Kriptografi pasca-kuantum: piawaian NIST dan bagaimana migrasi berfungsi

Bagaimana tiga piawaian pasca-kuantum pertama NIST saling melengkapi, mengapa migrasi perlu bermula sebelum Q-Day, dan langkah praktikal yang perlu dihadapi organisasi sekarang.

Halaman ini diterjemahkan daripada bahasa Inggeris. Nama syarikat dan produk serta pautan sumber kekal tidak berubah. Baca versi asal dalam bahasa Inggeris

Kriptografi pasca-kuantum ialah usaha untuk menggantikan kriptografi kunci awam sedia ada yang terdedah dengan alternatif yang dipercayai mampu menahan serangan daripada komputer kuantum pada masa depan. Tiga piawaian pertama NIST yang dimuktamadkan, dikeluarkan pada 2024, menandakan peralihan telah bergerak daripada penyelidikan kepada pelaksanaan: organisasi kini dijangka mengenal pasti di mana algoritma yang terdedah digunakan, menentukan apa yang perlu diganti terlebih dahulu, dan memulakan kerja migrasi berbilang tahun.

Mengapa kriptografi pasca-kuantum diperlukan

Masalahnya bukanlah komputer kuantum boleh memecahkan segala-galanya. Kebimbangan utama lebih khusus dan lebih penting: sistem kunci awam yang digunakan secara meluas bergantung pada masalah matematik seperti pemfaktoran integer, logaritma diskret dan logaritma diskret lengkung eliptik. Sebuah komputer kuantum yang cukup berkeupayaan dan menjalankan algoritma Shor boleh menyelesaikan masalah-masalah itu dengan cekap, sekali gus menjejaskan sistem seperti RSA, Diffie–Hellman medan terhingga, dan Diffie–Hellman lengkung eliptik.

Ancaman itu masih bersifat prospektif. Setakat 2026, komputer kuantum belum mempunyai kuasa pemprosesan untuk memecahkan sistem kriptografi yang digunakan secara meluas, dan demonstrasi makmal bagi algoritma Shor hanya berjaya pada nombor yang sangat kecil. Halangan praktikalnya bukan kemungkinan teori tetapi skala kejuruteraan: Wikipedia menyatakan bahawa untuk mengatasi kaedah klasik mungkin diperlukan mesin dengan berjuta-juta qubit kerana overhed pembetulan ralat.

Walaupun begitu, menunggu sehingga wujud komputer kuantum yang benar-benar berkeupayaan adalah satu kesilapan. Migrasi mengambil masa bertahun-tahun, dan sesetengah data mempunyai jangka hayat kerahsiaan yang panjang. Itulah sebabnya “harvest now, decrypt later” telah menjadi konsep perancangan yang penting. Pihak lawan boleh mengumpulkan trafik tersulit atau teks sifer tersimpan hari ini dan menyimpannya sehingga kemajuan pada masa depan membolehkan penyahsulitan. Bagi arkib e-mel, data kesihatan, harta intelek, rekod kerajaan atau log infrastruktur kritikal, kerosakan boleh berlaku lama selepas data itu mula-mula dipintas.

Apa yang berubah dengan kuantum — dan apa yang tidak

Salah faham yang lazim ialah pengkomputeran kuantum menjadikan semua kriptografi lapuk.

Kebanyakan kriptografi simetri dan fungsi hash semasa dianggap agak selamat terhadap serangan kuantum. Algoritma Grover boleh mempercepat carian brute-force terhadap sifer simetri, tetapi kesan itu dalam amalan boleh diimbangi dengan menggunakan saiz kunci yang lebih besar, seperti menggandakan saiz kunci. Jadi gangguan terbesar adalah pada kriptografi kunci awam, khususnya:

pewujudan kunci dan pertukaran kunci
penyulitan kunci awam dan pengkapsulan kunci
tandatangan digital

Sebab itulah program PQC NIST menumpukan pada mekanisme pengkapsulan kunci, atau KEM, dan algoritma tandatangan digital, bukannya menggantikan segala-galanya dalam keseluruhan tindanan sekali gus.

