✉ ניוזלטר
🌐 עברית
מדריך הסבר7 דק' קריאה

קריפטוגרפיה פוסט-קוונטית: תקני NIST ואיך מתבצע המעבר

איך משתלבים יחד התקנים הפוסט-קוונטיים הראשונים של NIST, למה צריך להתחיל את המעבר לפני Q-Day, ואילו צעדים מעשיים ניצבים עכשיו בפני ארגונים.

עמוד זה תורגם מאנגלית. שמות החברות והמוצרים וקישורי המקור נותרו ללא שינוי. לקריאת המקור באנגלית

קריפטוגרפיה פוסט-קוונטית היא המאמץ להחליף את הקריפטוגרפיה האסימטרית הפגיעה של ימינו בחלופות שלפי ההערכה יעמדו בפני מתקפות של מחשבים קוונטיים עתידיים. שלושת התקנים הסופיים הראשונים של NIST, שפורסמו ב-2024, מעידים שהמעבר עבר ממחקר לפריסה: ארגונים נדרשים כעת למפות היכן נעשה שימוש באלגוריתמים חשופים, להחליט מה להחליף קודם, ולהתחיל בעבודת מעבר שתימשך שנים.

למה צריך קריפטוגרפיה פוסט-קוונטית

הבעיה אינה שמחשבים קוונטיים יכולים לשבור הכול. הדאגה העיקרית מצומצמת יותר — וחשובה יותר: מערכות מפתח ציבורי נפוצות נשענות על בעיות מתמטיות כמו פירוק לגורמים של מספרים שלמים, לוגריתמים בדידים ולוגריתמים בדידים בעקומות אליפטיות. מחשב קוונטי בעל יכולת מספקת שמריץ את אלגוריתם שור (Shor’s algorithm) יוכל לפתור את הבעיות האלה ביעילות, ובכך לערער מערכות כמו RSA, ‏Diffie–Hellman מעל שדה סופי ו-Diffie–Hellman בעקומות אליפטיות.

האיום הזה עדיין עתידי. נכון ל-2026, למחשבים קוונטיים אין את כוח העיבוד הדרוש כדי לשבור מערכות קריפטוגרפיות שנמצאות בפריסה רחבה, והדגמות מעבדה של אלגוריתם שור פעלו רק על מספרים קטנים מאוד. החסם המעשי אינו האפשרות התיאורטית אלא קנה המידה ההנדסי: לפי Wikipedia, עקיפת השיטות הקלאסיות עשויה לדרוש מכונות עם מיליוני קיוביטים בגלל התקורה של תיקון שגיאות.

ובכל זאת, המתנה למחשב קוונטי בעל יכולת מלאה תהיה טעות. המעבר נמשך שנים, ולחלק מהנתונים יש חיי סודיות ארוכים. לכן "לאסוף עכשיו, לפענח אחר כך" (harvest now, decrypt later) הפך למושג מרכזי בתכנון. יריב יכול לאסוף כיום תעבורה מוצפנת או טקסט מוצפן שמור, ולהחזיק בהם עד שהתקדמות עתידית תאפשר פענוח. בארכיוני דוא"ל, נתוני בריאות, קניין רוחני, רשומות ממשלתיות או יומני תשתיות קריטיות, הנזק עלול להגיע זמן רב אחרי שהנתונים יורטו לראשונה.

מה הקוונטים משנים — ומה לא

אי-הבנה נפוצה היא שמחשוב קוונטי הופך את כל הקריפטוגרפיה למיושנת.

רוב הקריפטוגרפיה הסימטרית ופונקציות הגיבוב שבשימוש כיום נחשבות בטוחות יחסית מול מתקפות קוונטיות. אלגוריתם גרובר (Grover’s algorithm) יכול להאיץ חיפוש בכוח גס נגד צופנים סימטריים, אבל בפועל אפשר לקזז את ההשפעה הזאת באמצעות שימוש במפתחות גדולים יותר, למשל הכפלת גודל המפתח. לכן השיבוש הגדול ביותר הוא בקריפטוגרפיה אסימטרית, ובמיוחד:

  • הקמת מפתחות והחלפת מפתחות
  • הצפנה אסימטרית והקפסולציית מפתחות
  • חתימות דיגיטליות

לכן תוכנית ה-PQC של NIST התמקדה במנגנוני הקפסולציית מפתחות, או KEMs, ובאלגוריתמים לחתימות דיגיטליות, במקום להחליף בבת אחת את כל שכבת הקריפטוגרפיה.

