Kriptografi pascakuantum: standar NIST dan cara kerja migrasinya

Bagaimana tiga standar pascakuantum pertama NIST saling melengkapi, mengapa migrasi harus dimulai sebelum Q-Day, dan langkah-langkah praktis yang kini dihadapi organisasi.

Kriptografi pascakuantum adalah upaya untuk menggantikan kriptografi kunci publik yang rentan saat ini dengan alternatif yang diyakini tahan terhadap serangan dari komputer kuantum di masa depan. Tiga standar final pertama NIST, yang dirilis pada 2024, menandakan bahwa transisi telah bergeser dari ranah riset ke penerapan: organisasi kini diharapkan menginventarisasi di mana algoritme yang rentan digunakan, menentukan apa yang harus diganti lebih dulu, dan memulai pekerjaan migrasi yang akan berlangsung bertahun-tahun.

Mengapa kriptografi pascakuantum dibutuhkan

Masalahnya bukan bahwa komputer kuantum dapat membobol semuanya. Kekhawatiran utamanya lebih sempit dan lebih penting: sistem kunci publik yang digunakan luas bergantung pada persoalan matematika seperti faktorisasi bilangan bulat, logaritma diskret, dan logaritma diskret kurva eliptik. Komputer kuantum yang cukup mumpuni dan menjalankan algoritme Shor dapat menyelesaikan persoalan-persoalan itu secara efisien, yang akan melemahkan sistem seperti RSA, Diffie–Hellman medan hingga, dan Diffie–Hellman kurva eliptik.

Ancaman itu masih bersifat prospektif. Hingga 2026, komputer kuantum belum memiliki daya pemrosesan untuk membobol sistem kriptografi yang digunakan secara luas, dan demonstrasi algoritme Shor di laboratorium baru berhasil pada bilangan yang sangat kecil. Hambatan praktisnya bukan kemungkinan teoretis, melainkan skala rekayasa: Wikipedia mencatat bahwa untuk mengungguli metode klasik mungkin dibutuhkan mesin dengan jutaan qubit karena overhead koreksi kesalahan.

Meski begitu, menunggu komputer kuantum yang sepenuhnya mumpuni akan menjadi kesalahan. Migrasi memerlukan waktu bertahun-tahun, dan sebagian data memiliki masa kerahasiaan yang panjang. Itulah sebabnya konsep “panen sekarang, dekripsi nanti” (harvest now, decrypt later) menjadi gagasan perencanaan yang sentral. Penyerang dapat mengumpulkan lalu lintas terenkripsi atau ciphertext yang tersimpan hari ini dan menyimpannya sampai kemajuan di masa depan memungkinkan dekripsi. Untuk arsip email, data kesehatan, kekayaan intelektual, catatan pemerintah, atau log infrastruktur kritis, kerusakan dapat terjadi jauh setelah data itu pertama kali disadap.

Apa yang berubah oleh kuantum — dan apa yang tidak

Kesalahpahaman yang umum adalah bahwa komputasi kuantum membuat semua kriptografi usang.

Sebagian besar kriptografi simetris dan fungsi hash saat ini dianggap relatif aman terhadap serangan kuantum. Algoritme Grover dapat mempercepat pencarian brute-force terhadap sandi simetris, tetapi dalam praktiknya dampak itu dapat diimbangi dengan menggunakan ukuran kunci yang lebih besar, misalnya menggandakan ukuran kunci. Jadi gangguan terbesarnya ada pada kriptografi kunci publik, terutama:

pembentukan kunci dan pertukaran kunci
enkripsi kunci publik dan enkapsulasi kunci
tanda tangan digital

Itulah sebabnya program PQC NIST berfokus pada mekanisme enkapsulasi kunci, atau KEM, dan algoritme tanda tangan digital, alih-alih mengganti seluruh lapisan sistem sekaligus.

