量子加密威脅：香港及全球銀行準備好應對 Q-Day 了嗎？

TL;DR

量子計算的發展對現有的金融加密標準（如 RSA 和 ECC）構成致命威脅。黑客正進行「先收集，後解密」的攻擊，存儲目前的加密數據以備日後破解。專家警告，全球大部分銀行仍未升級至抗量子加密標準，金融體系面臨巨大的安全風險。

現代銀行業面臨的量子威脅

現時金融業界高度依賴 RSA 及 ECC 加密技術，來保障每一筆統一支付介面（UPI）交易、自動櫃員機（ATM）提款以及客戶紀錄的安全。然而，量子運算的崛起帶來了所謂的「量子末日」（Q-Day）威脅。屆時，秀爾演算法（Shor's algorithm）能在短短數秒內破解現有的加密代碼。SquirrelVPN 的專家指出，目前仍有 87% 的印度銀行沿用這些存在漏洞的加密標準。而最令人擔憂的是「先攔截，後解密」（Harvest Now, Decrypt Later）的攻擊手段——攻擊者現時先大量搜集加密數據，待量子硬件成熟後再進行破解。

印度公營銀行面臨量子加密威脅！

圖片來源：Whalesbook

國家量子任務與監管指令

印度政府已撥款 600.365 億盧比推動「國家量子任務」（National Quantum Mission），目標是在 2030 至 31 年度前建立長達 2,000 公里的安全通訊網絡。財政部已指示公營銀行立即研究抗量子加密技術（Quantum-resistant encryption）。此外，印度儲備銀行（RBI）正強制執行特定的安全協定，而印度證券交易委員會（SEBI）則透過其網絡韌性框架（Cyber Resilience Framework）應對長期的數據風險。

金融機構的實施策略

各銀行正採取分階段方式轉移至後量子加密（PQC）。HDFC 銀行已實施三柱架構，首要任務是建立加密物料清單（CBOM），全面盤點存在漏洞的密碼演算法。其他機構如旁遮普國家銀行（Punjab National Bank）則專注於為面向公眾的應用程式開發抗量子系統。為了維護網絡隱私，許多機構正測試混合傳輸層安全協定（Hybrid TLS），結合傳統與量子安全演算法的優點。

圖片來源：The Economic Times

技術挑戰與舊有系統

這次轉型是一項耗時多年的工程，因為加密技術深植於核心銀行系統（CBS）、流動應用程式及 ATM 網絡之中。升級這些系統的成本可能高達 200 億盧比。重點保護領域包括環球銀行金融電訊協會（SWIFT）訊息傳送，以及保障用於 UPI 交易的 API 層。此外，各大機構亦在研究量子金鑰分發（QKD）技術，以確保物理網絡連接的安全。

加密敏捷性的角色

要在後量子時代生存，企業必須具備「加密敏捷性」（Crypto-agility），這包括採用 NIST 認可的演算法（如 ML-KEM）。印度國家銀行（State Bank of India）已開始與學術機構合作打擊網絡釣魚，而 UCO 銀行則在開發音頻取證技術以防止語音複製詐騙。這種前瞻性的姿態對於數碼安全至關重要，更有助於防止預期對全球經濟造成的 3.3 萬億美元損失。