מה NIST תקנן תחילה

NIST השיקה את מאמץ התקינה הפורמלי שלה בסוף 2016 אחרי קול קורא להצעות. לפי תיעוד תהליך התקינה, 69 הגשות מלאות ותקינות נכנסו לסבב הראשון, ושבעה מועמדים הגיעו לסבב השלישי שעליו הוכרז ביולי 2020. אחרי שנים של הערכה, NIST סיימה את התקינה של שלושת התקנים הראשונים שלה ב-13 באוגוסט 2024.

התקנים האלה הם:

  • FIPS 203: ML-KEM, מנגנון הקפסולציית המפתחות המבוסס על סריגים מודולריים (Module-Lattice-Based Key-Encapsulation Mechanism), המבוסס על CRYSTALS-Kyber
  • FIPS 204: ML-DSA, אלגוריתם החתימה הדיגיטלית המבוסס על סריגים מודולריים (Module-Lattice-Based Digital Signature Algorithm), המבוסס על CRYSTALS-Dilithium
  • FIPS 205: SLH-DSA, אלגוריתם החתימה הדיגיטלית חסר-המצב המבוסס על גיבוב (Stateless Hash-Based Digital Signature Algorithm), המבוסס על SPHINCS+

NIST מתארת את ML-KEM כתקן הראשי להצפנה כללית, ומדגישה את מפתחות ההצפנה הקטנים יחסית ואת המהירות שלו. ML-DSA הוא התקן הראשי לחתימות דיגיטליות. ‏SLH-DSA משתמש בבסיס מתמטי שונה ומיועד לשמש גיבוי למקרה שיתברר בהמשך כי ML-DSA פגיע.

ההנחיה של NIST עצמה ברורה: שלושת התקנים האלה מוכנים לשימוש מיידי, וארגונים צריכים להתחיל ליישם אותם כבר עכשיו.

למה יש כמה תקנים, ולא מנצח אחד

לשדה הפוסט-קוונטי אין בסיס מתמטי דומיננטי אחד. למשפחות שונות יש חוזקות שונות, מאפייני מימוש שונים ופרופילי סיכון שונים. הבחירות של NIST משקפות תפיסה של תיק חלופות.

קריפטוגרפיה מבוססת סריגים נושאת כיום חלק גדול מעומס הפריסה. האלגוריתמים הראשונים מבוססי הסריגים ש-NIST תקננה הם ML-KEM ו-ML-DSA. הם אטרקטיביים בין השאר בזכות הביצועים ובזכות גדלי המפתחות הסבירים.

אבל גיוון חשוב. NIST בחרה ב-SLH-DSA, סכמת חתימה מבוססת גיבוב, כגיבוי לחתימה הראשית המבוססת על סריגים. לאחר מכן, ב-11 במרץ 2025, NIST בחרה ב-HQC כ-KEM גיבוי להצפנה כללית. HQC מבוסס על קודים, לא על סריגים, ו-NIST אמרה שההבדל הזה בגישה המתמטית הוא הסיבה לשמור עליו כאפשרות חלופית.

המסר הוא אסטרטגי: אל תהמרו על עתיד האמון הדיגיטלי על הנחה אחת בלבד.

התקנים הבאים שבצנרת

עבודת ה-PQC של NIST לא הסתיימה עם הפרסום של 2024.

עמוד הפרויקט של CSRC אומר ש-NIST ממשיכה בעבודת התקינה על:

  • Falcon, אלגוריתם חתימה דיגיטלית
  • HQC, מנגנון הקפסולציית מפתחות

לפי תיעוד התקינה, התקן המבוסס על Falcon ייקרא FN-DSA במסגרת FIPS 206. נכון לאמצע 2026, הוא עדיין היה במעמד טיוטה. הסיבה שצוינה ללוח הזמנים האיטי יותר היא מורכבות המימוש: FN-DSA נשען בתהליך החתימה על דגימת גאוס בנקודה צפה, שלדברי NIST קשה יותר לממש באופן בטוח ובזמן קבוע מאשר את שלושת התקנים שכבר הושלמו.

לגבי HQC, NIST אמרה במרץ 2025 שטיוטת תקן צפויה בתוך כשנה, ותקן סופי צפוי ב-2027 לאחר הערות הציבור.

ללוח הזמנים המדורג הזה יש חשיבות תפעולית. ארגונים לא צריכים להמתין לכל אפשרות עתידית לפני שהם פועלים. NIST מצפה ש-ML-KEM, ‏ML-DSA ו-SLH-DSA יהוו את הבסיס לרוב הפריסות, ואומרת שכבר צריך להשתמש בהם.

