對抗量子電腦 金管會指引助金融業推動新加密機制
(中央社記者蘇思云台北18日電)量子電腦未來問世後,恐威脅現有傳輸加密機制,金管會今天發布「金融業後量子密碼遷移參考指引」,盼金融業提早盤點,升級替換到新加密機制,避免金融交易資料在網站傳輸過程中遭破解,中長期建議2035年前完成後量子密碼遷移作業。
金管會2025年底發布「金融資安韌性發展藍圖」,今天進一步發布「金融業後量子密碼遷移參考指引」,作為金融業辦理後量子密碼(Post-Quantum Cryptography, PQC)遷移整備工作參考。
金管會資訊服務處處長林裕泰在記者會上說明,目前使用的非對稱加密演算法,應用在自然人憑證、網站瀏覽憑證等。加密技術的安全性,奠基在傳統電腦運算破解時間需花費百年,但未來具備超強算力的量子電腦普及後,破解時間恐縮短到數小時,導致現行加密機制形同虛設。
舉例來說,民眾在網銀中輸入帳號密碼後,假設查詢交易紀錄或有下單行為,相關機敏資料在後端傳輸過程中,可能有被未來量子電腦破解的風險,因此必須把舊的加密演算法,替換成新的加解密演算法才行。
林裕泰解釋,金融業辦理後量子密碼遷移的概念,目的是為了對抗量子電腦,金融業者要把原本的加密機制,替換成新的加密機制。金融業主要面臨2大挑戰,一是金融業有許多加密資料遍及各項業務,如網銀登錄、跨行交易都用到加解密技術,二是金融服務多數並非由單一機構提供,像是跨行轉帳後端的資訊傳輸作業,也可能涉及第三方供應商,需透過生態系共同因應。
金管會因此發布金融業後量子密碼遷移參考指引,主要包含治理機制、密碼技術盤點、加密敏捷性、生態系協作、風險排序、供應鏈管理及測試切換等7大面向。
林裕泰強調,發布指引只是這場接力賽的第一棒,不是要業者馬上調整加密機制,而是提前盤點、循序漸進進行。以治理機制為例,後量子密碼遷移不是金融業內部資訊、資安單位的權責而已,可能牽涉採購、法規、業務等單位,期待金融業可由資安長另外成立跨部門的「後量子遷移工作小組」,並獲得董事會支持,一起因應。
金管會指引中也建議業者要做加密技術盤點清單,並從較高風險的系統先進行轉換;此外,也期待透過生態系協作,假設跨行ATM需做後量子密碼遷移,像是財金公司等樞紐單位下半年也要擬定計畫,讓相關會員公司可配合步調處理。
林裕泰進一步說明,參考國際上相關機構時程規劃,今、明年是打底期,業者要先盤點治理架構、哪些加密機制具備高風險等;其次,2027年到2029年可開始在部分場域試辦;中長期而言,要從高風險加密機制先著手調整,最後盼2035年前可完成全部遷移作業。(編輯:楊蘭軒)1150618