รายงาน การเปลี่ยนผ่านระบบไปสู่ PQC
รายงานการทดลองเปลี่ยน algorithm ไปสู่ PQC ของระบบสำคัญของธนาคารเเห่งประเทศไทยผ่านแนวทาง crypto agility
Emerging Payment Technologies
ความก้าวหน้าทางเทคโนโลยีมีทั้งด้านของผู้พัฒนานวัตกรรมที่เป็นประโยชน์ต่อเศรษฐกิจการเงิน และด้านของผู้ไม่หวังดีที่พัฒนาขึ้นเช่นกัน ธปท. จึงติดตาม ศึกษา และทดสอบเทคโนโลยีใหม่ ๆ อย่างต่อเนื่อง เพื่อให้โครงสร้างพื้นฐานการชำระเงินของประเทศยังคงมีความมั่นคงปลอดภัย และพร้อมที่จะรองรับการเปลี่ยนแปลงของเทคโนโลยีการเงินในอนาคต
ปกป้องความปลอดภัยทางการเงินดิจิทัล
รากฐานของความปลอดภัยทางการเงินโลกขึ้นอยู่กับอัลกอริทึมเข้ารหัสที่ปกป้องการทำธุรกรรมทุกประเภท ตั้งแต่การชำระเงินในชีวิตประจำวันไปจนถึงการชำระดุลมูลค่าสูงของธนาคารกลาง อย่างไรก็ตาม ความก้าวหน้าอย่างรวดเร็วของคอมพิวเตอร์ควอนตัม (Quantum Computer) เป็นความเสี่ยงที่อาจทำลายมาตรฐานการเข้ารหัส (encryption) และลายมือดิจิทัล (digital signature) ในปัจจุบันได้ เพื่อป้องกันช่องโหว่และรักษาความเชื่อมั่นในระบบการเงินอย่างต่อเนื่อง การศึกษาและเตรียมความพร้อมเชิงรุกด้วยวิธี Post-Quantum Cryptography (PQC) จึงเป็นสิ่งจำเป็นและต้องเริ่มดำเนินการตั้งแต่วันนี้
เพื่อเตรียมโครงสร้างพื้นฐานทางการเงินให้พร้อมสำหรับการเปลี่ยนผ่านมาตรฐานความปลอดภัยนี้ ธปท. จึงได้เตรียมความพร้อมด้าน PQC ควบคู่กันใน 2 แนวทาง ดังนี้
1.1) การเตรียมความพร้อมภายในองค์กร
การเตรียมความพร้อมสู่ยุคควอนตัมต้องอาศัยความร่วมมือจากฝ่ายงานต่าง ๆ ทั่วทั้งภายในองค์กร ผ่านการดำเนินงานร่วมกันของผู้มีส่วนเกี่ยวข้องหลัก ได้แก่ ฝ่ายเทคโนโลยีสารสนเทศ ฝ่ายบริหารความเสี่ยง และฝ่ายงานอื่น ๆ โดย ธปท. ได้เริ่มดำเนินการสำรวจอัลกอริธึมที่ใช้ในการเข้ารหัสต่างๆภายในองค์กร (Cryptographic Inventory) การประเมินความเสี่ยง และการวางแผนเชิงกลยุทธ์ เพื่อให้โครงสร้างพื้นฐานและระบบงานเทคโนโลยีสารสนเทศภายในองค์กรทั้งหมดพร้อมรับมือกับ PQC
การเปลี่ยนผ่านระบบเทคโนโลยีสารสนเทศสู่ PQC ด้วยแนวทาง Crypto Agility