Apa yang NIST piawaikan terlebih dahulu

NIST melancarkan usaha pemiawaian formalnya pada penghujung 2016 selepas mengeluarkan seruan untuk cadangan. Menurut rekod pemiawaian, 69 penyerahan yang lengkap dan teratur memasuki pusingan pertama, dan tujuh calon mara ke pusingan ketiga yang diumumkan pada Julai 2020. Selepas bertahun-tahun penilaian, NIST memuktamadkan tiga piawaian pertamanya pada 13 Ogos 2024.

Piawaian tersebut ialah:

FIPS 203: ML-KEM, Mekanisme Pengkapsulan Kunci Berasaskan Module-Lattice, berasaskan CRYSTALS-Kyber
FIPS 204: ML-DSA, Algoritma Tandatangan Digital Berasaskan Module-Lattice, berasaskan CRYSTALS-Dilithium
FIPS 205: SLH-DSA, Algoritma Tandatangan Digital Berasaskan Hash Tanpa Keadaan (Stateless), berasaskan SPHINCS+

NIST menerangkan ML-KEM sebagai piawaian utama untuk penyulitan umum, dengan menonjolkan kunci penyulitannya yang agak kecil dan kelajuannya. ML-DSA ialah piawaian utama untuk tandatangan digital. SLH-DSA menggunakan asas matematik yang berbeza dan bertujuan sebagai sandaran sekiranya ML-DSA kemudian didapati terdedah.

Panduan NIST sendiri jelas: ketiga-tiga piawaian ini sedia untuk digunakan serta-merta dan organisasi harus mula menggunakannya sekarang.

Mengapa terdapat berbilang piawaian, bukan satu pemenang

Bidang pasca-kuantum tidak mempunyai satu asas matematik dominan. Keluarga pendekatan yang berbeza mempunyai kekuatan, ciri pelaksanaan dan profil risiko yang berbeza. Pilihan NIST mencerminkan pendekatan portfolio.

Kriptografi berasaskan lattice kini menanggung sebahagian besar beban pelaksanaan. Algoritma berasaskan lattice pertama yang dipiawaikan oleh NIST ialah ML-KEM dan ML-DSA. Ia menarik sebahagiannya kerana prestasi dan saiz kunci yang masih terkawal.

Tetapi kepelbagaian tetap penting. NIST memilih SLH-DSA, skim tandatangan berasaskan hash, sebagai sandaran kepada tandatangan berasaskan lattice yang utama. Kemudian, pada 11 Mac 2025, NIST memilih HQC sebagai KEM sandaran untuk penyulitan umum. HQC berasaskan kod, bukan berasaskan lattice, dan NIST berkata perbezaan dalam pendekatan matematik itulah sebabnya ia dikekalkan sebagai pilihan sandaran.

Mesejnya bersifat strategik: jangan pertaruhkan masa depan kepercayaan digital pada satu andaian sahaja.

Piawaian seterusnya dalam perancangan

Kerja PQC NIST tidak berakhir dengan keluaran 2024.

Halaman projek CSRC menyatakan NIST meneruskan kerja pemiawaian bagi:

Falcon, algoritma tandatangan digital
HQC, mekanisme pengkapsulan kunci

Rekod pemiawaian menyatakan piawaian berasaskan Falcon akan dinamakan FN-DSA dalam FIPS 206. Setakat pertengahan 2026, ia masih berstatus draf. Sebab yang dinyatakan bagi garis masa yang lebih perlahan ialah kerumitan pelaksanaan: FN-DSA bergantung pada pensampelan Gaussian titik terapung dalam proses penandatanganan, yang menurut NIST lebih sukar dilaksanakan dengan selamat dan dalam masa malar berbanding tiga piawaian yang telah dimuktamadkan.

Bagi HQC, NIST berkata pada Mac 2025 bahawa draf piawaian dijangka dalam masa kira-kira setahun, dengan piawaian akhir dijangka pada 2027 selepas ulasan awam.

Jadual berperingkat itu penting dari segi operasi. Organisasi tidak perlu menunggu setiap pilihan masa depan sebelum bertindak. NIST menjangkakan ML-KEM, ML-DSA dan SLH-DSA menjadi asas bagi kebanyakan pelaksanaan, dan berkata ia sepatutnya sudah digunakan.

