رمزنگاری پساکوانتومی: استانداردهای NIST و روند مهاجرت
این‌که نخستین استانداردهای پساکوانتومی NIST چگونه در کنار هم قرار می‌گیرند، چرا مهاجرت باید پیش از Q-Day آغاز شود، و سازمان‌ها اکنون با چه گام‌های عملی روبه‌رو هستند.
این صفحه از انگلیسی ترجمه شده است. نام شرکت‌ها، محصولات و پیوندهای منابع بدون تغییر باقی مانده‌اند. خواندن نسخه اصلی انگلیسی
رمزنگاری پساکوانتومی تلاشی است برای جایگزینی رمزنگاری کلید عمومیِ آسیب‌پذیرِ امروزی با گزینه‌هایی که گمان می‌رود در برابر حملات رایانه‌های کوانتومی آینده مقاوم باشند. سه استاندارد نهایی‌شده نخست NIST که در 2024 منتشر شدند، نشان می‌دهند این گذار از مرحله پژوهش وارد استقرار شده است: اکنون از سازمان‌ها انتظار می‌رود فهرست‌برداری کنند که الگوریتم‌های در معرض خطر کجا استفاده می‌شوند، تصمیم بگیرند کدام موارد را زودتر جایگزین کنند، و کار مهاجرت چندساله را آغاز کنند.
چرا رمزنگاری پساکوانتومی لازم است
مسئله این نیست که رایانه‌های کوانتومی می‌توانند همه‌چیز را بشکنند. نگرانی اصلی محدودتر و مهم‌تر است: سامانه‌های کلید عمومیِ پرکاربرد به مسائل ریاضی‌ای مانند تجزیه اعداد صحیح، لگاریتم گسسته، و لگاریتم گسسته روی منحنی بیضوی متکی‌اند. یک رایانه کوانتومی با توان کافی که الگوریتم Shor را اجرا کند، می‌تواند این مسائل را به‌صورت کارآمد حل کند و در نتیجه سامانه‌هایی مانند RSA، Diffie–Hellman روی میدان متناهی، و Diffie–Hellman روی منحنی بیضوی را تضعیف کند.
این تهدید هنوز بالقوه است. تا سال 2026، رایانه‌های کوانتومی توان پردازشی لازم برای شکستن سامانه‌های رمزنگاریِ به‌طور گسترده مستقرشده را ندارند، و نمایش‌های آزمایشگاهی الگوریتم Shor فقط روی اعداد بسیار کوچک موفق بوده‌اند. مانع عملی، امکان‌پذیری نظری نیست، بلکه مقیاس مهندسی است: Wikipedia اشاره می‌کند که پیشی گرفتن از روش‌های کلاسیک ممکن است به ماشین‌هایی با میلیون‌ها کیوبیت نیاز داشته باشد، زیرا سربار تصحیح خطا بالاست.
با این حال، صبر کردن تا ظهور یک رایانه کوانتومی کاملاً توانمند اشتباه است. مهاجرت سال‌ها طول می‌کشد و برخی داده‌ها عمر محرمانگی طولانی دارند. به همین دلیل، «اکنون جمع‌آوری کن، بعداً رمزگشایی کن» (harvest now, decrypt later) به یک مفهوم محوری در برنامه‌ریزی تبدیل شده است. یک مهاجم می‌تواند امروز ترافیک رمزگذاری‌شده یا متن رمزِ ذخیره‌شده را جمع‌آوری کند و آن را نگه دارد تا پیشرفت‌های آینده، رمزگشایی را ممکن کنند. برای آرشیوهای ایمیل، داده‌های سلامت، مالکیت فکری، سوابق دولتی، یا لاگ‌های زیرساخت حیاتی، خسارت می‌تواند مدت‌ها پس از نخستین رهگیری داده رخ دهد.
کوانتوم چه چیزی را تغییر می‌دهد — و چه چیزی را نه
یک سوءبرداشت رایج این است که رایانش کوانتومی همه رمزنگاری را منسوخ می‌کند.
