Vad NIST IR 8610 tredje omgångens PQC-kandidater betyder för säkerhetsarkitekter

Den 14 maj 2026 publicerade NIST NIST IR 8610 och tillkännagav att nio kandidater för digitala signaturer har gått vidare till den tredje omgången av standardiseringsprocessen för ytterligare digitala signaturer. Efter 18 månaders utvärdering och eliminering av fem kandidater återstår nio algoritmer som spänner över fyra distinkta matematiska familjer att utvärderas.

Detta är inte en rutinmässig processuppdatering. Den här bloggen tar en teknisk titt på de nio kandidaterna, deras matematiska grunder, de kryptanalytiska händelserna som formade den andra omgången och vad säkerhetsarkitekter och migreringsplanerare bör ta med sig.

Varför NIST lanserade denna process från första början

NIST slutförde två postkvantumsignaturstandarder, ML-DSA (FIPS 204) och SLH-DSA (FIPS 205), medan en tredje, FN-DSA (FIPS 206), genomgår standardisering med en förväntad slutgiltig publicering i slutet av 2026 eller början av 2027. Det verkar vara en omfattande täckning tills man undersöker den matematiska grunden som dessa tre standarder vilar på.

För en detaljerad uppdelning av kategorierna 1–5, deras AES/SHA-referenspunkter och distributionsriktlinjer, se NIST Post-Quantum Cryptography Security Levels: A Guide to Categories 1–5.

ML-DSA är gitterbaserat och bygger på den antagna hårdheten hos Module-LWE- och Module-SIS-problem. FN-DSA är också gitterbaserat, men hämtar sin säkerhet från en annan grund: svårigheten att hitta korta vektorer i NTRU-gitter. Båda är strukturerade gitterscheman, vilket innebär att de delar en gemensam matematisk familj samtidigt som de förlitar sig på distinkta hårdhetsantaganden. SLH-DSA är hashbaserat, vilket ger en oberoende säkerhetsgrund, men till en prestandakostnad.

Som referens producerar SLH-DSA-SHA2-128s (parameteruppsättningen i kategori 1) signaturer från 7 856 byte i den kompakta varianten upp till 17 088 byte i den snabba varianten. Om ett kryptanalytiskt genombrott äventyrade antaganden om strukturerade gitter, vare sig det är klassiskt eller med en tillräckligt kapabel kvantdator, skulle två av NIST:s tre signaturval falla samtidigt, vilket lämnar SLH-DSA som det enda återstående alternativet i en roll den aldrig var utformad för att bära ensam.

Historien ger denna oro verklig tyngd. Rainbow, ett multivariat signaturschema som nådde finaliststadiet i den ursprungliga NIST PQC-processen, bröts 2022 efter ett kryptanalytiskt framsteg som överraskade allmänheten. SIKE, en isogenibaserad nyckelinkapslingsmekanism, bröts under den fjärde omgången av NIST PQC-standardiseringsprocessen, samma år med en klassisk attack av Castryck och Decru. Gitterkryptografi har studerats mer omfattande än något av dessa scheman, men att sätta all sin tilltro till en matematisk familj är fortfarande en risk.

Utöver portföljdiversifiering finns det ett konkret prestandaproblem. ML-DSA-44 (parameteruppsättningen i kategori 2) producerar signaturer på 2 420 byte. FN-DSA-512 producerar cirka 666 byte enligt den nuvarande Falcon-specifikationen. Jämför dessa med de 64 byte för ECDSA P-256 (som expanderar till 71–72 byte vid DER-kodning), och storleksökningen vid migrering till post-kvantumsignaturer blir omedelbart uppenbar. För de flesta standardinternetapplikationer (TLS över högbandbreddsförbindelser och kodsignering för allmänna system) är dessa storlekar hanterbara om än obekväma. För andra är de hårda blockerare.

DNSSEC är ett exempel. DNSSEC-valideringskedjor staplar signaturer genom rot-, toppdomän- och andranivådomänposter, och svar har historiskt sett konstruerats kring 512-byte UDP-paket. Att använda ML-DSA-signaturer i DNSSEC skulle pusha nästan alla svar ut ur UDP och in i anslutningsorienterad transport, vilket avsevärt komplicerar en infrastruktur som avsiktligt utformats för att vara lättviktig.

Begränsade IoT- och OT-miljöer står inför samma problem från en annan vinkel. Äldre fältbussprotokoll med fasta meddelandestorlekar, 8-bitars mikrokontroller med begränsat RAM-minne och säkerhetskritiska styrsystem med snäva tidskrav kan inte bara absorbera en signatur på flera kilobyte som läggs till varje kommando. För dessa miljöer är en kompakt postkvantsignatur inte en prestandaoptimering. Det är villkoret som avgör om driftsättning överhuvudtaget är möjlig.

