Исследование NowSecure: 97% мобильных приложений не имеют постквантовой защиты

97% мобильных приложений без обнаруживаемой постквантовой криптографии

Пользовательский затык при этом незаметен: приложение продолжает работать, но медицинские записи, финансовая история и другие чувствительные данные могут храниться годами. Квантовый сценарий отложен по времени, однако именно долгий срок хранения делает его важным уже сейчас.

Что показало исследование

В той же выборке NowSecure обнаружила более 3 100 приложений, использующих слабые устаревшие алгоритмы шифрования, включая DES и RC4. Это отдельный слой риска, который не требует появления квантового компьютера и уже влияет на защиту передаваемых и хранимых данных.

Осложняет ситуацию то, что разработчики часто подключают криптографию через сторонние библиотеки, не всегда получая возможность проверить её реализацию. Привычный security flow рвется: серверная часть находится под контролем команды, а приложение, его SDK и зависимые поставщики часто остаются за пределами обзора.

Почему важен срок хранения данных

Перехваченные сегодня сведения можно сохранить, а расшифровать позже, когда появится достаточно мощный квантовый компьютер. Для этого не обязательно ждать взлома каждого приложения прямо сейчас. Достаточно, чтобы конфиденциальные данные оставались важными дольше, чем существует нынешний уровень защиты.

Риск выходит за рамки сохранённого контента. Криптография с открытым ключом также поддерживает обмен ключами, аутентификацию и подписание кода, поэтому появление релевантного квантового компьютера может поставить под удар сами процессы доверия.

Gartner допускает, что Q-Day, то есть получение государственными субъектами криптографически релевантного квантового компьютера, может наступить уже в 2029 году. По данным опроса Gartner, 45% директоров по информационной безопасности сообщили, что их организации не начали никакой работы, связанной с криптографией, а ещё 39% находятся только на этапе планирования или раннего тестирования.

Что проверять пользователю и продуктовой команде

Для пользователя практический фокус выглядит так:

• где сервис хранит чувствительные данные и как долго;
• есть ли у поставщика план перехода на постквантовые алгоритмы;
• как быстро приложение и его зависимые компоненты получают обновления безопасности;
• можно ли уменьшить объём передаваемых и сохраняемых данных.

Продуктовой команде стоит начать с инвентаризации криптографии во всём мобильном контуре, включая сторонние SDK. Затем можно расставить приоритеты: сначала убрать слабые алгоритмы, затем связать долгоживущие данные с планом миграции и заранее согласовать изменения с поставщиками.

Вердикт: 97% приложений нельзя автоматически считать уже взломанными. Исследование показывает цену отложенной миграции и риск, который накапливается вместе со сроком хранения данных. Действовать нужно не громко, а последовательно: убрать слабую криптографию, описать реальные зависимости и начать переход до того, как его срок станет критическим.