بیشتر رمزنگاری متقارن و توابع هشِ فعلی در برابر حملات کوانتومی نسبتاً امن تلقی می‌شوند. الگوریتم Grover می‌تواند جست‌وجوی فراگیر علیه رمزهای متقارن را سریع‌تر کند، اما در عمل می‌توان این اثر را با استفاده از اندازه کلید بزرگ‌تر، مانند دو برابر کردن اندازه کلید، خنثی کرد. بنابراین بزرگ‌ترین اختلال در رمزنگاری کلید عمومی است، به‌ویژه:
- برقراری کلید و تبادل کلید
- رمزنگاری کلید عمومی و کپسوله‌سازی کلید
- امضای دیجیتال
به همین دلیل برنامه PQC در NIST بر سازوکارهای کپسوله‌سازی کلید یا KEM و الگوریتم‌های امضای دیجیتال متمرکز بوده است، نه این‌که همه‌چیز را در پشته به‌طور هم‌زمان جایگزین کند.
NIST ابتدا چه چیزهایی را استاندارد کرد
NIST پس از فراخوان پیشنهادها، در اواخر 2016 تلاش رسمی استانداردسازی خود را آغاز کرد. بر اساس سوابق استانداردسازی، 69 پیشنهاد کامل و معتبر وارد دور نخست شدند و هفت نامزد به دور سوم که در ژوئیه 2020 اعلام شد، رسیدند. پس از سال‌ها ارزیابی، NIST سه استاندارد نخست خود را در 13 اوت 2024 نهایی کرد.
این استانداردها عبارت‌اند از:
- FIPS 203: ML-KEM، سازوکار کپسوله‌سازی کلید مبتنی بر شبکه پیمانه‌ای (Module-Lattice-Based Key-Encapsulation Mechanism)، مبتنی بر CRYSTALS-Kyber
- FIPS 204: ML-DSA، الگوریتم امضای دیجیتال مبتنی بر شبکه پیمانه‌ای (Module-Lattice-Based Digital Signature Algorithm)، مبتنی بر CRYSTALS-Dilithium
- FIPS 205: SLH-DSA، الگوریتم امضای دیجیتال بدون‌حالت مبتنی بر هش (Stateless Hash-Based Digital Signature Algorithm)، مبتنی بر SPHINCS+
NIST، ML-KEM را استاندارد اصلی برای رمزنگاری عمومی توصیف می‌کند و بر کوچک‌تر بودن نسبی کلیدهای رمزنگاری و سرعت آن تأکید دارد. ML-DSA استاندارد اصلی برای امضاهای دیجیتال است. SLH-DSA از یک مبنای ریاضی متفاوت استفاده می‌کند و قرار است در صورتی که بعداً مشخص شود ML-DSA آسیب‌پذیر است، نقش پشتیبان را ایفا کند.
راهنمایی خود NIST صریح است: این سه استاندارد برای استفاده فوری آماده‌اند و سازمان‌ها باید از همین حالا به‌کارگیری آن‌ها را آغاز کنند.
چرا چندین استاندارد وجود دارد، نه یک برنده نهایی
حوزه پساکوانتومی یک بنیان ریاضی مسلطِ واحد ندارد. خانواده‌های مختلف، قوت‌ها، ویژگی‌های پیاده‌سازی، و پروفایل‌های ریسک متفاوتی دارند. انتخاب‌های NIST بازتاب یک نگاه سبدی است.
رمزنگاری مبتنی بر شبکه در حال حاضر بخش بزرگی از بار استقرار را بر دوش دارد. نخستین الگوریتم‌های استانداردشده مبتنی بر شبکه در NIST، ML-KEM و ML-DSA هستند. این الگوریتم‌ها تا حدی به‌خاطر کارایی و اندازه کلید قابل‌مدیریت، جذاب‌اند.
اما تنوع‌بخشی اهمیت دارد. NIST، SLH-DSA را که یک طرح امضای مبتنی بر هش است، به‌عنوان پشتیبان امضای اصلیِ مبتنی بر شبکه انتخاب کرد. سپس در 11 مارس 2025، NIST، HQC را به‌عنوان KEM پشتیبان برای رمزنگاری عمومی انتخاب کرد. HQC مبتنی بر کد است، نه مبتنی بر شبکه، و NIST گفت همین تفاوت در رویکرد ریاضی دلیل حفظ آن به‌عنوان گزینه جایگزین است.