Apa yang pertama kali distandardisasi oleh NIST

NIST memulai upaya standardisasi formalnya pada akhir 2016 setelah menyerukan proposal. Menurut catatan standardisasi, 69 pengajuan lengkap dan sah masuk ke putaran pertama, dan tujuh kandidat mencapai putaran ketiga yang diumumkan pada Juli 2020. Setelah bertahun-tahun evaluasi, NIST merampungkan tiga standar pertamanya pada 13 Agustus 2024.

Standar-standar tersebut adalah:

FIPS 203: ML-KEM, Mechanism Enkapsulasi Kunci Berbasis Kisi Modul (Module-Lattice-Based Key-Encapsulation Mechanism), berbasis pada CRYSTALS-Kyber
FIPS 204: ML-DSA, Algoritme Tanda Tangan Digital Berbasis Kisi Modul (Module-Lattice-Based Digital Signature Algorithm), berbasis pada CRYSTALS-Dilithium
FIPS 205: SLH-DSA, Algoritme Tanda Tangan Digital Stateless Berbasis Hash (Stateless Hash-Based Digital Signature Algorithm), berbasis pada SPHINCS+

NIST menggambarkan ML-KEM sebagai standar utama untuk enkripsi umum, dengan menyoroti kunci enkripsinya yang relatif kecil dan kecepatannya. ML-DSA adalah standar utama untuk tanda tangan digital. SLH-DSA menggunakan landasan matematika yang berbeda dan dimaksudkan sebagai cadangan jika ML-DSA kelak terbukti rentan.

Panduan NIST sendiri sangat tegas: ketiga standar ini siap digunakan segera dan organisasi sebaiknya mulai menerapkannya sekarang.

Mengapa ada banyak standar, bukan satu pemenang

Bidang pascakuantum tidak memiliki satu fondasi matematika yang dominan. Keluarga algoritme yang berbeda memiliki keunggulan, karakteristik implementasi, dan profil risiko yang berbeda. Pilihan NIST mencerminkan pola pikir portofolio.

Kriptografi berbasis kisi saat ini menanggung porsi besar beban penerapan. Algoritme berbasis kisi pertama yang distandardisasi NIST adalah ML-KEM dan ML-DSA. Keduanya menarik antara lain karena performa dan ukuran kunci yang masih dapat dikelola.

Tetapi diversifikasi itu penting. NIST memilih SLH-DSA, skema tanda tangan berbasis hash, sebagai cadangan untuk tanda tangan utama berbasis kisi. Lalu, pada 11 Maret 2025, NIST memilih HQC sebagai KEM cadangan untuk enkripsi umum. HQC berbasis kode, bukan berbasis kisi, dan NIST mengatakan perbedaan pendekatan matematis itulah alasan untuk mempertahankannya sebagai opsi cadangan.

Pesannya bersifat strategis: jangan mempertaruhkan masa depan kepercayaan digital hanya pada satu asumsi.

Standar berikutnya dalam pipeline

Pekerjaan PQC NIST tidak berhenti pada rilis 2024.

Halaman proyek CSRC menyebutkan NIST melanjutkan pekerjaan standardisasi pada:

Falcon, algoritme tanda tangan digital
HQC, mekanisme enkapsulasi kunci

Catatan standardisasi menyebut standar berbasis Falcon akan dinamai FN-DSA dalam FIPS 206. Hingga pertengahan 2026, statusnya masih berupa draf. Alasan yang dikutip untuk jadwal yang lebih lambat adalah kompleksitas implementasi: FN-DSA bergantung pada pengambilan sampel Gaussian floating-point dalam proses penandatanganan, yang menurut NIST lebih sulit diimplementasikan secara aman dan dalam waktu konstan dibandingkan tiga standar yang sudah dirampungkan.

Untuk HQC, NIST mengatakan pada Maret 2025 bahwa standar draf diharapkan hadir dalam waktu sekitar satu tahun, dengan standar final diperkirakan pada 2027 setelah komentar publik.

Jadwal yang bertahap itu penting secara operasional. Organisasi tidak perlu menunggu setiap opsi masa depan tersedia sebelum bertindak. NIST mengharapkan ML-KEM, ML-DSA, dan SLH-DSA menjadi dasar bagi sebagian besar penerapan, dan mengatakan bahwa ketiganya seharusnya sudah digunakan.

