Na Lupě nedávno vyšel velmi zajímavý článek NÚKIB ignoruje nařízení vlády. Česko kvůli tomu může přijít o stovky milionů na kvantovou síť, který informuje o pasivitě Národního úřadu pro kybernetickou a informační bezpečnost a nedorozumění ohledně kompetencí. Proto by mohlo být užitečné se podívat na to, jak by taková kvantová síť v rámci EuroQCI měla koncepčně fungovat.
Následující popis vychází čistě z veřejného dokumentu EuroQCI ConOps (Concept of Operations), který již ve své druhé verzi (2.0) v červnu 2023 publikovala Evropská komise coby hlavní organizátor EuroQCI. V textu bude často použita zkratka QCI z anglického Quantum Communication Infrastructure, tedy kvantová komunikační infrastruktura.
EuroQCI globálně
EuroQCI v první generaci by měla být panevropská kvantová síť se službou kvantové distribuce klíče (QKD). Později lze uvažovat o takzvaném kvantovém internetu, kde služeb může být více, například distribuované kvantové počítání, kvantové počítání naslepo, přímé kvantové zprávy, autorizace na základě vaší polohy, anonymní, ale bezpečné hlasování, distribuce přesnějšího času či přenos kvantových dat z kvantových senzorů. Avšak současná infrastruktura se zatím navrhuje jenom pro QKD.
EuroQCI se skládá ze dvou velkých nezávislých částí (domains). Pozemní TerrQCI (Terrestrial QCI), kde kvantová komunikace běží dominantně po optických kabelech, a vesmírné SpaceQCI, kde se počítá s komunikací mezi satelity a pozemními optickými stanicemi (oficiálně SUE – SpaceQCI User Equipment).
TerrQCI se skládá z několika navzájem propojených národních kvantových sítí (NatQCI). NatQCI patří a je řízená jednotlivými členskými státy (u nás vznikne jedna NatQCI zvaná CZQCI) nebo nějakým tělesem Evropské unie (třeba kvantová síť spojující EU instituce v Bruselu a Štrasburku).
Některé země mohou mít více národních kvantových sítí, například Řecko bude mít jednou kvantovou síť na pevnině a pár na některých větších ostrovech. Následné propojení národních kvantových sítí jednotlivých zemí je na vzájemné domluvě.
Naopak využití SpaceQCI je zprostředkováno skrze takzvaný kvantový hub (Quantum Hub), který danou službu zprostředkuje. Kvantový hub bude provozován v rámci vesmírného programu GOVSATCOM, jenž je rovněž vlastněn Evropskou unií.
Koncept národní kvantové sítě (NatQCI) detailně
Nyní se podíváme, jak by koncepčně měla fungovat národní kvantová síť v rámci EuroQCI. Každá NatQCI bude mít jednoho národního operátora (NatQCI Operator), který bude mít na starosti službu QKD v dané národní kvantové síti. To znamená, že když například NÚKIB v Brně bude chtít bezpečně komunikovat s Ministerstvem vnitra v Praze, zprostředkuje to právě národní operátor. Tento operátor by měl být nad všemi provozovateli. Jednotlivé kvantové linky nebo metropolitní kvantové sítě mohou mít různé provozovatele, například univerzity, CESNET, ČD-Telematika, CETIN a tak dále. Národní operátor také zajišťuje spojení se sousedními národními kvantovými sítěmi, a to v rámci vzájemné dohody.
V případě, že například české ministerstvo zahraničních věcí bude chtít komunikovat s kolegy z Madridu, je pravděpodobnější využití vesmírné části EuroQCI. Vzdálenost Praha-Madrid je velká, což je problematické pro QKD skrze optické kabely (více je to popsané zde), ale jednodušší pro spojení skrze satelit.
