thuật, khả năng tương thích giữa các hệ thống và lộ trình chuyển đổi của từng lĩnh vực.
Theo ông Nguyễn Quang Hoàng, Giám đốc An ninh thông tin MISA, thời gian chuẩn bị là yếu tố quan trọng bởi quá trình chuyển đổi không thể thực hiện trong một sớm một chiều.
Doanh nghiệp có thể nghiên cứu, thử nghiệm tạo khóa và chữ ký bằng thuật toán hậu lượng tử trong môi trường thử nghiệm, nhưng chưa thể tự triển khai thương mại độc lập nếu các thành phần khác trong chuỗi chưa tương thích.
Theo ông Nguyễn Quang Hoàng, doanh nghiệp có thể sẵn sàng về công nghệ nhưng chưa thể đưa giải pháp vào vận hành nếu thiếu tiêu chuẩn chung và sự đồng bộ từ các bên liên quan. Vì vậy, quá trình chuyển đổi cần có sự phối hợp giữa cơ quan quản lý, đơn vị cung cấp hạ tầng chứng thực và các tổ chức đang sử dụng chữ ký số.
 |
| Ông Nguyễn Quang Hoàng, Giám đốc An ninh thông tin MISA. |
Trong bối cảnh thời điểm Q-Day chưa thể xác định, việc chờ đến khi máy tính lượng tử đủ mạnh mới chuyển đổi có thể khiến các tổ chức rơi vào thế bị động. Đặc biệt, nguy cơ “thu thập trước, giải mã sau” cho thấy dữ liệu bị đánh cắp và lưu trữ từ hôm nay vẫn có thể trở thành mục tiêu trong tương lai.
Theo ông Vũ Ngọc Sơn, các cơ quan, tổ chức và doanh nghiệp cần triển khai từng bước, bắt đầu từ kiểm kê tài sản mật mã, phân loại dữ liệu, đánh giá rủi ro và xây dựng khả năng mật mã linh hoạt; sau đó thử nghiệm mô hình hybrid ở những hệ thống phù hợp trước khi mở rộng.
“Thời điểm tốt nhất để bắt đầu là ngay bây giờ, thực hiện theo tinh thần Nghị quyết 57”, ông Vũ Ngọc Sơn nhấn mạnh, cho rằng các tổ chức cần tận dụng khoảng thời gian còn lại để chủ động chuẩn bị, thay vì chờ đến khi nguy cơ lượng tử trở thành hiện thực mới ứng phó.