Peta ringkas piawaian pertama

Standard	Nama algoritma	Fungsi utama	Keluarga matematik	Perihalan peranan NIST
FIPS 203	ML-KEM	Pewujudan kunci / sokongan penyulitan umum	Berasaskan lattice	Piawaian utama untuk penyulitan umum
FIPS 204	ML-DSA	Tandatangan digital	Berasaskan lattice	Piawaian utama untuk tandatangan
FIPS 205	SLH-DSA	Tandatangan digital	Berasaskan hash	Kaedah tandatangan sandaran
Akan datang	FN-DSA	Tandatangan digital	Berasaskan lattice-NTRU	Piawaian tandatangan tambahan yang sedang dibangunkan
Akan datang	HQC	Pewujudan kunci / sokongan penyulitan umum	Berasaskan kod	KEM sandaran untuk ML-KEM

Bagaimana migrasi sebenarnya berfungsi

Migrasi kurang berkaitan dengan menukar sebuah pustaka dan lebih kepada mereka bentuk semula kebergantungan kriptografi merentas sistem.

Panduan migrasi NIST menyatakan organisasi perlu mengenal pasti di mana algoritma yang terdedah digunakan dan merancang kemas kini atau penggantian bagi produk, perkhidmatan dan protokol. Ini bermakna mencari kriptografi di tempat yang selalunya kurang didokumentasikan:

penamatan TLS dan pautan dalaman perkhidmatan-ke-perkhidmatan
VPN dan sistem capaian jauh
PKI dan aliran kerja sijil
penandatanganan kod dan penandatanganan dokumen
modul keselamatan perkakasan dan sistem kemas kini perisian tegar
alat pengurusan identiti, akses dan kunci
peranti terbenam dan teknologi operasi
data tersimpan jangka panjang yang dilindungi di bawah skim pewujudan kunci lama

Langkah pertama biasanya ialah inventori kriptografi: di manakah RSA, Diffie–Hellman atau mekanisme lengkung eliptik digunakan, sama ada secara langsung atau melalui produk pihak ketiga? Langkah kedua ialah penetapan keutamaan: sistem manakah berisiko tinggi kerana mengendalikan rahsia jangka panjang atau sukar dinaik taraf? Langkah ketiga ialah pelaksanaan: pengujian, kerja kebolehoperasian, pelaksanaan berperingkat dan perubahan dasar.

Garis masa NIST meningkatkan keperluan mendesak itu. Di bawah garis masa peralihan yang dirujuk pada halaman CSRC, NIST merancang untuk menyusut guna dan akhirnya mengalih keluar algoritma yang terdedah kepada kuantum daripada piawaiannya menjelang 2035, dengan sistem berisiko lebih tinggi bergerak jauh lebih awal.

Pertukaran kejuruteraan terbesar

Migrasi pasca-kuantum bukan sekadar latihan pematuhan. Ia melibatkan kompromi teknikal yang nyata.

Satu pertukaran besar ialah saiz berbanding kecekapan. Bahan PQC NIST menyatakan bahawa banyak algoritma PQC menggunakan kunci yang lebih besar berbanding sistem kunci awam pra-kuantum. Ia juga menerangkan pertukaran antara saiz kunci, kecekapan pengiraan, dan saiz teks sifer atau tandatangan. Bagi protokol yang menghadap internet dan peranti terhad, perbezaan ini boleh menjejaskan lebar jalur, kependaman, memori dan kerumitan pelaksanaan.

Pertukaran lain ialah kematangan berbanding kepelbagaian. Sistem berasaskan lattice kini mendominasi piawaian pertama kerana prestasinya cukup baik merentas penilaian NIST untuk menjadi pilihan utama. Tetapi risiko penumpuan adalah nyata, sebab itulah piawaian sandaran berasaskan matematik lain sedang dibangunkan.

Keselamatan pelaksanaan ialah isu ketiga. Rekod pemiawaian menyebut kebimbangan saluran sisi untuk Falcon dan menyatakan bahawa mitigasi yang mungkin boleh menjejaskan prestasi. Secara lebih umum, sesuatu reka bentuk kriptografi boleh kelihatan kukuh di atas kertas tetapi masih sukar dilaksanakan dengan selamat dalam amalan.

