Carlos Moreira, CEO i założyciel SEALSQ – seria wywiadów

Carlos Moreira, CEO i założyciel SEALSQ, jest doświadczonym menedżerem w dziedzinie cyberbezpieczeństwa i zaufania cyfrowego z dekadami doświadczenia obejmującego bezpieczne półprzewodniki, tożsamość cyfrową, telekomunikację oraz technologie wschodzące. Jest także założycielem, prezesem i CEO firmy WISeKey, którą założył w 1999 roku, oraz pełni funkcję Sekretarza Generalnego Fundacji OISTE. Wcześniej w swojej karierze Moreira spędził ponad 15 lat, pracując z Organizacją Narodów Zjednoczonych i powiązanymi organizacjami międzynarodowymi nad telekomunikacją, e‑bezpieczeństwem, e‑handlem i bezpiecznymi sieciami informacyjnymi. Jego szersze przedsięwzięcia technologiczne obejmują WISeSat.Space i SEALCOIN, a jego praca obejmowała również doradztwo i role przywódcze w Światowym Forum Ekonomicznym oraz udział w globalnej społeczności MIT Media Lab, gdzie SEALSQ bada bezpieczeństwo, prywatność, odporność kwantową i innowacje skoncentrowane na człowieku.

SEALSQ jest notowaną publicznie firmą zajmującą się półprzewodnikami i cyberbezpieczeństwem, koncentrującą się na zabezpieczaniu podłączonych urządzeń i infrastruktury cyfrowej przed tradycyjnymi oraz nowymi zagrożeniami kwantowymi. Notowana na Nasdaq pod symbolem LAES, firma opracowuje bezpieczne mikrokontrolery, elementy zabezpieczające, platformy bezpieczeństwa oparte na RISC‑V, infrastrukturę kluczy publicznych (PKI), provisioning urządzeń oraz technologie tożsamości cyfrowej. Rozszerzające się portfolio post‑kwantowe integruje kryptografię zgodną ze standardami NIST bezpośrednio w krzem, w tym technologie zapewniające sprzętowe źródła zaufania dla urządzeń IoT, systemów motoryzacyjnych, infrastruktury przemysłowej, inteligentnych domów i przetwarzania brzegowego. SEALSQ rozwija także własne możliwości projektowania półprzewodników poprzez IC’Alps oraz opracowuje szerszą zintegrowaną architekturę bezpieczeństwa obejmującą bezpieczne chipy, tożsamość cyfrową, zaufane komunikacje, kryptografię post‑kwantową oraz nowe technologie kwantowe.

Założyłeś WISeKey w 1999 roku, a później stworzyłeś SEALSQ jako dedykowaną firmę zajmującą się półprzewodnikami i bezpieczeństwem post‑kwantowym. Co przekonało Cię, że zaufanie cyfrowe nie może już być rozwiązywane wyłącznie za pomocą oprogramowania i infrastruktury kluczy publicznych, i musi być przeniesione bezpośrednio do krzemu?

Kiedy zakładałem WISeKey, większość wyzwań związanych ze zaufaniem cyfrowym koncentrowała się wokół tożsamości, certyfikatów i zabezpieczania komunikacji. Oprogramowanie i infrastruktura kluczy publicznych były właściwą podstawą, ponieważ większość systemów była połączona przez serwery i sieci korporacyjne.

Z czasem obliczenia przeniosły się na krawędź. Dziś miliardy podłączonych urządzeń podejmują decyzje bezpieczeństwa samodzielnie. Samochody, urządzenia medyczne, kontrolery przemysłowe i inteligentna infrastruktura muszą wiedzieć, czy uruchamiany przez nie kod jest autentyczny oraz czy urządzenie, z którym się komunikują, jest godne zaufania.

Ten poziom zaufania musi rozpocząć się zanim uruchomi się oprogramowanie. Sprzętowe źródło zaufania (Root of Trust) zapewnia bezpieczną podstawę dla tożsamości, przechowywania kluczy i bezpiecznego rozruchu, której sam program nie może zapewnić, jeśli podległa platforma została już naruszona.