پیام راهبردی روشن است: آینده اعتماد دیجیتال را فقط بر یک فرض بنا نکنید.
استانداردهای بعدی در خط لوله
کار PQC در NIST با انتشار 2024 پایان نیافت.
صفحه پروژه CSRC می‌گوید NIST کار استانداردسازی را برای این موارد ادامه می‌دهد:
- Falcon، یک الگوریتم امضای دیجیتال
- HQC، یک سازوکار کپسوله‌سازی کلید
سوابق استانداردسازی می‌گویند استاندارد مبتنی بر Falcon با نام FN-DSA در FIPS 206 شناخته خواهد شد. تا اواسط 2026، این استاندارد همچنان در وضعیت پیش‌نویس بود. دلیل اعلام‌شده برای این زمان‌بندی کندتر، پیچیدگی پیاده‌سازی است: FN-DSA در فرایند امضا به نمونه‌برداری گاوسیِ ممیز شناور متکی است؛ چیزی که NIST می‌گوید پیاده‌سازی امن و با زمان ثابتِ آن از سه استانداردی که پیش‌تر نهایی شده‌اند دشوارتر است.
درباره HQC، NIST در مارس 2025 گفت انتظار می‌رود پیش‌نویس استاندارد حدود یک سال بعد منتشر شود و پس از دریافت نظر عمومی، استاندارد نهایی در 2027 ارائه شود.
این زمان‌بندی مرحله‌ای از نظر عملیاتی مهم است. سازمان‌ها لازم نیست برای اقدام، منتظر همه گزینه‌های آینده بمانند. NIST انتظار دارد ML-KEM، ML-DSA، و SLH-DSA مبنای بیشتر استقرارها را تشکیل دهند و می‌گوید باید همین حالا مورد استفاده قرار گیرند.
نقشه‌ای سریع از استانداردهای نخست
| استاندارد | نام الگوریتم | وظیفه اصلی | خانواده ریاضی | توصیف نقش از نظر NIST |
|---|---|---|---|---|
| FIPS 203 | ML-KEM | برقراری کلید / پشتیبانی از رمزنگاری عمومی | مبتنی بر شبکه | استاندارد اصلی برای رمزنگاری عمومی |
| FIPS 204 | ML-DSA | امضاهای دیجیتال | مبتنی بر شبکه | استاندارد اصلی برای امضا |
| FIPS 205 | SLH-DSA | امضاهای دیجیتال | مبتنی بر هش | روش پشتیبان امضا |
| در راه | FN-DSA | امضاهای دیجیتال | مبتنی بر شبکه NTRU | استاندارد امضای تکمیلی در حال توسعه |
| در راه | HQC | برقراری کلید / پشتیبانی از رمزنگاری عمومی | مبتنی بر کد | KEM پشتیبان برای ML-KEM |
مهاجرت در عمل چگونه انجام می‌شود
مهاجرت کمتر شبیه تعویض یک کتابخانه است و بیشتر به بازطراحی وابستگی‌های رمزنگاری در سراسر سامانه‌ها شباهت دارد.
راهنمای مهاجرت NIST می‌گوید سازمان‌ها باید مشخص کنند الگوریتم‌های آسیب‌پذیر کجا استفاده می‌شوند و برای به‌روزرسانی یا جایگزینی محصولات، خدمات، و پروتکل‌ها برنامه‌ریزی کنند. این یعنی یافتن رمزنگاری در جاهایی که اغلب مستندسازی ضعیفی دارند:
- پایان‌دهی TLS و پیوندهای داخلی سرویس‌به‌سرویس
- VPNها و سامانه‌های دسترسی از راه دور
- PKI و فرایندهای گواهی‌نامه
- امضای کد و امضای اسناد
- ماژول‌های امنیت سخت‌افزاری و سامانه‌های به‌روزرسانی firmware
- ابزارهای هویت، دسترسی، و مدیریت کلید
- دستگاه‌های نهفته و فناوری عملیاتی
- داده‌های ذخیره‌شده بلندعمر که تحت طرح‌های قدیمی برقراری کلید محافظت می‌شوند
نخستین گام معمولاً فهرست‌برداری رمزنگاری است: RSA، Diffie–Hellman، یا سازوکارهای منحنی بیضوی کجا به‌کار می‌روند، چه مستقیم و چه از طریق محصولات شخص ثالث؟ گام دوم اولویت‌بندی است: کدام سامانه‌ها به این دلیل پرخطرند که با اسرار بلندعمر سروکار دارند یا ارتقای آن‌ها دشوار است؟ گام سوم اجرا است: آزمون، کار روی تعامل‌پذیری، عرضه مرحله‌ای، و تغییرات سیاستی.