Apa yang tidak diputuskan oleh piawaian

Kewujudan sesuatu piawaian tidak membuktikan keselamatan yang berkekalan selama-lamanya. Algoritma pasca-kuantum dipercayai, bukan dibuktikan, mampu menahan serangan kuantum. Kaveat itu sememangnya terbina dalam bidang ini sendiri.

Terdapat juga pengajaran daripada proses NIST. Sesetengah calon telah dipecahkan semasa penilaian. Wikipedia menonjolkan dua contoh yang sangat ketara: Rainbow telah dipecahkan pada komputer klasik semasa pusingan ketiga, dan SIKE telah dipecahkan pada pusingan keempat. Kegagalan itu tidak membatalkan PQC secara keseluruhan; ia menunjukkan mengapa kriptanalisis awam dan pemiawaian yang konservatif memerlukan masa.

Persoalan terbuka masih wujud tentang:

keyakinan jangka panjang terhadap masalah matematik yang dipilih
kualiti pelaksanaan merentas vendor dan tindanan sumber terbuka
ketahanan saluran sisi dalam perkakasan dan perisian sebenar
kebolehoperasian dalam protokol dan ekosistem sijil
sejauh mana organisasi patut mempelbagaikan penggunaan merentas keluarga algoritma

Cara praktikal untuk memikirkan “bila perlu bergerak”

Bagi kebanyakan organisasi, kerangka yang betul bukanlah “Adakah Q-Day berlaku tahun depan?” tetapi “Berapa lama migrasi kami akan mengambil masa, dan berapa lama data kami mesti kekal selamat?”

Jika sistem anda sangat tertanam, dikawal selia, diedarkan secara global, atau bergantung pada vendor, peralihan mungkin perlahan. Jika data anda masih sensitif bertahun-tahun dari sekarang, risiko harvest-now menjadikan penangguhan lebih mahal. Logik inilah yang menjelaskan mengapa NIST menggesa penggunaan segera piawaian 2024 walaupun komputer kuantum masih belum mencapai skala yang diperlukan.

Ringkasnya, migrasi PQC ialah peralihan infrastruktur klasik: mulakan sebelum kecemasan, kerana apabila kecemasan itu jelas kelihatan, sudah terlambat untuk bergerak dengan lancar.

Inti utama

Kriptografi pasca-kuantum terutamanya berkaitan dengan menggantikan sistem kunci awam yang terdedah, bukan membuang semua kriptografi sedia ada.
Sebuah komputer kuantum yang cukup berkeupayaan dan menjalankan algoritma Shor boleh memecahkan RSA, Diffie–Hellman, dan Diffie–Hellman lengkung eliptik.
NIST memuktamadkan tiga piawaian PQC pertamanya pada 13 Ogos 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), dan FIPS 205 (SLH-DSA).
NIST berkata piawaian ini sudah sedia sekarang dan organisasi harus memulakan migrasi dengan segera.
ML-KEM ialah piawaian utama bagi pewujudan kunci berkaitan penyulitan umum; ML-DSA ialah piawaian tandatangan utama; SLH-DSA ialah kaedah tandatangan sandaran.
Pada Mac 2025, NIST memilih HQC sebagai KEM sandaran yang berasaskan matematik berbeza daripada ML-KEM.
Migrasi bermula dengan mengenal pasti di mana algoritma yang terdedah digunakan, kemudian menetapkan keutamaan bagi sistem berisiko tinggi dan merancang penggantian berperingkat.
Pertukaran penting termasuk bahan kunci yang lebih besar, kos prestasi dan lebar jalur, kerumitan pelaksanaan, dan nilai kepelbagaian matematik.
Piawaian PQC mengurangkan risiko masa depan, tetapi tidak menghapuskan ketidakpastian; kriptanalisis berterusan, semakan pelaksanaan dan ujian operasi kekal penting.
Keperluan mendesak utama datang daripada tempoh peralihan yang panjang dan kemungkinan serangan harvest now, decrypt later terhadap data yang mesti kekal sulit selama bertahun-tahun.