NIST:s uppmaning till ytterligare digitala signaturer, som utfärdades i september 2022, var tydlig med båda motiven. Processen mottog 50 bidrag, godkände 40 till den första omgången, gick vidare med 14 till den andra omgången och har nu nio som går in i den tredje.

De nio överlevande och deras matematiska grunder

De nio kandidaterna i tredje omgången omfattar fyra distinkta matematiska familjer. Varje familj har olika hårdhetsantaganden, och den mångfalden är hela poängen. Ett genombrott mot en familj lämnar de andra kvar. Tabellen nedan ger en ögonblicksbild av var varje kandidat står inför den tredje omgången, organiserad efter matematisk familj snarare än alfabetisk ordning, så de strukturella sambanden mellan kandidaterna är omedelbart synliga.

Algoritm	Familj	Status för omgång 3	Nyckelfördel	Viktig avvägning	NIST-förtroendemeddelande
FAEST	MPC-i-huvudet (VOLEitH)	Vald	Säkerhet bygger främst på väletablerade symmetriska primitiver (AES); konkurrenskraftig MPCitH-prestanda	Komplex design och nyligen uppdaterade säkerhetsbevis kräver fortsatt communityverifiering	NIST fann mest förtroende för FAEST:s säkerhet bland MPCitH-kandidaterna
MQOM	MPC-i-huvudet (TCitH)	Vald	Starkaste prestandasiffror bland MPCitH-kandidater; på alla tre säkerhetsnivåer erbjuder den de minsta totala storlekarna på publika nycklar och signaturer i MPCitH-kategorin.	ROM- och QROM-säkerhetsbevis kanske ännu inte anses vara mogna eller fullständiga	NIST fann att MQOM hade de starkaste prestationssiffrorna bland MPCitH-kandidater
SDitH	MPC-i-huvudet (VOLEitH)	Vald	Säkerhet baserad på syndromavkodningsproblemet för ostrukturerade linjära koder över det binära fältet, ett av de mest studerade problemen i MPCitH-kategorin	Högre beräkningskostnad än konkurrenterna	Hårdhetsantagandet är ett av de mest konservativa bland sina konkurrenter
HÖK	Gitterbaserad	Vald	555-byte signaturer i kategori 1; mindre än Falcon och ML-DSA; endast heltalsaritmetik	Ytterligare analys av smLIP i cyklotomiska talfält behövs	Utvald för stark prestanda och enkel implementering
SQIsign	Isogenibaserad	Vald	Minsta kombinerade nyckel- och signaturstorlekar bland alla kandidater; signaturer så låga som 148 byte	Högre signeringslatens; helt konstanttidssignering är fortfarande ett mål	Ökad mognad och unik kompakthet motiverade utvecklingen
UOV	multivariat	Vald	Signaturer så små som 96 byte; mycket snabb verifiering; årtionden av studier	Utökade publika nycklar överstiger 200 KB; NIST är främst intresserad av UOV:s lämplighet för vissa tillämpningar snarare än som ett generellt signaturschema.	Långvarig historia och fortsatt existens av obrutna parameteruppsättningar stöder vidare utvärdering
MAJ	multivariat	Vald	Mindre publika nycklar än standard UOV; balanserad profil lämplig för allmänt bruk	Kilattack orsakade 28-bitars säkerhetsbrist i MAYO2 kategori 1-parametrar	Attraktiv balanserad prestanda, men risker med parametervalet framhävdes av de senaste attackerna
QR-UOV	multivariat	Vald	Resistent mot kilattacker som påverkar andra UOV-varianter; publika nycklar ungefär 15–50 % av standard UOV	Publika nycklar är fortfarande större än MAYO och SNOVA	Inga attacker minskade QR-UOVs säkerhet under andra rundan
SNOVA	multivariat	Vald	Potentiellt mycket små publika nycklar och signaturer; konkurrenskraftiga med Falcon-klassens prestanda på föreslagna parametrar	Betydande historia av kryptanalys; de flesta ursprungliga parameteruppsättningarna trasiga	NIST anser inte att SNOVA har nått en stabil form och förväntar sig en längre väg mot eventuell standardisering.

MPC-i-huvudet: FAEST, MQOM och SDitH

MPCitH-scheman bevisar kunskap om en hemlig nyckel genom att simulera en flerpartsberäkning inuti ett nollkunskapsbevis och sedan konvertera det till en icke-interaktiv signatur via Fiat-Shamir-transformen. Säkerhet kan vila på symmetriska primitiv snarare än nya algebraiska antaganden, men de resulterande signaturerna är stora och kan uppgå till flera kilobyte i kategori 1.