เนื่องจากแต่ละระบบมีข้อจำกัดทางเทคนิคที่แตกต่างกัน จึงไม่มีรูปแบบการเปลี่ยนผ่านสู่ PQC เพียงรูปแบบเดียวที่ใช้ได้กับทุกระบบ เพื่อแก้ปัญหานี้ ธปท. ได้นำแนวทาง crypto agility มาเลือกใช้กับระบบงานภายใน ซึ่งเป็นวิธีที่ช่วยให้สามารถเปลี่ยนอัลกอริทึมการเข้ารหัสได้โดยไม่ส่งผลหรือส่งผลกระทบต่อการดำเนินงานของระบบภายในน้อยที่สุด โดย ธปท. ดำเนินการผ่าน 2 รูปแบบทางสถาปัตยกรรม ดังนี้
1.2) ความร่วมมือกับภายนอก
เนื่องจากเครือข่ายการชำระเงินของประเทศมีความเชื่อมโยงกันสูง ความปลอดภัยทางไซเบอร์ต่อภัยควอนตัมจึงไม่สามารถเกิดขึ้นได้โดยลำพังแค่ภายในองค์กร ธปท. ได้ติดตามและให้คำแนะนำแก่ภาคการเงินในการเปลี่ยนผ่านนี้อย่างต่อเนื่อง ผ่านการจัดงานเสวนาเพื่อสร้างความเข้าใจและความตระหนักรู้เกี่ยวกับความเสี่ยงเชิงควอนตัมให้แก่คณะกรรมการ และผู้บริหารระดับสูงของสถาบันการเงิน
"การเตรียมความพร้อมสู่ยุค Quantum ไม่ใช่ทางเลือกอีกต่อไป แต่คือบรรทัดฐานใหม่ของความปลอดภัยและเสถียรภาพของระบบสถาบันการเงินที่มั่นคง"
— วิทัย รัตนากร
ผู้ว่าการธนาคารเเห่งประเทศไทย
งานเสวนา Quantum Board Awareness (18 มีนาคม 2569)
คำถามที่พบบ่อย
เป็นอัลกอริทึมการเข้ารหัสและลายมือชื่อดิจิทัลยุคใหม่ ที่ออกแบบมาเพื่อคงความปลอดภัยจากการโจมตีโดยคอมพิวเตอร์ควอนตัมขนาดใหญ่ในอนาคต อัลกอริทึมที่ใช้กันอย่างแพร่หลายในปัจจุบัน เช่น RSA และ Elliptic Curve จะถูกทำลายได้ด้วยคอมพิวเตอร์ดังกล่าว องค์กรส่วนใหญ่ทั่วโลกได้ร่วมกันนำมาตรฐานใหม่ที่ได้รับการรับรองจากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) มาใช้ ซึ่งรวมถึงมาตรฐาน FIPs 203, 204 และ 205
ประการแรก ข้อมูลที่เข้ารหัสสามารถถูกจัดเก็บไว้ในวันนี้และรอถูกถอดรหัสเมื่อคอมพิวเตอร์ควอนตัมพร้อมใช้งาน ซึ่งเรียกว่าความเสี่ยง “Harvest Now, Decrypt Later” ซึ่งมีความสำคัญอย่างยิ่งสำหรับข้อมูลที่ต้องรักษาความลับเป็นระยะเวลานานนับสิบปี ประการที่สอง การเปลี่ยนระบบการเข้ารหัสทั่วทั้งระบบการเงินขนาดใหญ่ต้องใช้เวลาหลายปีในการสำรวจสินค้าคงคลัง การพัฒนา การทดสอบ การผนวกระบบ และการประสานงานกับผู้ให้บริการ ดังนั้นการดำเนินงานจึงต้องเริ่มต้นล่วงหน้าก่อนที่ภัยคุกคามจะมาถึง
Crypto Agility คือความสามารถในการเปลี่ยน อัปเกรด หรือทดแทนอัลกอริทึมการเข้ารหัสได้อย่างรวดเร็ว โดยไม่จำเป็นต้องพัฒนาซอร์สโค้ดใหม่ทั้งหมด หรือรบกวนการดำเนินงานและโครงสร้างพื้นฐานที่มีอยู่