Y2Q วิกฤติที่อาจแรงกว่า Y2K: ทำไมไทยต้องเปลี่ยนรหัสทั้งประเทศใน 10 ปี

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. เปิดรับฟังความคิดเห็นสาธารณะต่อร่างกรอบการเตรียมความพร้อมสู่ความปลอดภัยเชิงควอนตัม พ.ศ. 2569-2578 พร้อมวางโรดแมปเปลี่ยนผ่านสู่ระบบเข้ารหัสยุคหลังควอนตัม หรือ Post-Quantum Cryptography ภายใต้นโยบาย Quantum-Ready 2030 เหตุผลที่ต้องเริ่มวางแผนตั้งแต่วันนี้ ทั้งที่คอมพิวเตอร์ควอนตัมยังถอดรหัสที่ใช้กันอยู่ไม่ได้ในวันนี้ คือการเปลี่ยนระบบความปลอดภัยทั้งประเทศใช้เวลาหลายปี และข้อมูลบางอย่างที่ถูกเก็บไว้วันนี้อาจถูกนำมาถอดรหัสได้ในอนาคตเมื่อเทคโนโลยีไปถึงจุดนั้น

Y2Q คืออะไร ทำไมถึงถูกเทียบกับ Y2K

Y2Q คือชื่อเรียกวิกฤติที่อาจเกิดขึ้นเมื่อคอมพิวเตอร์ควอนตัมพัฒนาไปถึงจุดที่สามารถถอดรหัสระบบเข้ารหัสที่ใช้กันอย่างแพร่หลายในปัจจุบันได้ ระบบเข้ารหัสที่ว่านี้ ได้แก่ RSA, Diffie-Hellman และ Elliptic Curve Cryptography หรือ ECC ซึ่งเป็นรากฐานความปลอดภัยของการทำธุรกรรมออนไลน์ การสื่อสาร และการเก็บข้อมูลในปัจจุบัน ระบบเหล่านี้ปลอดภัยเมื่อเจอกับคอมพิวเตอร์แบบเดิม แต่ในทางทฤษฎี คอมพิวเตอร์ควอนตัมที่แรงพอจะแก้ปัญหาทางคณิตศาสตร์เบื้องหลังรหัสเหล่านี้ได้เร็วกว่ามาก จนรหัสที่เคยปลอดภัยอาจไม่ปลอดภัยอีกต่อไป สกมช. จึงระบุว่าวิกฤตินี้อาจรุนแรงยิ่งกว่ายุค Y2K เพราะ Y2K เป็นปัญหาวันที่ที่รู้วันเกิดแน่ชัด แต่วันที่ควอนตัมจะถึงจุดนั้นไม่มีใครรู้ล่วงหน้า

แผน 10 ปี 4 ระยะของไทย

ร่างกรอบความปลอดภัยเชิงควอนตัมกำหนดแผนดำเนินงานระยะยาว 10 ปี แบ่งเป็น 4 ระยะ ระยะที่ 0 ในปี 2569 เน้นการจัดตั้งกลไกขับเคลื่อนและประเมินสถานะความพร้อมเบื้องต้นของประเทศ ระยะที่ 1 ช่วงปี 2569-2570 สำรวจสินทรัพย์ด้านการเข้ารหัส หรือ Crypto Inventory และประเมินความเสี่ยงของระบบต่าง ๆ ว่ามีรหัสแบบใดฝังอยู่ตรงไหนบ้าง ระยะที่ 2 ช่วงปี 2570-2573 ทดลองใช้งานระบบแบบ Hybrid ที่ผสมระหว่างเทคโนโลยีเข้ารหัสแบบเดิมกับมาตรฐาน Post-Quantum และระยะที่ 3 ช่วงปี 2573-2578 ขยายผลการใช้งานมาตรฐาน Post-Quantum ในระบบโครงสร้างพื้นฐานสำคัญของประเทศอย่างเต็มรูปแบบ ควบคู่กันนี้ สกมช. เตรียมจัดตั้ง Quanta Center เป็นศูนย์กลางด้านองค์ความรู้ การทดสอบ การประเมินความพร้อม และการพัฒนาบุคลากรด้าน Post-Quantum ของประเทศ และผลักดันให้หน่วยงานรัฐใช้การยืนยันตัวตนหลายปัจจัย หรือ MFA เป็นมาตรฐาน เพื่อลดความเสี่ยงจากการใช้รหัสผ่านเพียงอย่างเดียว

แล้วคนทั่วไปต้องทำอะไรตอนนี้หรือไม่

คำตอบสั้น ๆ คือยังไม่ต้องรีบเปลี่ยนอะไรเพราะข่าวนี้ แผนเปลี่ยนผ่านสู่ Post-Quantum เป็นงานระดับระบบและองค์กรที่จะค่อย ๆ เกิดขึ้นเบื้องหลังในช่วง 10 ปีข้างหน้า ไม่ใช่คำสั่งให้ผู้ใช้ทั่วไปเปลี่ยนรหัสผ่านทั้งหมดในวันนี้ สิ่งที่คนทั่วไปจะได้จากแผนนี้คือระบบของธนาคาร หน่วยงานรัฐ และบริการออนไลน์จะค่อย ๆ เปลี่ยนรหัสเบื้องหลังให้ทนทานต่อควอนตัม โดยเฉพาะข้อมูลหรือความลับที่มีอายุยาวนานจะถูกย้ายไปใช้มาตรฐานใหม่ก่อน ส่วนเกราะป้องกันที่ยังใช้ได้ดีในวันนี้เหมือนเดิมคือรหัสผ่านที่ยาวและไม่ซ้ำกัน กับการเปิดยืนยันตัวตนหลายปัจจัยในบัญชีสำคัญ ซึ่งเป็นเรื่องที่เคยยืนยันมาแล้วว่ารหัสผ่านยาวสำคัญกว่าสัญลักษณ์ซับซ้อน

ทำไมต้องเริ่มตั้งแต่ตอนที่ภัยยังมาไม่ถึง

เหตุผลมีสองข้อ ข้อแรกคือการเปลี่ยนระบบเข้ารหัสในองค์กรขนาดใหญ่และระบบโครงสร้างพื้นฐานสำคัญไม่สามารถทำเสร็จในเวลาสั้น ๆ ต้องสำรวจ ทดสอบ และทยอยเปลี่ยนทีละส่วน ข้อที่สองคือข้อมูลที่ถูกดักเก็บไว้ในวันนี้อาจถูกเก็บรอไว้ถอดรหัสในอนาคต ดังนั้นข้อมูลที่ต้องเก็บรักษาเป็นเวลานานจึงต้องเริ่มป้องกันด้วยมาตรฐานใหม่ตั้งแต่เนิ่น ๆ สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ หรือ NIST ได้ประกาศมาตรฐานการเข้ารหัสแบบ Post-Quantum ชุดแรกในปี 2567 แล้ว ซึ่งเป็นสัญญาณว่าทิศทางโลกกำลังขยับไปทางเดียวกัน และเป็นเหตุผลที่ไทยเริ่มวางกรอบของตัวเองตั้งแต่ปี 2569 แทนที่จะรอจนภัยมาถึงตัว