NIST tetapkan pelan hala tuju migrasi PQC dengan sasaran persekutuan 2030, 2031 dan 2035

NIST telah mengeluarkan panduan muktamad untuk beralih daripada kriptografi yang terdedah kepada ancaman kuantum kepada PQC, dengan tarikh akhir persekutuan berperingkat serta nasihat perancangan rantaian bekalan.

Halaman ini diterjemahkan daripada bahasa Inggeris. Nama syarikat dan produk serta pautan sumber kekal tidak berubah. Baca versi asal dalam bahasa Inggeris

NIST telah menerbitkan pelan hala tuju muktamad untuk menggantikan kriptografi kunci awam yang boleh dipecahkan oleh komputer kuantum berskala besar pada masa hadapan dengan alternatif pasca-kuantum. Dokumen itu, NIST IR 8547, menyediakan rangka kerja perancangan untuk agensi persekutuan dan pembekal mereka bagi peralihan tersebut serta menyelaraskan proses itu dengan tarikh akhir yang telah ditetapkan dalam dasar A.S.: 2035 untuk kebanyakan sistem persekutuan, dengan pencapaian lebih awal bagi sistem yang paling sensitif.

Apa yang diumumkan

Laporan itu, Transition to Post-Quantum Cryptography Standards (NISTIR 8547), dimuktamadkan pada 27 Oktober 2026, menurut Computer Security Resource Center milik NIST. NIST menyatakan laporan itu mengenal pasti piawaian kriptografi semasa yang terdedah kepada ancaman kuantum, memadankannya dengan pengganti yang tahan kuantum, dan bertujuan membantu agensi persekutuan, industri serta badan piawaian menyelaraskan migrasi.

Panduan itu menyusuli penerbitan pertama tiga piawaian penyulitan pasca-kuantum yang dimuktamadkan oleh NIST pada Ogos 2024. NIST meletakkan IR 8547 sebagai dokumen peralihan utama pada peringkat tinggi untuk beralih daripada algoritma legasi kepada piawaian baharu tersebut.

Menurut pengumuman yang dipetik oleh The Quantum Insider, laporan itu bertujuan menangani satu masalah praktikal: organisasi tidak semuanya akan berhijrah dengan cara atau garis masa yang sama, namun mereka masih memerlukan pencapaian bersama dan kefahaman bersama tentang perkara yang akan dihentikan secara berperingkat.

Tarikh akhir dan konteks dasar

Pelan hala tuju itu menyokong dua lapisan garis masa persekutuan. Sasaran luas kekal 2035 untuk melengkapkan migrasi merentas sistem persekutuan, tarikh yang menurut laporan berita itu ditetapkan oleh National Security Memorandum 10.

Perintah eksekutif bertarikh 22 Jun 2026, Executive Order 14412, menetapkan tarikh akhir lebih awal bagi aset bernilai tinggi dan sistem berimpak tinggi. Di bawah perintah itu, agensi mesti mengalihkan sistem tersebut kepada kriptografi pasca-kuantum bagi penubuhan kunci selewat-lewatnya 31 Disember 2030, dan bagi tandatangan digital selewat-lewatnya 31 Disember 2031.

Halaman CSRC NIST menyatakan IR 8547 juga menyokong pelaksanaan Executive Order 14412 dan OMB Memorandum M-26-15, yang mengarahkan agensi supaya mengutamakan sistem mereka yang paling sensitif.

Panduan teknikal dan operasi

NIST menyatakan laporan itu merangkumi kedua-dua tandatangan digital pasca-kuantum dan skim penubuhan kunci. Laporan berita itu menonjolkan satu bidang keutamaan khusus: disebabkan risiko “harvest now, decrypt later”, organisasi mungkin mahu terlebih dahulu memindahkan data sensitif yang berjangka hayat panjang kepada piawaian penubuhan kunci PQC FIPS 203.

Panduan itu juga menggesa organisasi supaya melihat melangkaui rangkaian dan aplikasi mereka sendiri. NIST menegaskan bahawa migrasi bergantung pada keseluruhan rantaian bekalan kriptografi, termasuk produk dan perkhidmatan yang diperoleh daripada vendor luar.

Satu lagi pilihan yang diterangkan dalam laporan itu ialah model pelaksanaan hibrid, yang menggabungkan kriptografi konvensional dengan PQC. Menurut pengumuman itu, NIST membentangkannya sebagai pendekatan keselamatan yang lebih konservatif, walaupun memerlukan sumber pengkomputeran tambahan.

Mengapa ia penting

Laporan itu penting bukan kerana ia memperkenalkan algoritma baharu, tetapi kerana ia menjadikan penggunaan PQC sebagai program pemodenan yang dipacu jadual. Bagi kontraktor kerajaan dan pengendali sektor swasta yang terikat dengan sistem persekutuan, mesej praktikalnya ialah inventori kriptografi, kebergantungan vendor dan kitaran naik taraf sistem kini perlu dipetakan kepada tarikh yang jelas.

Ia juga mengukuhkan bahawa ancaman kuantum sedang ditangani sebagai isu semasa dari sudut perlindungan data. Walaupun sebelum wujudnya komputer kuantum yang relevan untuk kriptanalisis, pihak lawan boleh mengumpul data yang disulitkan hari ini dan cuba menyahsulitkannya kemudian.

Perkara yang perlu diperhatikan

Satu isu jangka terdekat ialah sejauh mana pantas agensi dan pembekal boleh mengenal pasti di mana kriptografi yang terdedah tertanam dalam produk, perisian tegar dan infrastruktur jangka hayat panjang. Satu lagi ialah penggunaan pelan tindakan pelaksanaan yang datang daripada National Cybersecurity Center of Excellence milik NIST, yang menurut NIST sedang menjalankan projek migrasi berasingan yang memfokuskan pada keterlihatan kriptografi, pengurusan risiko dan pelaksanaan PQC secara praktikal.

Seperti yang dinyatakan oleh Dustin Moody, yang mengetuai projek pemiawaian PQC NIST: “We understand there’s not one strategy that fits all use cases.”