Kriptografijo uporabljate vsak dan. Ali veste, kje vse?

Izdaja 04 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za interne IT-oddelke in skrbnike v slovenskih podjetjih, ki dobavljajo nemškim naročnikom.

Vprašajte sodelavca v IT, kje vaše podjetje uporablja kriptografijo. Odgovor bo verjetno: »Na požarni pregradi, za VPN, in na spletni strani imamo potrdilo.« To je res. Je pa šele začetek odgovora: v primeru spodaj so bila to tri mesta od sedemintridesetih.

O čem pišemo: kako v srednje velikem podjetju poiskati mesta, kjer se uporablja kriptografija z javnimi ključi, ne da bi se ujeli v predpostavko, da gre samo za šifriranje povezav. Česa ne obravnavamo: orodij za samodejno odkrivanje v podrobnostih in formata popolnega popisa (CBOM). Oboje pride marca 2026.

V tem članku: Zakaj vas bo naročnik to vprašal · Kje se kriptografija skriva · Kaj je vaše in kaj ne · Primer · Kaj iz popisa dobite · Tri pasti · Štirje viri · Vprašanje za naročnika · Priloga: register

Evropski načrt za prehod na postkvantno kriptografijo iz junija 2025 za vsako organizacijo kot prvi, nujni korak navaja urejeno upravljanje kriptografskih sredstev: popis sredstev, ki izvajajo kriptografske operacije, in tistih, nad katerimi se te operacije izvajajo. Priporoča standardiziran format, kot je CBOM, kriptografska razširitev popisa programskih komponent. Imenuje ga korak »brez obžalovanja«, ker pomaga tudi pri obvladovanju ranljivosti in incidentov, ne glede na kvantne računalnike.

Nemški naročnik bo tak popis delal pri sebi. Ko bo prišel do povezav z vami, bo vprašal, kaj je na vaši strani. Če takrat odgovorite »moramo preveriti pri izvajalcu«, je to v redu enkrat. Če isto odgovorite pri vsaki povezavi, je to sporočilo o vašem podjetju.

Ta del je izključno vaš. Naročnik ne more vedeti, kaj teče v vaši strežniški sobi.

Prva predpostavka, ki jo je treba opustiti: kriptografija je šifriranje povezav, to pa ureja požarna pregrada. V resnici kriptografija z javnimi ključi živi na mestih, ki jih nihče ne imenuje tako:

• Povezave: spletni strežniki, poštni strežnik, VPN, oddaljeni dostop do strojev, SFTP, povezave do podatkovnih baz, programski vmesniki do naročnikovih sistemov.
• Identiteta: domenski kontroler s storitvami potrdil, prijava v brezžično omrežje s potrdili, pametne kartice in ključki USB za e-bančništvo in za oddajo na eDavke.
• Podpisi: elektronski računi, podpisani s kvalificiranim potrdilom (SIGEN-CA, Halcom ali drugim ponudnikom); podpisane izjave o skladnosti; posodobitve programske in vdelane opreme, ki jih prejemate ali pošiljate; licenčne datoteke, ki jih program preveri ob zagonu.
• Poslovne povezave: EDI z nemškimi kupci (pogosto AS2 ali OFTP2), naročnikovi portali, bančne povezave.
• Shranjeni podatki: varnostne kopije, katerih ključi so zaščiteni z RSA; šifrirana e-pošta v nabiralnikih.
• Proizvodnja: krmilniki, ki uporabljajo OPC UA s potrdili, daljinski dostop serviserjev do strojev, podpisani programi za krmilnike.

Mnoga od teh mest ne pripadajo IT-oddelku. Elektronske račune podpisuje računovodstvo, z bankami dela finance, daljinski dostop do strojev uredi vzdrževanje. Prav zato jih ni na nobenem seznamu.

Pri vsakem mestu sta pomembni dve vprašanji: kdo ga upravlja in kdo ga lahko spremeni. Odgovori se razlikujejo bolj, kot si mislimo:

Ta tabela ni izgovor. Je zemljevid tega, s kom se boste morali pogovoriti. Interni IT je odgovoren, da ve, kaj je kje, tudi kadar spremembe ne more narediti sam.

Denimo proizvodno podjetje s približno 120 zaposlenimi. IT-oddelek z dvema zaposlenima je za nemškega naročnika pripravljal odgovore na vprašalnik. Pred tem je zapisal vse, kar je znal našteti na pamet: požarna pregrada z VPN, spletna stran, poštni strežnik. Tri mesta.

Nato je teden dni hodil po podjetju in spraševal, kar je v računovodstvu sprožilo nekaj začudenih pogledov. Končni seznam je imel 37 vrstic. Med njimi:

1. dva VPN-dostopa za serviserje strojev, ki jih je nastavil proizvajalec strojev in jih IT ni upravljal;
2. EDI-povezavo z nemškim kupcem, ki jo je pred šestimi leti nastavil izvajalec ERP in je nihče ni več odprl;
3. pet kvalificiranih potrdil v računovodstvu, od katerih sta dve potekli in en ključek USB, za katerega nihče ni vedel, čigav je;
4. interni strežnik potrdil, ki izdaja potrdila za brezžično omrežje s ključem RSA-2048 in veljavnostjo do leta 2034;
5. podpisane posodobitve za merilne naprave, ki jih podjetje prodaja, s ključem, shranjenim na razvijalčevem računalniku.