جدول زمانی NIST فوریت را بیشتر می‌کند. بر اساس جدول زمانی گذار که در صفحه CSRC به آن ارجاع شده، NIST قصد دارد تا 2035 الگوریتم‌های آسیب‌پذیر در برابر کوانتوم را از استانداردهای خود منسوخ و در نهایت حذف کند، و سامانه‌های پرریسک‌تر خیلی زودتر جابه‌جا خواهند شد.
مهم‌ترین بده‌بستان‌های مهندسی
مهاجرت پساکوانتومی صرفاً یک تمرین انطباقی نیست. این کار با مصالحه‌های فنی واقعی همراه است.
یکی از بده‌بستان‌های کلی، اندازه در برابر کارایی است. مطالب PQC در NIST اشاره می‌کنند که بسیاری از الگوریتم‌های PQC نسبت به سامانه‌های کلید عمومیِ پیشاکوانتومی از کلیدهای بزرگ‌تری استفاده می‌کنند. آن‌ها همچنین از بده‌بستان میان اندازه کلید، کارایی محاسباتی، و اندازه متن رمز یا امضا سخن می‌گویند. برای پروتکل‌های اینترنتیِ رو‌به‌کاربر و دستگاه‌های محدود، این تفاوت‌ها می‌توانند بر پهنای باند، تأخیر، حافظه، و پیچیدگی پیاده‌سازی اثر بگذارند.
بده‌بستان دیگر، بلوغ در برابر تنوع است. سامانه‌های مبتنی بر شبکه در حال حاضر بر استانداردهای اولیه غالب‌اند، زیرا در ارزیابی‌های NIST عملکردی به‌اندازه کافی خوب داشتند که به گزینه‌های اصلی تبدیل شوند. اما ریسک تمرکز واقعی است، و به همین دلیل استانداردهای پشتیبان مبتنی بر ریاضیات دیگر در حال توسعه‌اند.
امنیت پیاده‌سازی، سومین موضوع است. سوابق استانداردسازی به نگرانی‌های کانال جانبی برای Falcon اشاره می‌کنند و می‌گویند راهکارهای کاهش احتمالی می‌توانند بر کارایی اثر بگذارند. به‌طور کلی‌تر، یک طراحی رمزنگاری ممکن است روی کاغذ قوی به نظر برسد، اما همچنان پیاده‌سازی امن آن در عمل دشوار باشد.
استانداردها چه چیزهایی را تعیین تکلیف نمی‌کنند
وجود یک استاندارد، امنیت همیشگی را اثبات نمی‌کند. الگوریتم‌های پساکوانتومی را مقاوم در برابر حمله کوانتومی می‌دانند، اما این مقاومت اثبات نشده است. این قید در خود این حوزه نهفته است.
از فرایند NIST نیز درس‌هایی به‌دست آمده است. برخی نامزدها در طول ارزیابی شکسته شدند. Wikipedia دو نمونه بسیار شاخص را برجسته می‌کند: Rainbow در دور سوم روی یک رایانه کلاسیک شکسته شد و SIKE در دور چهارم شکسته شد. این شکست‌ها کل PQC را بی‌اعتبار نمی‌کنند؛ بلکه نشان می‌دهند چرا رمزکاوی عمومی و استانداردسازی محتاطانه زمان‌بر است.
