NIST đặt ra lộ trình chuyển đổi PQC với các mốc liên bang 2030, 2031 và 2035

NIST đã ban hành hướng dẫn cuối cùng cho việc chuyển từ các hệ mật mã dễ bị tổn thương trước điện toán lượng tử sang PQC, với các thời hạn theo giai đoạn cho liên bang và khuyến nghị về lập kế hoạch chuỗi cung ứng.

Trang này được dịch từ tiếng Anh. Tên công ty, sản phẩm và liên kết nguồn được giữ nguyên. Đọc bản gốc tiếng Anh

NIST đã công bố lộ trình cuối cùng để thay thế các hệ mật mã khóa công khai có thể bị phá vỡ bởi một máy tính lượng tử quy mô lớn trong tương lai bằng các phương án hậu lượng tử. Tài liệu này, NIST IR 8547, đưa ra khuôn khổ lập kế hoạch cho các cơ quan liên bang và các nhà cung cấp của họ trong quá trình chuyển đổi, đồng thời đồng bộ quy trình đó với các mốc thời hạn đã được thiết lập trong chính sách của Mỹ: 2035 cho phần lớn các hệ thống liên bang, cùng các cột mốc sớm hơn dành cho những hệ thống nhạy cảm nhất.

Những gì đã được công bố

Báo cáo Transition to Post-Quantum Cryptography Standards (NISTIR 8547) được hoàn thiện vào ngày 27 tháng 10 năm 2026, theo Trung tâm Tài nguyên An ninh Máy tính của NIST. NIST cho biết báo cáo này xác định các tiêu chuẩn mật mã hiện tại dễ bị tổn thương trước điện toán lượng tử, đối chiếu chúng với các phương án thay thế có khả năng kháng lượng tử, và nhằm hỗ trợ các cơ quan liên bang, doanh nghiệp và các tổ chức xây dựng tiêu chuẩn phối hợp quá trình chuyển đổi.

Hướng dẫn này được ban hành tiếp sau việc NIST công bố ba tiêu chuẩn mã hóa hậu lượng tử hoàn chỉnh đầu tiên vào tháng 8 năm 2024. NIST đang định vị IR 8547 là tài liệu chuyển đổi cấp cao chính cho việc chuyển từ các thuật toán cũ sang các tiêu chuẩn mới hơn đó.

Theo thông báo được The Quantum Insider dẫn lại, báo cáo này nhằm giải quyết một vấn đề thực tế: các tổ chức sẽ không cùng chuyển đổi theo một cách hoặc cùng một tiến độ, nhưng họ vẫn cần những cột mốc chung và một cách nhìn thống nhất về những gì sẽ bị loại bỏ theo từng giai đoạn.

Các thời hạn và bối cảnh chính sách

Lộ trình này hỗ trợ hai lớp mốc thời gian cấp liên bang. Mục tiêu tổng thể vẫn là 2035 để hoàn tất việc chuyển đổi trên toàn bộ các hệ thống liên bang, một mốc mà bản tin cho biết đã được thiết lập bởi National Security Memorandum 10.

Một sắc lệnh hành pháp ngày 22 tháng 6 năm 2026, Executive Order 14412, đặt ra các thời hạn sớm hơn cho các tài sản giá trị cao và các hệ thống tác động cao. Theo sắc lệnh này, các cơ quan phải chuyển các hệ thống đó sang mật mã hậu lượng tử cho thiết lập khóa trước ngày 31 tháng 12 năm 2030, và cho chữ ký số trước ngày 31 tháng 12 năm 2031.

Trang CSRC của NIST cho biết IR 8547 cũng hỗ trợ việc triển khai Executive Order 14412 và OMB Memorandum M-26-15, các văn bản chỉ đạo các cơ quan ưu tiên những hệ thống nhạy cảm nhất của mình.

Hướng dẫn kỹ thuật và vận hành

NIST cho biết báo cáo này bao quát cả chữ ký số hậu lượng tử lẫn các cơ chế thiết lập khóa. Bản tin nhấn mạnh một lĩnh vực ưu tiên cụ thể: do rủi ro “thu thập ngay, giải mã sau”, các tổ chức có thể muốn ưu tiên chuyển trước dữ liệu nhạy cảm có vòng đời dài sang tiêu chuẩn thiết lập khóa PQC FIPS 203.

Hướng dẫn cũng kêu gọi các tổ chức nhìn xa hơn phạm vi mạng lưới và ứng dụng của riêng mình. NIST nhấn mạnh rằng quá trình chuyển đổi phụ thuộc vào toàn bộ chuỗi cung ứng mật mã, bao gồm các sản phẩm và dịch vụ được mua từ các nhà cung cấp bên ngoài.

Một lựa chọn khác được mô tả trong báo cáo là mô hình triển khai lai, kết hợp mật mã thông thường với PQC. Theo thông báo, NIST xem đây là một tư thế bảo mật thận trọng hơn, dù nó đòi hỏi thêm tài nguyên tính toán.

Vì sao điều này quan trọng

Báo cáo này đáng chú ý không phải vì nó giới thiệu một thuật toán mới, mà vì nó biến việc áp dụng PQC thành một chương trình hiện đại hóa được dẫn dắt bằng tiến độ cụ thể. Đối với các nhà thầu chính phủ và các đơn vị vận hành khu vực tư nhân gắn với các hệ thống liên bang, thông điệp thực tế là việc kiểm kê mật mã, các phụ thuộc vào nhà cung cấp và các chu kỳ nâng cấp hệ thống giờ đây cần được đối chiếu với những mốc thời gian rõ ràng.

Báo cáo cũng củng cố quan điểm rằng mối đe dọa lượng tử đang được xem là vấn đề hiện hữu ở góc độ bảo vệ dữ liệu. Ngay cả trước khi xuất hiện một máy tính lượng tử có ý nghĩa về mặt phá mã, các đối thủ vẫn có thể thu thập dữ liệu được mã hóa hôm nay và tìm cách giải mã chúng sau này.

Những điểm cần theo dõi

Một vấn đề ngắn hạn sẽ là các cơ quan và nhà cung cấp có thể nhanh chóng xác định được đến đâu những vị trí mà mật mã dễ bị tổn thương đang được nhúng trong sản phẩm, firmware và hạ tầng có vòng đời dài. Một vấn đề khác sẽ là mức độ tiếp nhận các bản thiết kế triển khai từ National Cybersecurity Center of Excellence của NIST; theo NIST, đơn vị này đang thực hiện một dự án chuyển đổi riêng tập trung vào khả năng quan sát mật mã, quản trị rủi ro và các triển khai PQC thực tế.

Như Dustin Moody, người đứng đầu dự án tiêu chuẩn hóa PQC của NIST, đã nói: “Chúng tôi hiểu rằng không có một chiến lược nào phù hợp với mọi trường hợp sử dụng.”