V takovém případě by ministerstvo zahraničí kontaktovalo českou národní kompetitivní autoritu SCCA (Secure Connectivity Competent Authority), která má přímé spojení na výše zmíněný kvantový hub, jenž zprostředkuje spojení mezi satelitem a pozemní optickou stanicí obou zemí. Následně národní operátor zajistí spojení pozemní optické stanice s konečným uživatelem.
Pokud bychom tu žádnou pozemní optickou stanici neměli, museli bychom využít nějakou sousední, třeba v Německu či Rakousku.
Nakonec je tu národní bezpečnostní monitoring (NatQCI Security Monitoring), což je entita, která bude napojena primárně na národního operátora a na národní kompetitivní autoritu. Případné problémy by ihned reportovala do EuroQCI bezpečnostního monitoringu, odkud by report eskaloval dále.
Z technického hlediska je tam vztahů více, ale to není až tak důležité. Také je potřeba si uvědomit, že z pohledu reálného uživatele tohle vše bude probíhat zcela automaticky v pozadí dle konfigurace. To znamená, že uživatel zadá, že chce vysoce zabezpečené spojení s jiným uživatelem, třeba videokonferenční hovor. Následně v pozadí daný software pro videokonference může požádat o extra zabezpečení skrze QKD. Zbytek pohádky je pak popsaný výše a dále na obrázcích.
Fungování kvantových sítí v EuroQCI v obrázcích
Pro lepší pochopení si výše popsané znázorníme i na obrázcích.
Tento nákres není popsán v EuroQCI ConOps přímo, ale vyplývá z logiky věci. Pokud se uživatel A (User A) chce spojit s uživatelem B (User B), požádá národního operátora (NatQCI Operator), který danou službu (QKD) zprostředkuje. Zde A i B mohou být přímo spojeni, nebo, pravděpodobněji, budou spojeni skrze několik opakovačů, a i dokonce skrze několik poskytovatelů (například CETIN a ČD-Telematika). Celé toto schéma je plně v rukou členských států.
Zde je schematický náčrt mezinárodní kvantové komunikace. Uživatel A požádá o zahraniční spojení s uživatelem B (například české a německé ministerstvo vnitra) svého národního operátora (NatQCI Operator). Ten pak musí vyhodnotit situaci. Pokud je uživatel dostatečně blízko (stovky kilometrů, například sousední stát), pak si zde spojení dohodnou národní operátoři mezi sebou dle dojednaných pravidel mezi oběma zeměmi. Zbytek je pak stejný jako na předchozím obrázku. Opět, celé toto schéma je plně v rukou členských států a dohod mezi nimi.
Tato situace je asi nejsložitější. Uživatel A opět podá požadavek pro spojení s B, který je však daleko, a proto se použije satelitní kvantová komunikace (například spojení Praha–Madrid). V takovém případě vstupuje do akce národní kompetitivní autorita (SCCA), která se spojí s kvantovým hubem (Quantum Hub), který následně zajistí kvantové spojení mezi pozemními optickými stanicemi (SUE) obou národních kvantových sítí. Následný přenos mezi SUE a koncovým uživatelem je opět v gesci národních kvantových sítí za spolupráce národního operátora a kompetitivní autority.
Poslední obrázek se věnuje bezpečnostní hierarchii EuroQCI. Dle EuroQCI ConOps musí každý členský stát zřídit bezpečnostní monitoring pro národní kvantovou síť (NatQCI Security Monitoring). Ten je zodpovědný za monitorování národní kvantové sítě, že je provozována dle daných (bezpečnostních) kritérií. Pokud nastanou nějaké „anomálie“, hlásí to národní kompetentní autoritě, která to může následně předat výše, nebo to jinak vyřešit. Pokud dojde vyloženě k bezpečnostním problémům, které mohou představovat hrozbu pro další členské státy nebo Unii, pak musí tuto skutečnost národní monitoring neprodleně hlásit bezpečnostní monitorovací službě EuroQCI.
Výše uvedené obrázky a jejich popis jsou do značné míry zjednodušeny. Navíc vychází z EuroQCI ConOps a v realitě se může trochu lišit.