پرسش‌های باز همچنان پیرامون این موارد باقی مانده‌اند:
- اطمینان بلندمدت به مسائل ریاضیِ انتخاب‌شده
- کیفیت پیاده‌سازی در میان فروشندگان و پشته‌های متن‌باز
- مقاومت در برابر کانال جانبی در سخت‌افزار و نرم‌افزار واقعی
- تعامل‌پذیری در پروتکل‌ها و زیست‌بوم‌های گواهی‌نامه
- این‌که سازمان‌ها با چه شدتی باید میان خانواده‌های الگوریتمی تنوع ایجاد کنند
روشی عملی برای فکر کردن به «چه زمانی باید حرکت کرد»
برای بیشتر سازمان‌ها، چارچوب درست این نیست که «آیا Q-Day سال آینده است؟» بلکه این است که «مهاجرت ما چقدر طول می‌کشد، و داده‌های ما تا چه مدت باید امن بمانند؟»
اگر سامانه‌های شما عمیقاً نهفته، تحت مقررات، در سطح جهانی توزیع‌شده، یا وابسته به فروشندگان هستند، این گذار ممکن است کند باشد. اگر داده‌های شما سال‌ها بعد هم حساس باقی می‌مانند، ریسکِ harvest-now هزینه تأخیر را بیشتر می‌کند. همین منطق توضیح می‌دهد که چرا NIST با وجود آن‌که رایانه‌های کوانتومی هنوز به مقیاس لازم نرسیده‌اند، بر پذیرش فوری استانداردهای 2024 تأکید می‌کند.
خلاصه این‌که، مهاجرت PQC یک گذار کلاسیکِ زیرساختی است: پیش از بروز وضعیت اضطراری شروع کنید، چون وقتی اضطرار آشکار شود، دیگر برای جابه‌جایی روان دیر شده است.
نکات کلیدی
- رمزنگاری پساکوانتومی عمدتاً درباره جایگزینی سامانه‌های آسیب‌پذیرِ کلید عمومی است، نه کنار گذاشتن همه رمزنگاری موجود.
- یک رایانه کوانتومی با توان کافی که الگوریتم Shor را اجرا کند، می‌تواند RSA، Diffie–Hellman، و Diffie–Hellman روی منحنی بیضوی را بشکند.
- NIST سه استاندارد نخست PQC خود را در 13 اوت 2024 نهایی کرد: FIPS 203 (ML-KEM)، FIPS 204 (ML-DSA)، و FIPS 205 (SLH-DSA).
- NIST می‌گوید این استانداردها همین حالا آماده‌اند و سازمان‌ها باید مهاجرت را فوراً آغاز کنند.
- ML-KEM استاندارد اصلی برای برقراری کلیدِ مرتبط با رمزنگاری عمومی است؛ ML-DSA استاندارد اصلی امضا است؛ SLH-DSA یک روش پشتیبان برای امضا است.
- در مارس 2025، NIST، HQC را به‌عنوان KEM پشتیبان بر پایه ریاضیاتی متفاوت از ML-KEM انتخاب کرد.
- مهاجرت با کشف محل استفاده از الگوریتم‌های آسیب‌پذیر آغاز می‌شود، سپس اولویت‌بندی سامانه‌های پرخطر و برنامه‌ریزی برای جایگزینی مرحله‌ای انجام می‌شود.
- از جمله بده‌بستان‌های مهم می‌توان به بزرگ‌تر شدن مواد کلیدی، هزینه‌های کارایی و پهنای باند، پیچیدگی پیاده‌سازی، و ارزش تنوع ریاضی اشاره کرد.
- استانداردهای PQC ریسک آینده را کاهش می‌دهند، اما عدم قطعیت را از میان نمی‌برند؛ ادامه رمزکاوی، بازبینی پیاده‌سازی، و آزمون عملیاتی همچنان ضروری است.
- فوریت اصلی از زمان طولانی گذار و امکان حملات harvest now, decrypt later علیه داده‌هایی ناشی می‌شود که باید سال‌ها محرمانه بمانند.
منابع
اطلاعات این صفحه از منابع زیر گرفته شده و توسط DesignQuantum گردآوری شده است.
- Post-Quantum Cryptography | CSRC csrc.nist.gov
- NIST Releases First 3 Finalized Post-Quantum Encryption Standards | NIST nist.gov
- NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption | NIST nist.gov
- Post-quantum cryptography en.wikipedia.org
- NIST Post-Quantum Cryptography Standardization en.wikipedia.org
- Harvest now, decrypt later en.wikipedia.org
- Shor's algorithm en.wikipedia.org