Komputery kwantowe przyspieszyły to myślenie. Branża przygotowuje się na nowe standardy kryptograficzne, podczas gdy podłączone urządzenia mają pozostać w eksploatacji przez dziesięciolecia. To sprawiło, że bezpieczne półprzewodniki stały się naturalnym rozszerzeniem naszej pracy nad zaufaniem cyfrowym. Dostrzegliśmy możliwość połączenia tożsamości, kryptografii i sprzętu, aby zaufanie zaczynało się wewnątrz chipu i trwało przez cały cykl życia urządzenia.

Wiele dyskusji na temat post‑kwantowego bezpieczeństwa koncentruje się na atakach „Zbierz teraz, odszyfruj później” na przechowywane dane. Dlaczego uważasz, że bardziej pilnym zagrożeniem mogą być podłączone systemy fizyczne, takie jak pojazdy, urządzenia medyczne, sprzęt przemysłowy i infrastruktura krytyczna?

„Zbierz teraz, odszyfruj później” jest realnym zagrożeniem, ponieważ wrażliwe informacje skradzione dziś mogą zostać odszyfrowane w przyszłości, gdy dostępne będą komputery kwantowe o dużej skali.

Jednocześnie podłączone systemy fizyczne stawiają inne wyzwanie. Urządzenia te kontrolują procesy w rzeczywistym świecie. Obsługują fabryki, wspierają opiekę zdrowotną, zarządzają transportem i pomagają w eksploatacji infrastruktury energetycznej. Wiele z nich pozostaje w użyciu przez piętnaście czy dwadzieścia lat i nie może być szybko wymienione ani zaktualizowane.

Jeśli te urządzenia nie będą mogły uwierzytelnić aktualizacji oprogramowania, weryfikować poleceń ani ustanawiać zaufanych tożsamości przy użyciu zabezpieczeń odpornych na kwanty, ryzyko operacyjne będzie rosło z czasem. Organizacje mogą odkryć, że wymiana lub recertyfikacja wdrożonych systemów zajmuje znacznie dłużej niż aktualizacja oprogramowania korporacyjnego.

Przygotowanie tych systemów do przejścia na post‑kwantowe zabezpieczenia wymaga planowania z wieloletnim wyprzedzeniem, ponieważ decyzje sprzętowe podjęte dziś będą miały znaczenie jeszcze przez kolejną dekadę.

Organizacje są zachęcane do inwentaryzacji swojej kryptografii, ale wiele z nich może nie mieć pełnego wykazu chipów i systemów wbudowanych, które ją wykorzystują. Jak powinny zidentyfikować, które urządzenia o długim cyklu życia stanowią największe ryzyko kwantowe?

Pierwszym krokiem jest zrozumienie, gdzie kryptografia jest osadzona, nie tylko w oprogramowaniu, ale także w sprzęcie. Wiele organizacji posiada przyzwoitą inwentaryzację serwerów i aplikacji, ale znacznie mniej widoczności w zakresie elementów zabezpieczających, mikrokontrolerów i systemów wbudowanych działających w całej firmie.

Priorytetowo traktowałbym urządzenia, kierując się trzema pytaniami. Jak długo urządzenie będzie pozostawało w eksploatacji? Jak trudne będzie jego zaktualizowanie lub wymiana? Jaki byłby wpływ operacyjny, gdyby jego tożsamość lub komunikacja nie mogły już być uznane za zaufane?

To naturalnie przyciąga uwagę do sektorów takich jak motoryzacja, opieka zdrowotna, automatyka przemysłowa, obrona i infrastruktura krytyczna, gdzie sprzęt często działa przez wiele lat pod ścisłymi wymogami certyfikacyjnymi.

Organizacje powinny również ściśle współpracować z dostawcami półprzewodników i producentami sprzętu, aby zrozumieć, które urządzenia już wspierają elastyczność kryptograficzną, a które ostatecznie będą wymagały wymiany sprzętu.

Co może osiągnąć sprzętowe źródło zaufania, czego nie może zapewnić aktualizacja post‑kwantowa oparta na oprogramowaniu, szczególnie gdy urządzenie musi się uwierzytelnić, zweryfikować oprogramowanie układowe lub odrzucić złośliwe polecenia?