מיפוי מהיר של התקנים הראשונים

תקן שם האלגוריתם תפקיד עיקרי משפחה מתמטית תיאור התפקיד לפי NIST
FIPS 203 ML-KEM הקמת מפתחות / תמיכה בהצפנה כללית מבוסס סריגים התקן הראשי להצפנה כללית
FIPS 204 ML-DSA חתימות דיגיטליות מבוסס סריגים התקן הראשי לחתימות
FIPS 205 SLH-DSA חתימות דיגיטליות מבוסס גיבוב שיטת חתימה לגיבוי
עתידי FN-DSA חתימות דיגיטליות מבוסס סריגי NTRU תקן חתימה נוסף שנמצא בפיתוח
עתידי HQC הקמת מפתחות / תמיכה בהצפנה כללית מבוסס קודים KEM גיבוי ל-ML-KEM

איך המעבר עובד בפועל

המעבר עוסק פחות בהחלפת ספרייה ויותר בתכנון מחדש של התלות הקריפטוגרפית לאורך מערכות.

הנחיות המעבר של NIST אומרות שארגונים צריכים לזהות היכן נעשה שימוש באלגוריתמים פגיעים ולתכנן עדכונים או החלפות עבור מוצרים, שירותים ופרוטוקולים. פירוש הדבר הוא למצוא קריפטוגרפיה במקומות שבהם התיעוד שלה לעיתים קרובות לקוי:

  • סיומות TLS וקישורי שירות-לשירות פנימיים
  • VPNs ומערכות גישה מרחוק
  • PKI ותהליכי עבודה של תעודות
  • חתימת קוד וחתימת מסמכים
  • מודולי אבטחת חומרה ומערכות עדכון קושחה
  • כלי ניהול זהויות, גישה ומפתחות
  • התקנים משובצים וטכנולוגיה תפעולית
  • נתונים שמורים ארוכי-חיים המוגנים במסגרת סכמות ישנות להקמת מפתחות

השלב הראשון הוא בדרך כלל מיפוי קריפטוגרפי: היכן משתמשים ב-RSA, ‏Diffie–Hellman או מנגנונים של עקומות אליפטיות, ישירות או דרך מוצרים של צד שלישי? השלב השני הוא תעדוף: אילו מערכות הן בסיכון גבוה משום שהן מטפלות בסודות ארוכי-חיים או שקשה לשדרג אותן? השלב השלישי הוא ביצוע: בדיקות, עבודת תאימות הדדית, פריסה מדורגת ושינויי מדיניות.

ציר הזמן של NIST מגביר את הדחיפות. לפי לוח הזמנים למעבר שמוזכר בעמוד של CSRC, NIST מתכננת להוציא משימוש ובהמשך להסיר אלגוריתמים פגיעים לקוונטים מהתקנים שלה עד 2035, כאשר מערכות בסיכון גבוה יותר יעברו הרבה קודם.

הפשרות ההנדסיות המרכזיות

מעבר לפוסט-קוונטי אינו רק תרגיל של ציות לתקינה. הוא כרוך בפשרות טכניות ממשיות.

פשרה רחבה אחת היא בין גודל ליעילות. חומרי ה-PQC של NIST מציינים שרבים מאלגוריתמי ה-PQC משתמשים במפתחות גדולים יותר ממערכות מפתח ציבורי קדם-קוונטיות. הם גם מתארים פשרות בין גודל המפתח, יעילות חישובית וגודל הטקסט המוצפן או החתימה. בפרוטוקולים הפונים לאינטרנט ובהתקנים מוגבלי משאבים, ההבדלים האלה יכולים להשפיע על רוחב פס, השהיה, זיכרון ומורכבות המימוש.

פשרה נוספת היא בין בשלות לגיוון. מערכות מבוססות סריגים שולטות כיום בתקנים הראשונים משום שהן הציגו ביצועים טובים דיים בהערכות של NIST כדי להפוך לבחירות הראשיות. אבל סיכון הריכוזיות הוא ממשי, ולכן מפותחים תקני גיבוי המבוססים על מתמטיקה אחרת.

אבטחת המימוש היא נושא שלישי. תיעוד התקינה מזכיר חששות מערוץ צד עבור Falcon ומציין שאמצעי הקלה אפשריים עלולים להשפיע על הביצועים. באופן כללי יותר, תכנון קריפטוגרפי יכול להיראות חזק על הנייר ובכל זאת להיות קשה ליישום בטוח בפועל.

מה התקנים לא פותרים

קיומו של תקן אינו מוכיח אבטחה נצחית. אלגוריתמים פוסט-קוונטיים נחשבים, אך לא מוכחים, כעמידים בפני מתקפה קוונטית. ההסתייגות הזאת מובנית בתוך התחום עצמו.

