NIST กำหนดโรดแมปการย้ายสู่ PQC พร้อมเป้าหมายหน่วยงานรัฐปี 2030, 2031 และ 2035

NIST ออกแนวทางฉบับสมบูรณ์สำหรับการย้ายจากการเข้ารหัสที่เสี่ยงต่อควอนตัมไปสู่ PQC โดยกำหนดเส้นตายแบบเป็นขั้นสำหรับหน่วยงานรัฐบาลกลางและคำแนะนำด้านการวางแผนห่วงโซ่อุปทาน

หน้านี้แปลจากภาษาอังกฤษ โดยชื่อบริษัท ชื่อผลิตภัณฑ์ และลิงก์แหล่งข้อมูลยังคงเดิม อ่านต้นฉบับภาษาอังกฤษ

NIST ได้เผยแพร่โรดแมปฉบับสมบูรณ์สำหรับการแทนที่การเข้ารหัสกุญแจสาธารณะซึ่งอาจถูกเจาะได้โดยคอมพิวเตอร์ควอนตัมขนาดใหญ่ในอนาคต ด้วยทางเลือกแบบหลังควอนตัม เอกสารดังกล่าวคือ NIST IR 8547 ซึ่งให้กรอบการวางแผนแก่หน่วยงานรัฐบาลกลางและซัพพลายเออร์สำหรับการเปลี่ยนผ่านครั้งนี้ และทำให้กระบวนการดังกล่าวสอดคล้องกับเส้นตายที่กำหนดไว้แล้วในนโยบายสหรัฐฯ ได้แก่ ปี 2035 สำหรับระบบของรัฐบาลกลางส่วนใหญ่ พร้อมหมุดหมายที่เร็วกว่าเดิมสำหรับระบบที่มีความอ่อนไหวสูงที่สุด

สิ่งที่ประกาศ

รายงาน Transition to Post-Quantum Cryptography Standards (NISTIR 8547) ได้รับการสรุปเป็นฉบับสมบูรณ์เมื่อวันที่ 27 ตุลาคม 2026 ตามข้อมูลจาก Computer Security Resource Center ของ NIST โดย NIST ระบุว่ารายงานนี้ชี้ว่ามาตรฐานการเข้ารหัสใดในปัจจุบันที่มีความเสี่ยงต่อควอนตัม จับคู่มาตรฐานเหล่านั้นกับตัวทดแทนที่ทนทานต่อควอนตัม และมีเป้าหมายเพื่อช่วยให้หน่วยงานรัฐบาลกลาง ภาคอุตสาหกรรม และองค์กรกำหนดมาตรฐาน ประสานงานการย้ายระบบได้สอดคล้องกัน

แนวทางนี้ต่อเนื่องจากการที่ NIST เผยแพร่มาตรฐานการเข้ารหัสหลังควอนตัมฉบับสมบูรณ์ 3 ฉบับแรกในเดือนสิงหาคม 2024 โดย NIST วางตำแหน่งให้ IR 8547 เป็นเอกสารการเปลี่ยนผ่านระดับภาพรวมหลักสำหรับการย้ายจากอัลกอริทึมเดิมไปสู่มาตรฐานใหม่เหล่านั้น

ตามประกาศที่ The Quantum Insider อ้างถึง รายงานฉบับนี้มีขึ้นเพื่อรับมือกับปัญหาเชิงปฏิบัติข้อหนึ่ง นั่นคือ แต่ละองค์กรจะไม่ย้ายระบบในรูปแบบเดียวกันหรือในกรอบเวลาเดียวกัน แต่ยังคงต้องมีหมุดหมายร่วมกันและความเข้าใจร่วมกันว่าอะไรจะถูกทยอยยกเลิก

เส้นตายและบริบทด้านนโยบาย

โรดแมปนี้รองรับกรอบเวลา 2 ชั้นของภาครัฐบาลกลาง โดยเป้าหมายกว้างยังคงเป็นปี 2035 สำหรับการย้ายระบบให้เสร็จสมบูรณ์ทั่วทั้งระบบของรัฐบาลกลาง ซึ่งรายงานข่าวระบุว่าเป็นวันที่กำหนดโดย National Security Memorandum 10

คำสั่งฝ่ายบริหารลงวันที่ 22 มิถุนายน 2026 หรือ Executive Order 14412 ได้กำหนดเส้นตายที่เร็วขึ้นสำหรับทรัพย์สินมูลค่าสูงและระบบที่มีผลกระทบสูง ภายใต้คำสั่งดังกล่าว หน่วยงานต้องเปลี่ยนระบบเหล่านั้นไปใช้การเข้ารหัสหลังควอนตัมสำหรับการจัดตั้งกุญแจภายในวันที่ 31 ธันวาคม 2030 และสำหรับลายมือชื่อดิจิทัลภายในวันที่ 31 ธันวาคม 2031