Sprzętowe Root of Trust ustanawia zaufanie przed uruchomieniem systemu operacyjnego i oprogramowania aplikacji. Bezpiecznie przechowuje klucze kryptograficzne, weryfikuje integralność oprogramowania układowego podczas rozruchu i zapewnia zaufaną tożsamość, która pozostaje chroniona nawet jeśli wyższe warstwy oprogramowania zostaną naruszone.

Aktualizacje oprogramowania pozostają niezbędne, a algorytmy post‑kwantowe będą z pewnością dostarczane poprzez oprogramowanie tam, gdzie to właściwe. Jednak oprogramowanie zależy od podstawowej zaufanej platformy, aby zweryfikować, że aktualizacje są autentyczne i nie zostały zmodyfikowane.

Dla podłączonych urządzeń działających w krytycznych środowiskach, tożsamość oparta na sprzęcie umożliwia również bezpieczne uwierzytelnianie między maszynami i pomaga zapewnić, że polecenia pochodzą od zaufanych źródeł.

Ta podstawa staje się coraz ważniejsza, gdy podłączone systemy stają się bardziej autonomiczne i pozostają w eksploatacji przez wiele lat.

SEALSQ’s QS7001 integruje algorytmy post‑kwantowe w bezpiecznym mikrokontrolerze RISC‑V. Jakie wyzwania związane z wydajnością, zużyciem energii, pamięcią i interoperacyjnością pojawiają się przy przenoszeniu kryptografii post‑kwantowej z oprogramowania do ograniczonego sprzętu?

Algorytmy post‑kwantowe zazwyczaj wymagają więcej pamięci, większych zasobów obliczeniowych i innych technik optymalizacji niż tradycyjna kryptografia klucza publicznego. Te ograniczenia są szczególnie istotne w urządzeniach wbudowanych, gdzie zużycie energii, powierzchnia krzemu i moc przetwarzania są ograniczone.

QS7001 realizuje to jako 32‑bitowy bezpieczny mikrokontroler RISC‑V z sprzętowym Root of Trust i przyspieszeniem kryptograficznym. Integruje standard NIST‑owy ML‑KEM do ustanawiania kluczy oraz ML‑DSA do podpisów cyfrowych. Przechowywanie wrażliwych operacji i prywatnych kluczy wewnątrz chronionej granicy sprzętowej zwiększa odporność na wyodrębnianie kluczy, analizę bocznych kanałów i ataki wstrzykiwania błędów, a dedykowane przyspieszenie zmniejsza obciążenie głównego procesora.

Zarządzanie pamięcią jest również ważne, ponieważ ML‑KEM i ML‑DSA używają większych kluczy oraz struktur danych pośrednich niż ECC. Optymalizacja w zakresie sprzętu, firmware i bezpiecznej pamięci pomaga kontrolować przepływ danych, szczytowe zużycie pamięci oraz zużycie energii, szczególnie w urządzeniach zasilanych bateryjnie lub podłączonych okresowo. Dokładne wartości opóźnień, pamięci i energii zależą od ustawionych parametrów bezpieczeństwa i profilu aplikacji i powinny być podawane na podstawie zweryfikowanego krzemu w określonych warunkach testowych.

Interoperacyjność ma znaczenie, ponieważ klasyczna i post‑kwantowa kryptografia będą współistnieć przez lata. QS7001 wspiera ścieżkę migracji, która pozostaje zgodna z dzisiejszymi PKI i protokołami, jednocześnie dodając odporne na kwanty ustanawianie kluczy, podpisy, bezpieczny rozruch i weryfikację firmware. Elastyczność kryptograficzna i uwierzytelnione aktualizacje firmware pozwalają implementacjom rozwijać się bez wymiany sprzętowego Root of Trust.

Standardy post‑kwantowe i wytyczne implementacyjne będą się dalej rozwijać. Jak producenci mogą wbudować elastyczność kryptograficzną w urządzenia, które mają pozostać operacyjne przez 10‑20 lat, nie tworząc nowych luk bezpieczeństwa ani nie wymagając wymiany sprzętu?