יש גם לקחים מתהליך NIST. כמה מועמדים נשברו במהלך ההערכה. Wikipedia מדגישה שתי דוגמאות בולטות במיוחד: Rainbow נשבר על מחשב קלאסי במהלך הסבב השלישי, ו-SIKE נשבר בסבב הרביעי. הכשלים האלה לא מבטלים את תחום ה-PQC כולו; הם מראים מדוע קריפטואנליזה ציבורית ותקינה שמרנית דורשות זמן.

שאלות פתוחות נותרו סביב:

  • אמון ארוך טווח בבעיות המתמטיות שנבחרו
  • איכות המימושים אצל ספקים ובמחסניות קוד פתוח
  • עמידות למתקפות ערוץ צד בחומרה ובתוכנה אמיתיות
  • תאימות הדדית בפרוטוקולים ובמערכות האקולוגיות של תעודות
  • עד כמה באגרסיביות ארגונים צריכים לגוון בין משפחות אלגוריתמים

דרך מעשית לחשוב על "מתי לעבור"

עבור רוב הארגונים, המסגור הנכון אינו "האם Q-Day יגיע בשנה הבאה?" אלא "כמה זמן ייקח המעבר שלנו, ולכמה זמן הנתונים שלנו חייבים להישאר בטוחים?"

אם המערכות שלכם מוטמעות עמוק, מפוקחות, פרוסות גלובלית או תלויות בספקים, המעבר עלול להיות איטי. אם הנתונים שלכם עדיין יהיו רגישים בעוד שנים, סיכון ה"לאסוף עכשיו, לפענח אחר כך" הופך את הדחייה ליקרה יותר. ההיגיון הזה מסביר מדוע NIST דוחפת לאימוץ מיידי של תקני 2024 אף שמחשבים קוונטיים עדיין לא הגיעו לקנה המידה הדרוש.

בקיצור, מעבר ל-PQC הוא מעבר תשתיתי קלאסי: מתחילים לפני מצב החירום, כי ברגע שמצב החירום כבר ברור — מאוחר מדי לעבור בצורה חלקה.

נקודות עיקריות

  • קריפטוגרפיה פוסט-קוונטית עוסקת בעיקר בהחלפת מערכות מפתח ציבורי פגיעות, לא בנטישת כל הקריפטוגרפיה הקיימת.
  • מחשב קוונטי בעל יכולת מספקת שמריץ את אלגוריתם שור יוכל לשבור RSA, ‏Diffie–Hellman ו-Diffie–Hellman בעקומות אליפטיות.
  • NIST סיימה את התקינה של שלושת תקני ה-PQC הראשונים שלה ב-13 באוגוסט 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) ו-FIPS 205 (SLH-DSA).
  • NIST אומרת שהתקנים האלה מוכנים כבר עכשיו ושארגונים צריכים להתחיל במעבר באופן מיידי.
  • ML-KEM הוא התקן הראשי להקמת מפתחות הקשורה להצפנה כללית; ML-DSA הוא תקן החתימות הראשי; SLH-DSA הוא שיטת חתימה לגיבוי.
  • ב-מרץ 2025, NIST בחרה ב-HQC כ-KEM גיבוי המבוסס על מתמטיקה שונה מזו של ML-KEM.
  • המעבר מתחיל באיתור המקומות שבהם נעשה שימוש באלגוריתמים פגיעים, ולאחר מכן בתעדוף מערכות בסיכון גבוה ובתכנון החלפה מדורגת.
  • בין הפשרות החשובות: חומר מפתח גדול יותר, עלויות בביצועים וברוחב פס, מורכבות מימוש, והערך של גיוון מתמטי.
  • תקני PQC מפחיתים סיכון עתידי, אבל אינם מבטלים אי-ודאות; קריפטואנליזה מתמשכת, סקירת מימושים ובדיקות תפעוליות נשארות חיוניות.
  • מקור הדחיפות העיקרי הוא משך המעבר הארוך והאפשרות למתקפות harvest now, decrypt later נגד נתונים שחייבים להישאר חסויים במשך שנים.

מקורות

המידע בעמוד זה מבוסס על המקורות שלהלן, שאוחזרו על ידי DesignQuantum.

  1. Post-Quantum Cryptography | CSRC csrc.nist.gov
  2. NIST Releases First 3 Finalized Post-Quantum Encryption Standards | NIST nist.gov
  3. NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption | NIST nist.gov
  4. Post-quantum cryptography en.wikipedia.org
  5. NIST Post-Quantum Cryptography Standardization en.wikipedia.org
  6. Harvest now, decrypt later en.wikipedia.org
  7. Shor's algorithm en.wikipedia.org