Peta singkat standar-standar pertama

Standar	Nama algoritme	Fungsi utama	Keluarga matematika	Deskripsi peran menurut NIST
FIPS 203	ML-KEM	Pembentukan kunci / dukungan enkripsi umum	Berbasis kisi	Standar utama untuk enkripsi umum
FIPS 204	ML-DSA	Tanda tangan digital	Berbasis kisi	Standar utama untuk tanda tangan
FIPS 205	SLH-DSA	Tanda tangan digital	Berbasis hash	Metode tanda tangan cadangan
Akan datang	FN-DSA	Tanda tangan digital	Berbasis kisi NTRU	Standar tanda tangan tambahan yang sedang dikembangkan
Akan datang	HQC	Pembentukan kunci / dukungan enkripsi umum	Berbasis kode	KEM cadangan untuk ML-KEM

Bagaimana migrasi sebenarnya berjalan

Migrasi lebih merupakan perancangan ulang dependensi kriptografi di seluruh sistem ketimbang sekadar menukar pustaka.

Panduan migrasi NIST menyebut organisasi perlu mengidentifikasi di mana algoritme yang rentan digunakan dan merencanakan pembaruan atau penggantian untuk produk, layanan, dan protokol. Itu berarti menemukan kriptografi di tempat-tempat yang sering kali tidak terdokumentasi dengan baik:

terminasi TLS dan tautan internal antar-layanan
VPN dan sistem akses jarak jauh
alur kerja PKI dan sertifikat
penandatanganan kode dan penandatanganan dokumen
modul keamanan perangkat keras dan sistem pembaruan firmware
alat identitas, akses, dan manajemen kunci
perangkat tertanam dan teknologi operasional
data tersimpan berumur panjang yang dilindungi dengan skema pembentukan kunci lama

Langkah pertama biasanya adalah inventarisasi kriptografi: di mana RSA, Diffie–Hellman, atau mekanisme kurva eliptik digunakan, baik secara langsung maupun melalui produk pihak ketiga? Langkah kedua adalah prioritisasi: sistem mana yang berisiko tinggi karena menangani rahasia berumur panjang atau sulit ditingkatkan? Langkah ketiga adalah eksekusi: pengujian, pekerjaan interoperabilitas, peluncuran bertahap, dan perubahan kebijakan.

Linimasa NIST menambah urgensi. Di bawah linimasa transisi yang dirujuk pada halaman CSRC, NIST berencana mendepresiasi dan pada akhirnya menghapus algoritme yang rentan terhadap kuantum dari standarnya pada 2035, dengan sistem berisiko lebih tinggi bergerak jauh lebih awal.

Trade-off rekayasa terbesar

Migrasi pascakuantum bukan sekadar latihan kepatuhan. Ada kompromi teknis nyata yang terlibat.

Salah satu trade-off yang luas adalah ukuran versus efisiensi. Materi PQC NIST mencatat bahwa banyak algoritme PQC menggunakan kunci yang lebih besar daripada sistem kunci publik pra-kuantum. Materi itu juga menjelaskan adanya trade-off antara ukuran kunci, efisiensi komputasi, dan ukuran ciphertext atau tanda tangan. Untuk protokol yang menghadap internet dan perangkat dengan sumber daya terbatas, perbedaan ini dapat memengaruhi bandwidth, latensi, memori, dan kompleksitas implementasi.

Trade-off lain adalah kematangan versus keberagaman. Sistem berbasis kisi saat ini mendominasi standar-standar awal karena performanya cukup baik dalam evaluasi NIST sehingga menjadi pilihan utama. Namun risiko konsentrasi itu nyata, itulah sebabnya standar cadangan berbasis matematika lain sedang dikembangkan.

Keamanan implementasi adalah isu ketiga. Catatan standardisasi menyinggung kekhawatiran saluran samping untuk Falcon dan mencatat bahwa mitigasi yang mungkin dapat memengaruhi performa. Secara lebih umum, desain kriptografi bisa tampak kuat di atas kertas tetapi tetap sulit diimplementasikan secara aman dalam praktik.