Elastyczność kryptograficzną należy zaprojektować w architekturze od samego początku. Producenci potrzebują bezpiecznego sprzętu zdolnego do obsługi uwierzytelnionych aktualizacji, wielu algorytmów oraz kontrolowanej migracji w miarę dojrzewania standardów.

To nie oznacza, że każda przyszła zmiana może być rozwiązana wyłącznie przez oprogramowanie. Sprzęt nadal potrzebuje wystarczającej mocy przetwarzania, bezpiecznego zarządzania kluczami oraz architektury zaprojektowanej z myślą o długoterminowej ewolucji.

Celem jest zminimalizowanie liczby sytuacji, w których konieczna będzie wymiana fizycznego sprzętu, przy jednoczesnym utrzymaniu wysokiego poziomu bezpieczeństwa przez cały cykl życia produktu.

Organy standaryzacyjne będą nadal udoskonalać wytyczne, więc elastyczność połączona ze sprzętowym zaufaniem daje producentom najlepszą możliwość odpowiedzialnego dostosowania się.

Miliony potencjalnie podatnych podłączonych urządzeń zostały już wdrożone. Gdzie podejścia retrofittingowe, takie jak moduły zaufanej platformy, bezpieczne bramki, aktualizacje firmware lub zabezpieczenia na poziomie sieci, mogą pomóc, a gdzie wymiana podstawowego sprzętu będzie nieunikniona?

Nie ma jednej odpowiedzi, ponieważ wdrożone urządzenia różnią się znacznie.

Aktualizacje firmware mogą rozwiązać wiele luk w oprogramowaniu, gdy urządzenia już posiadają zaufany mechanizm aktualizacji. Bezpieczne bramki i zabezpieczenia na poziomie sieci mogą również zmniejszyć narażenie starszych systemów, które nie mogą łatwo obsługiwać nowoczesnej kryptografii.

Moduły zaufanej platformy i zewnętrzne elementy zabezpieczające mogą wydłużyć przydatny okres niektórych urządzeń, gdy integracja jest praktyczna.

Będą również sytuacje, w których pierwotny sprzęt po prostu nie posiada wystarczającej mocy przetwarzania, bezpiecznego magazynowania ani wsparcia architektonicznego potrzebnego do bezpieczeństwa post‑kwantowego. W takich przypadkach wymiana staje się częścią długoterminowej strategii modernizacji, szczególnie dla systemów, które mają pozostać w eksploatacji kolejny dekadę lub dłużej.

SEALSQ’s acquisition i integracja IC’Alps dodały możliwości projektowania dedykowanych układów scalonych aplikacji w sektorach motoryzacji, opieki zdrowotnej, przemysłu i Internetu rzeczy. Jak projektowanie bezpieczeństwa w niestandardowym chipie od samego początku zmienia proces rozwoju w porównaniu z późniejszym dodaniem oddzielnego komponentu bezpieczeństwa?

Bezpieczeństwo staje się wymogiem projektowym, a nie zadaniem integracyjnym.

Gdy bezpieczeństwo jest uwzględniane od najwcześniejszych etapów rozwoju ASIC, inżynierowie mogą optymalizować architekturę, pamięć, zużycie energii i ochrony fizyczne razem, zamiast później dostosowywać istniejący projekt. To zazwyczaj prowadzi do lepszej wydajności, większej odporności i bardziej efektywnego procesu certyfikacji.

Nasza integracja IC’Alps daje nam możliwość współpracy z klientami znacznie wcześniej w cyklu rozwoju i wbudowania bezpieczeństwa post‑kwantowego bezpośrednio w niestandardowy krzem dla wymagających zastosowań w motoryzacji, opiece zdrowotnej, systemach przemysłowych i IoT.

Takie podejście daje producentom większą kontrolę nad długoterminowymi planami produktów, ponieważ bezpieczeństwo staje się częścią fundamentu chipu, a nie zewnętrznym komponentem dodawanym później.