CZQCI a její účastníci
EuroQCI lze rozdělit do dvou fází. První fáze je spíše výzkumně-vývojová. Tomu odpovídá i velká akademická účast. V této fázi by se měly postavit prototypy, vzdělávat budoucí koncoví uživatelé, popsat příkladná využití (use cases) a podobně.
Druhá fáze je opravdové nasazení, kde lze provést komunikaci až na bezpečnostní úroveň Tajné (to je druhý nejvyšší stupeň utajení). Tady už takzvaně „končí sranda“, neboť certifikace na takovýto vysoký stupeň je velmi netriviální.
Složení konsorcia CZQCI pro první fázi je vedeno organizací CyberSecurity Hub (Masarykova Univerzita ve spolupráci s ČVUT). Členy jsou Ústav přístrojové techniky Akademie věd, CESNET, ČVUT v Praze, Masarykova univerzita, Univerzita Palackého v Olomouci, Vysoká škola báňská – Technická Univerzita Ostrava a VUT Brno. Dominantně akademické složení odpovídá právě první fázi EuroQCI, jak je popsáno výše.
Jako autor textu nemám přístup do CZQCI, ale jako pracovník v EUSPA vidím do SpaceQCI. Proto je následující část spekulativního charakteru.
V rámci národní kvantové sítě zde máme následující entity: bezpečnostní monitoring, národní operátor, provozovatel, národní kompetitivní autorita a pak akreditace.
Pokud jde o akreditaci, dokument jasně říká, že je to buď National Security Authority (NSA) – to by odpovídalo Národnímu bezpečnostnímu úřadu (NBÚ) – nebo National Cyber-Security Agency (NCSA), což by odpovídalo NÚKIBu. Pokud vím, tak v případě ČR je tou entitou NÚKIB. Ten například určuje, kdo bude Česko reprezentovat v rámci pracovní skupiny Evropské komise pro EuroQCI. Momentálně je oním zástupcem Jan Bouda ze CyberSecurity Hubu a Masarykovy univerzity.
Pak je tu národní bezpečnostní monitoring. Zde lze očekávat, že by se opět mělo jednat o NÚKIB analogicky jako pro klasické kyberbezpečnostní incidenty.
SCCA není jen entita pro EuroQCI, ale lze očekávat, že to bude stejná entita jako pro přístup k GOVSATCOM (satelitní služby Evropské unie) či IRIS2 („evropský Starlink“). To, zdá se, by opět měl být NÚKIB.
Dále tu máme národního operátora. Vzhledem k výši možného stupně utajení a povaze komunikace, tedy kritická a hodně citlivá infrastruktura, bych očekával, že by se mělo jednat o nějakou národní organizaci nebo organizaci ovládanou přímo státem. Určitě by to neměl být NÚKIB, zvláště pokud to má akreditovat či monitorovat, to by se vylučovalo. Dokážu si představit, že vznikne něco nového, nebo to může být například ČD-Telematika, která skrze české dráhy je plně v rukou státu.
Provozovatel konkrétních sítí pak může být v principu kdokoliv, kdo má optické sítě, nasadí na ně QKD a dosáhne pak na příslušné akreditace pro zapojení do NatQCI. Zde si opět dovedu představit ČD-Telematiku, CESNET nebo například CETIN.
Celý projekt národní kvantové sítě je stále ve fázi formování. Nicméně z výše popsaného vyplývá, že je vhodné, ale i žádoucí rozlišovat provozování kvantové sítě a její bezpečnostní monitoring či akreditaci a dle toho by měly být rozdány kompetence jednotlivým institucím.
- Chcete mít Lupu bez bannerů?
- Chcete dostávat speciální týdenní newsletter o zákulisí českého internetu?
- Chcete mít k dispozici strojové přepisy podcastů?
- Chcete získat slevu 1 000 Kč na jednu z našich konferencí?
Staňte se naším podporovatelem
ČLÁNKY DO MAILU