Apa yang tidak diselesaikan oleh standar ini

Keberadaan sebuah standar tidak membuktikan keamanan yang abadi. Algoritme pascakuantum diyakini, bukan dibuktikan, tahan terhadap serangan kuantum. Peringatan itu memang melekat pada bidang ini sendiri.

Ada juga pelajaran dari proses NIST. Beberapa kandidat berhasil dipatahkan selama evaluasi. Wikipedia menyoroti dua contoh yang sangat terlihat: Rainbow berhasil dipatahkan di komputer klasik selama putaran ketiga, dan SIKE berhasil dipatahkan pada putaran keempat. Kegagalan-kegagalan itu tidak membatalkan PQC secara keseluruhan; itu menunjukkan mengapa kriptanalisis publik dan standardisasi yang konservatif memerlukan waktu.

Pertanyaan terbuka masih ada seputar:

kepercayaan jangka panjang pada persoalan matematika yang dipilih
kualitas implementasi di berbagai vendor dan stack open-source
ketahanan terhadap saluran samping pada perangkat keras dan perangkat lunak nyata
interoperabilitas dalam protokol dan ekosistem sertifikat
seberapa agresif organisasi sebaiknya melakukan diversifikasi lintas keluarga algoritme

Cara praktis memikirkan “kapan harus bergerak”

Bagi kebanyakan organisasi, cara pandang yang tepat bukanlah “Apakah Q-Day akan terjadi tahun depan?” melainkan “Berapa lama migrasi kami akan berlangsung, dan berapa lama data kami harus tetap aman?”

Jika sistem Anda sangat tertanam, teregulasi, tersebar secara global, atau bergantung pada vendor, transisinya mungkin lambat. Jika data Anda masih akan sensitif beberapa tahun dari sekarang, risiko panen-sekarang-dekripsi-nanti membuat penundaan menjadi lebih mahal. Logika inilah yang menjelaskan mengapa NIST mendorong adopsi segera atas standar 2024 meskipun komputer kuantum belum mencapai skala yang dibutuhkan.

Singkatnya, migrasi PQC adalah transisi infrastruktur klasik: mulailah sebelum keadaan darurat, karena ketika keadaan darurat sudah jelas, semuanya sudah terlambat untuk berpindah dengan mulus.

Poin-poin utama

Kriptografi pascakuantum terutama berkaitan dengan mengganti sistem kunci publik yang rentan, bukan membuang seluruh kriptografi yang ada.
Komputer kuantum yang cukup mumpuni dan menjalankan algoritme Shor dapat membobol RSA, Diffie–Hellman, dan Diffie–Hellman kurva eliptik.
NIST merampungkan tiga standar PQC pertamanya pada 13 Agustus 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), dan FIPS 205 (SLH-DSA).
NIST mengatakan standar-standar ini sudah siap sekarang dan organisasi sebaiknya segera memulai migrasi.
ML-KEM adalah standar utama untuk pembentukan kunci terkait enkripsi umum; ML-DSA adalah standar utama untuk tanda tangan; SLH-DSA adalah metode tanda tangan cadangan.
Pada Maret 2025, NIST memilih HQC sebagai KEM cadangan yang berbasis matematika berbeda dari ML-KEM.
Migrasi dimulai dengan menemukan di mana algoritme yang rentan digunakan, lalu memprioritaskan sistem berisiko tinggi dan merencanakan penggantian bertahap.
Trade-off penting mencakup material kunci yang lebih besar, biaya performa dan bandwidth, kompleksitas implementasi, serta nilai dari keberagaman matematis.
Standar PQC mengurangi risiko masa depan, tetapi tidak menghilangkan ketidakpastian; kriptanalisis lanjutan, peninjauan implementasi, dan pengujian operasional tetap penting.
Urgensi utamanya berasal dari waktu transisi yang panjang dan kemungkinan serangan harvest now, decrypt later terhadap data yang harus tetap rahasia selama bertahun-tahun.