Poprzez pracę SEALSQ z MIT Media Lab bada się zaufanie w interakcjach człowiek‑AI oraz systemy nowej generacji. Gdy AI jest wbudowane w pojazdy, roboty, sprzęt przemysłowy i autonomiczne urządzenia, w jaki sposób tożsamość i atestacja oparta na sprzęcie powinna być używana do weryfikacji, które maszyny i agenci AI można uznać za godne zaufania?

W miarę jak AI przenika do systemów fizycznych, zaufanie staje się równie ważne jak inteligencja. Organizacje będą potrzebowały pewności, że system AI uruchamia autoryzowane oprogramowanie na autentycznym sprzęcie i komunikuje się ze zweryfikowanymi urządzeniami. Tożsamość i atestacja oparta na sprzęcie zapewniają tę podstawę, wykazując, że urządzenie jest autentyczne, a jego firmware nie został zmodyfikowany.

Praca SEALSQ z MIT Media Lab bada te kwestie na przecięciu bezpieczeństwa, prywatności, odporności kwantowej i innowacji skoncentrowanej na człowieku. Współpraca wykracza poza pojedynczy produkt, patrząc w przyszłość zaufania cyfrowego i interakcji człowiek‑AI, uznając, że wiarygodna AI wymaga także zrozumiałego zachowania, zarządzania i jasnej odpowiedzialności.

W praktyce każde urządzenie może otrzymać unikalną tożsamość, której prywatne klucze pozostają wewnątrz odpornego na manipulacje Root of Trust. Następnie może przedstawić podpisane dowody dotyczące statusu bezpiecznego rozruchu, firmware, konfiguracji oprogramowania oraz, jeśli jest obsługiwany, zatwierdzonego modelu AI lub środowiska agenta. Weryfikator może użyć tych dowodów, aby zdecydować, czy przyznać dostęp, zaakceptować polecenie lub przełączyć urządzenie w bezpieczny tryb pracy.

Ta sama zasada dotyczy agentów AI. Agent powinien posiadać weryfikowalny credential powiązany z odpowiedzialnym operatorem, określoną rolą i ograniczonymi uprawnieniami. Polecenia powinny być podpisane, ograniczone w czasie i audytowalne, z kontrolą polityk lub autoryzacją człowieka w przypadku działań o dużym wpływie. Nasz proof of concept WISERobot ilustruje ten kierunek, łącząc bezpieczną tożsamość, chronione komunikacje i zaufane interakcje maszyna‑do‑maszyny.

Jak wyglądałoby znaczące przygotowanie post‑kwantowe w ciągu najbliższych trzech do pięciu lat i jakie działania powinni podjąć producenci urządzeń, operatorzy infrastruktury, regulatorzy oraz nabywcy korporacyjni już teraz?

Znaczące przygotowanie oznacza przejście od świadomości do wdrożenia.

Producenci powinni rozpocząć projektowanie nowych produktów z myślą o bezpieczeństwie post‑kwantowym i elastyczności kryptograficznej, zamiast zakładać, że sprzęt zawsze będzie można później zaktualizować.

Operatorzy infrastruktury powinni zidentyfikować zasoby o długim okresie życia, zrozumieć, gdzie kryptografia jest osadzona, i opracować realistyczne plany migracji oparte na priorytetach operacyjnych.

Regulatory mogą nadal wspierać wspólne standardy i zachęcać do długoterminowego planowania, szczególnie w sektorach, w których bezpieczeństwo publiczne i usługi krytyczne zależą od podłączonych urządzeń.

Nabywcy korporacyjni powinni zacząć zadawać dostawcom praktyczne pytania dotyczące gotowości post‑kwantowej, sprzętowych Root of Trust oraz długoterminowego wsparcia. Decyzje zakupowe podjęte dziś będą wpływać na bezpieczeństwo przez wiele lat.

Przejście na bezpieczeństwo post‑kwantowe zajmie czas. Organizacje, które rozpoczną przygotowania już teraz, będą miały większą elastyczność, niższe ryzyko operacyjne i bardziej wykonalną ścieżkę, gdy standardy i wdrożenia będą się dalej rozwijać.

Dziękujemy za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić SEALSQ.