หน้า CSRC ของ NIST ระบุว่า IR 8547 ยังสนับสนุนการดำเนินการตาม Executive Order 14412 และ OMB Memorandum M-26-15 ซึ่งสั่งการให้หน่วยงานจัดลำดับความสำคัญแก่ระบบที่มีความอ่อนไหวสูงที่สุดก่อน

แนวทางด้านเทคนิคและการปฏิบัติการ

NIST ระบุว่ารายงานครอบคลุมทั้งลายมือชื่อดิจิทัลแบบหลังควอนตัมและแผนการจัดตั้งกุญแจ รายงานข่าวเน้นย้ำพื้นที่สำคัญเฉพาะด้านหนึ่งคือ เนื่องจากความเสี่ยงแบบ “harvest now, decrypt later” องค์กรอาจต้องการย้ายข้อมูลอ่อนไหวที่มีอายุการใช้งานยาวนานก่อน ไปใช้มาตรฐานการจัดตั้งกุญแจ PQC คือ FIPS 203

แนวทางดังกล่าวยังเร่งให้องค์กรมองให้ไกลกว่าระบบเครือข่ายและแอปพลิเคชันของตนเอง โดย NIST เน้นว่าการย้ายระบบขึ้นอยู่กับห่วงโซ่อุปทานด้านคริปโตกราฟีทั้งหมด รวมถึงผลิตภัณฑ์และบริการที่จัดหาจากผู้ขายภายนอก

อีกทางเลือกหนึ่งที่อธิบายไว้ในรายงานคือโมเดลการใช้งานแบบไฮบริด ซึ่งผสานการเข้ารหัสแบบดั้งเดิมเข้ากับ PQC ตามประกาศดังกล่าว NIST นำเสนอแนวทางนี้ในฐานะท่าทีด้านความปลอดภัยที่ระมัดระวังมากกว่า แม้จะต้องใช้ทรัพยากรประมวลผลเพิ่มเติมก็ตาม

เหตุใดเรื่องนี้จึงสำคัญ

ความสำคัญของรายงานฉบับนี้ไม่ได้อยู่ที่การนำเสนออัลกอริทึมใหม่ แต่เป็นการทำให้การนำ PQC มาใช้กลายเป็นโครงการปรับปรุงระบบให้ทันสมัยที่ขับเคลื่อนด้วยกำหนดเวลา สำหรับผู้รับเหมาภาครัฐและผู้ประกอบการภาคเอกชนที่เชื่อมโยงกับระบบของรัฐบาลกลาง ข้อความเชิงปฏิบัติที่ชัดเจนคือ ตอนนี้ต้องนำบัญชีรายการคริปโตกราฟี การพึ่งพาผู้ขาย และรอบการอัปเกรดระบบ ไปจับคู่กับวันที่ที่ถูกกำหนดไว้อย่างชัดเจน

นอกจากนี้ยังตอกย้ำว่าภัยคุกคามจากควอนตัมกำลังถูกมองว่าเป็นเรื่องปัจจุบันในมิติของการปกป้องข้อมูล แม้จะยังไม่มีคอมพิวเตอร์ควอนตัมที่มีศักยภาพเพียงพอสำหรับการวิเคราะห์รหัสลับเกิดขึ้นจริง คู่โจมตีก็ยังสามารถเก็บรวบรวมข้อมูลที่เข้ารหัสไว้ตั้งแต่วันนี้ แล้วค่อยพยายามถอดรหัสในภายหลังได้

สิ่งที่ต้องจับตา

ประเด็นระยะใกล้ข้อหนึ่งคือ หน่วยงานและซัพพลายเออร์จะสามารถระบุได้เร็วเพียงใดว่าการเข้ารหัสที่เปราะบางถูกฝังอยู่ตรงไหนบ้างในผลิตภัณฑ์ เฟิร์มแวร์ และโครงสร้างพื้นฐานที่มีอายุใช้งานยาวนาน อีกประเด็นคือการนำพิมพ์เขียวสำหรับการนำไปใช้จริงจาก National Cybersecurity Center of Excellence ของ NIST มาใช้ ซึ่ง NIST ระบุว่ากำลังดำเนินโครงการย้ายระบบอีกโครงการหนึ่งที่มุ่งเน้นการมองเห็นการใช้งานคริปโตกราฟี การบริหารความเสี่ยง และการติดตั้งใช้งาน PQC ในทางปฏิบัติ

ดังที่ Dustin Moody ซึ่งเป็นหัวหน้าโครงการกำหนดมาตรฐาน PQC ของ NIST กล่าวไว้ว่า “We understand there’s not one strategy that fits all use cases.”