Российские ученые создали индекс риска квантового взлома данных
Ученые Южного федерального университета и Университета "Сириус" разработали индекс квантового риска QRI, предназначенный для защиты данных. Исследование, охватившее почти 80 тысяч уязвимостей, показало, что те из них, которые используются злоумышленниками для взлома компьютерных систем, имеют в среднем на 26,6% более высокий риск, чем остальные. Сообщает ТАСС.
По словам одного из авторов исследования, профессора Сергея Петренко, индекс предоставляет организациям математически обоснованный инструмент для начала превентивной защиты стратегических данных, не дожидаясь появления мощных квантовых вычислителей.
Для проверки нового индекса исследователи проанализировали почти 80 тысяч криптографических уязвимостей, зарегистрированных в Национальной базе уязвимостей NIST за период с 2016 по 2026 годы. Результаты были сопоставлены с каталогом CISA KEV, который содержит информацию о уязвимостях, активно используемых в атаках. Средний показатель QRI для 437 уязвимостей из этого каталога составил 13,05, в то время как для остальных он равнялся 10,31.
Кроме того, уязвимости, подверженные квантовому алгоритму Шора, встречались в 1,52 раза чаще среди эксплуатируемых уязвимостей, чем в среднем по исследованной базе. Авторы работы отмечают, что это свидетельствует о том, что злоумышленники уже сейчас используют уязвимости, которые могут представлять серьезную угрозу в эпоху квантовых вычислений.
Исследователи подчеркивают опасность стратегии "собери сейчас, расшифруй потом", когда злоумышленники похищают зашифрованные данные, сохраняя их в ожидании будущих возможностей квантовых компьютеров для расшифровки. Под угрозой находятся медицинские карты, дипломатическая переписка и другие конфиденциальные данные.
Новый индекс QRI позволяет оценивать уязвимости с учетом не только их текущей опасности, но и потенциальных квантовых угроз. В отличие от традиционной системы CVSS, которая оценивает серьезность уязвимости в данный момент, новая методика учитывает возможные долгосрочные последствия ее эксплуатации.
Формула индекса включает три показателя: текущую степень опасности по шкале CVSS, чувствительность к квантовым алгоритмам Шора и Гровера, а также возможность использования для перехвата и расшифровки данных. Чем дольше информация должна оставаться секретной и чем выше ее ценность для злоумышленников, тем выше итоговое значение индекса.
Кандидат технических наук, доцент ЮФУ Евгения Ищукова пояснила, что две уязвимости могут иметь одинаковую оценку по стандартной шкале, но существенно различаться по долгосрочным последствиям. Например, перехват видеозвонка и похищение архива медицинских карт могут получить одинаковый балл CVSS - 9 из 10, но спустя годы запись видеозвонка может утратить ценность, в то время как медицинская информация останется конфиденциальной.
Исследование также выявило рост числа криптографических уязвимостей: с 2 593 в 2016 году до 14 523 в 2025 году, что составляет увеличение в 5,6 раза. Уязвимости, чувствительные к алгоритму Шора, увеличивались ежегодно на 8,8%.
По мнению исследователей, особое внимание следует уделить государственному и оборонно-промышленному секторам, здравоохранению, фармакологии, финансовой сфере и блокчейн-технологиям, где хранятся данные, которые могут оставаться ценными десятилетиями.
Авторы работы рекомендуют организациям пересмотреть подход к устранению уязвимостей, принимая во внимание не только их текущую опасность, но и потенциальный квантовый риск. В частности, предлагается выявить и изолировать данные, которые должны оставаться конфиденциальными более пяти лет, а также начать переход на постквантовые стандарты шифрования FIPS 203 и FIPS 204.
В дальнейшем ученые предлагают объединить QRI с системой EPSS, которая прогнозирует вероятность эксплуатации уязвимости в ближайшие 30 дней. Это позволит определять, какие угрозы требуют первоочередного устранения с учетом вероятности атаки и возможных последствий квантового взлома.