Zadnja točka je bila za podjetje najbolj neprijetna. Hkrati je bila najpomembnejša: podpisni ključ za izdelke, ki bodo v uporabi petnajst let, je tipičen primer visokega tveganja po evropskem načrtu.

• Odgovor naročniku v dneh, ne tednih. Ko vpraša po povezavi, imate vrstico.
• Seznam pogovorov s proizvajalci. Vsaka vrstica s »spremeni proizvajalec« je vprašanje, ki ga lahko pošljete že danes: ali in kdaj bo podpiral postkvantne postopke?
• Stvari, ki niso postkvantne, pa so nujne. Potekla potrdila, pozabljeni dostopi, ključi na prenosnikih. Popis jih najde prej kot napadalec.
• Osnovo za odločanje vodstva. Brez popisa vodstvo ne more odločiti, koliko denarja in časa bo prehod potreboval.

»Oblak je ponudnikova skrb.« Za izvedbo v njegovi storitvi res. V register pa storitev vseeno spada, z vpisom »spremeni lahko: ponudnik«. Drugače v pregledu manjka prav mesto, na katero nimate vpliva in pri katerem morate zato najprej vprašati po časovnici.

»Imamo TLS 1.3, torej smo pripravljeni.« TLS 1.3 je dobra osnova, ni pa postkvantni postopek. Dogovor o ključu tam običajno poteka z eliptičnimi krivuljami, torej klasično. Kvantno odporen postane šele z dodatnimi skupinami, ki vključujejo ML-KEM, najpogosteje hibridno skupaj s klasičnim postopkom. Ali jih vaši strežniki ponujajo, ne piše v številki različice, ampak v nastavitvah in v uporabljeni knjižnici.

»Orodje bo našlo vse.« Pregled omrežja vidi, kar se dogovori po omrežju. Ne vidi, s čim je podpisana licenčna datoteka, kateri ključ je v vdelani programski opremi ali kako varnostna kopija ščiti svoje ključe. Orodja popis močno pospešijo, ne nadomestijo pa vprašanja ljudem, ki jim procesi pripadajo. V našem primeru je bil najpomembnejši vpis, podpisni ključ na razvijalčevem prenosniku, najden v pogovoru, ne s pregledom.

1. Nastavitve. Kaj je nastavljeno na napravah in strežnikih, ki jih upravljate. Zanesljivo, a samo za tisto, kar nastavljate sami.
2. Potrdila. Vsa potrdila, ki jih vaši sistemi izdajajo ali kažejo, z algoritmom, dolžino ključa in rokom veljavnosti. Pregled omrežja in strežnika potrdil v nekaj dneh pove o potrdilih več kot vsak razgovor.
3. Promet. Kaj se dejansko dogovori. Pasivno opazovanje na nekaj osrednjih točkah pokaže, ali nastavitve res veljajo.
4. Ljudje in proizvajalci. Računovodstvo, vzdrževanje, razvoj in proizvajalci opreme. Vprašajte pisno in zapišite odgovor z datumom.

Začnite pri povezavah z nemškimi naročniki in pri vsem, kar podpisujete za druge. Popis ni nujno popoln, da je koristen. Mora pa biti pošten: »ne vemo« je dovoljen vpis, ugibani algoritem ni.

„Für die Verbindungen zwischen unseren Häusern haben wir unsere Seite dokumentiert. Können Sie uns sagen, welche Verfahren auf Ihrer Seite eingestellt sind und was Sie dort planen?“

Prevod: Za povezave med našima podjetjema smo popisali svojo stran. Nam lahko poveste, kateri postopki so nastavljeni na vaši strani in kaj tam načrtujete?

Zakaj tako? Ker povezava deluje samo, če se oba konca dogovorita. S tem vprašanjem ne čakate, da vas naročnik vpraša. Pokažete, da je vaše delo opravljeno, in povabite k skupnemu načrtovanju. Naročnik, ki svoje strani ne pozna, bo to ugotovil ob vašem vprašanju, ne ob vašem odgovoru.

Nemška izdaja te teme se obrača na naročnike, ki od dobaviteljev zahtevajo kvantno varnost: „Sie fordern Quantensicherheit von Lieferanten“ (v nemščini). Prejšnja izdaja: Niste KRITIS-zavezanec. Ali ste zato zunaj problema?

Osnovni register, ki ga lahko vodite brez posebnega orodja, na primer kot tabelo v obstoječi evidenci opreme. V nemški izdaji je vsebinsko enak.

Kontrolni seznam mest za prvi krog: spletni strežniki · VPN in daljinski dostop serviserjev · SFTP in SSH · e-pošta · EDI in naročnikovi portali · interni strežnik potrdil in pametne kartice · brezžično omrežje · kvalificirana potrdila v računovodstvu in financah · podpisovanje lastne programske in vdelane opreme · licenčne datoteke · varnostne kopije · krmilniki in OPC UA.

Meja predloge: register opisuje, kaj uporabljate, ne, ali je varno. Oceno dobite šele skupaj s časom zaščite in odvisnostmi iz izdaj 02 in 03.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (3. 11. 2025): »To ureja naš IT-izvajalec. Ali res?«

Viri (stanje 6. 10. 2025): NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025), poglavje 6.2; CycloneDX 1.6 z razširitvijo za kriptografska sredstva (CBOM), standardizirano kot ECMA-424 (junij 2024).

Če želite prvi popis narediti z nekom, ki je to že počel, nam pišite.