英國倫敦蓋維克機場(Gatwick airport)在上週遭到多架無人機「攻擊」,導致航班大亂並影響至少十幾萬名乘客,更突顯出我們在因應國家安全遭受威脅時的能力是如此地脆弱。這不只是在英國,也可能發生在全球各地。

此外,令我感到驚訝的是,這次的無人機事件前後持續3天,導致蓋維克機場前後關閉3次共36小時,就算是具備一般安全服務應有的技術能力,卻遲遲無法攔截到這些無人機,也找不到究竟是誰在哪裡亂飛無人機。

Gatwick Airport 英國倫敦蓋維克機場(Gatwick airport)遭到多架無人機「攻擊」,導致航班大亂

同樣在上週,美國國會稽核處(U.S. Government Accountability Office;GAO)發佈了一份美國國家安全面對長期潛在威脅的報告,指出自主性(autonomous)和無人系統(包括無人機)以及物聯網(IoT)的安全性,以及量子運算可能破解現有加密功能的能力。

GAO深入分析由美國國防部(DoD)、國務院(DoS)、國土安全部(DHS)和國家情報總監辦公室(ODNI)四個聯邦機構發現的超過210種個別威脅,並審查國家安全策略和相關文件,將確認的26種長期新威脅分成四大類:敵方的政治與軍事進步、軍民兩用技術、武器,以及事件與人口變化。

GAO Dual-use technologies 美國GAO報告指出國家安全面對四大威脅,其中之一是「軍民兩用」技術,如圖中所列

在「軍民兩用」技術類別,該分析報告顯示「量子運算」(quantum computing)可能讓敵人開發無法攔截或破解的安全通訊並解密資訊,使其瞄準美國人員和軍事行動。針對IoT技術,傳統的安全加密方法可能達到無法有效保護資訊之處,但敵人可能從支援IoT的關鍵基礎設施和裝置進行破壞。

網路安全與監控也出現在其他技術分類中。針對武器部份,人工智慧(AI)、感測器、資料分析和太空平台的未來進展,可望創造一個「無所不在」的情報、監控、偵察(ISR)平台,即時追蹤位於全球的人員與設備,包括中國、俄羅斯、伊朗和北韓都開發這種ISR平台。

關於量子運算及其對安全的影響,一直是許多人在思考未來五年時最關注的重要領域。人們普遍認為,量子運算將使加密技術無法發揮作用——最快可能在2024年。

Infosec Global產品長Tyson Macaulay在本月初於倫敦舉辦的物聯網安全基金會(IoT Security Foundation)會議上發表專題演講,他表示量子運算的出現可能會對我們目前使用的加密演算法帶來威脅。目前的IoT安全架構已經被設計於國家基礎設施中,使用壽命超過20年,一旦出現安全問題很可能影響到整個基礎設施。

Macaulay 在接受《EE Times》訪問時說:「今天我們認為是安全加密的,大部份都很容易受到量子運算的影響。」因此,他強調,現在要打造持續使用超過10年的任何設計,就必須採用以下兩種方式之一:

  • 量子安全:這意味著使用不至於遭受量子攻擊的加密技術。不過,目前這個領域尚未建立標準,所以完全要靠猜測。
  • 加密捷變:這表示加密技術並非採用硬編碼,因此在部署之後仍然可以(重新)配置而無需添加新的軟體或硬體,理想情況下甚至無需停機。

他並補充說:「至於量子電腦何時才能完善到足以破壞當代的加密方法,業界存在著各種不同的看法,從五年到永遠不可能都有。我認為這一可能性似乎會落在10年左右,但如果你經營著一家銀行而且幾乎無法承擔出錯後的慘重損失,那麼五年是目前『量子安全』的目標。」

Macaulay談到許多關於加密捷變(crypto-agility)的問題,其他人也對此表示贊同,例如金雅拓(Gemalto)指出,2019年是「加密捷變」出現的一年。隨著運算能力越來越強大,目前的安全協議將逐漸變弱,特別是加密,其靜態演算法可能會被日益增加的功率破解。因此,加密捷變是指採用更靈活的演算法,如果現有加密出錯後也無需大幅更改系統基礎架構,就能修改這些演算法。

金雅拓還預測,2019年將出現有史以來最複雜的網路攻擊,透過人工智慧(AI)驅動的惡意軟體重挫一家積優股公司。該公司指出,惡意軟體將會學習用戶在組織中的行為,然後在公司內部釋放一連串專門設計的攻擊。

Macaulay表示,這就是物聯網安全需要從靜態流程轉變為動態流程的原因。換句話說,與其被動地接受供應商定義的一組安全控制碼,何不設計一種搜尋威脅的動態方法。這也導致了加密捷變性的需要——能夠從一種加密演算法或功能轉移到另一種,而無需重新配置flash或拆開裝置。。

英國的這起無人機事件導致蓋維克機場幾乎一整天癱瘓,造成巨大的破壞,不僅英國乘客受影響,還波及在其他國際機場定期往返的航班。有關如何約束無人機以及機場周圍禁航區的爭辯一直不曾停過。此外,關於這項技術的爭議也隨之而來,質疑為什麼無法透過技術阻止(例如透過GPS地理圍欄等)或找到此類攻擊的來源以及如何控制之處。我們只知道是工業級無人機,而非業餘的,因此推測可能是故意造成混亂。

無人機搭載一般電池容量的飛行時間可能是30分鐘,但如果使用蜂巢式網路連接,就可能從世界上的任何地點進行操作。如果你看過電影《天眼行動》(Eye in the Sky)就會知道,只要在全世界的任何角落,就能操縱無人機到各地進行各種行動(在電影中,無人機操作人員本身就是一支團隊,分別來自美國內華達州、夏威夷州、英國倫敦和肯亞等地的辦公室)。

GAO報告中強調這些威脅不僅僅存在長期的可能性,而且正如我們所見,現在就可能在此造成破壞或傷害。隨著量子運算時代即將來臨,我們需要開始思考新的動態安全方法。

編譯:Susan Hong

(參考原文:Quantum Computing and its Threat to National Security,by Nitin Dahad)