FAEST baserar sin säkerhet i AES via ramverket Vector Oblivious Linear Evaluation in-the-Head (VOLEitH). Signeringsnyckeln är en AES-nyckel; signaturen bevisar kännedom om nyckeln och mappar en publik indata till en publik utdata. NIST har angett det högsta förtroendet för FAESTs säkerhetsantaganden av alla kandidater i MPCitH-kategorin. Avvägning: signaturer varierar från cirka 3.9 KB till 5.9 KB i kategori 1, beroende på parameteruppsättning, även om alla varianter slår SLH-DSA.

MQOM använder tröskelberäkning i huvudet över det multivariata kvadratiska (MQ) problemet. Den hade de minsta kombinerade storlekarna på publik nyckel plus signatur av alla MPCitH-kandidater över alla tre säkerhetsnivåer i runda 2. Avvägning: säkerhetsbevis i Random Oracle Model och Quantum Random Oracle Model mognar fortfarande, vilket uttryckligen flaggas av NIST.

SDitH tillämpar MPCitH på syndromavkodningsproblemet för slumpmässiga linjära koder, ett antagande som studerats sedan 1970-talet. Bland MPCitH-kandidaterna kan endast FAEST hävda en jämförelsevis väl analyserad grund. Avvägning: långsammare än sina MPCitH-kollegor.

Multivariat: UOV, MAYO, QR-UOV och SNOVA

Alla fyra är varianter av Unbalanced Oil and Vinegar (UOV), som introducerades 1999. Det attraktiva är signaturkompaktiteten: UOV producerar 96-byte-signaturer i kategori 1, vilket närmar sig ECDSA -klassstorlekar. Kostnaden är publik nyckelstorlek, som i den klassiska utökade konstruktionen uppgår till cirka 272 KB i kategori 1; den komprimerade varianten (uov-Ip) är cirka 43 KB. MAYO, QR-UOV och SNOVA är komprimeringsvarianter som utbyter olika grader av publik nyckelreduktion mot olika strukturella begränsningar.

Den andra omgången medförde en större kryptanalytisk händelse. Kilattacken (Ran, 2025) använder externa produkter för att exponera det dolda oljeunderrummet i karakteristiska 2-fält, vilket pressar tre av UOV:s fyra ursprungliga parameteruppsättningar under deras säkerhetsmål och kostar MAYO:s kategori 1-uppsättning exakt 28 bitar. SNOVA drabbades hårdast, med de flesta av dess parameteruppsättningar trasiga. QR-UOV var immun: dess udda-karaktäristiska fält är strukturellt inkompatibla med attacken.

NIST avancerade alla fyra kandidaterna eftersom ingen lyckad attack har brutit den centrala UOV-designen, användning av udda-karaktäristiska fält verkar förbättra säkerheten, och deras potential för mycket små signaturer är oöverträffad. NIST har dock noterat att den multivariata familjen kommer att ta längre tid att standardisera, och SNOVA anses fortfarande inte vara helt stabil.

Isogenibaserad: SQIsign

SQIsign producerar 148-byte signaturer i kategori 1, vilket ger den den minsta kombinerade publika nyckel- och signaturstorleken av alla kandidater i processen, och mindre än RSA -2048-signaturer. För bandbreddsbegränsade applikationer som DNSSEC, Roughtime och IoT-firmwaresignering spelar den storleken en avgörande roll.

Säkerheten vilar på svårigheten att beräkna isogenier mellan supersingulära elliptiska kurvor och bestämma deras endomorfismringar. Schemat genomgick en större arkitekturöversyn för runda 2, där man bytte från en KLPT-baserad metod till högre dimensionella isogenier, vilket förbättrade signeringshastigheten med cirka 20 gånger och verifieringen med cirka 6 gånger. SIKE-brottet 2022 nämns ofta som ett problem; SQIsign undviker den strukturella sårbarhet som möjliggjorde den attacken, men isogenifältet är fortfarande ungt och analytikerpoolen är begränsad.

Två öppna frågor kvarstår inför den tredje omgången: säkerhetsbevis behöver verifieras av en bredare community, och fullständig signering i konstant tid har inte uppnåtts. Delvis sidokanalläckage under signering har visat sig möjliggöra nyckelåterställning.

Gitterbaserad: HAWK

HAWK är den enda gitterbaserade kandidaten i processen, men den förtjänar sin plats genom att lösa ett specifikt problem som varken ML-DSA eller FN-DSA adresserar. FN-DSA kräver flyttalsberäkning för sin Gaussiska sampling, vilket gör implementering i konstant tid svår på hårdvara utan flyttal. HAWK använder endast heltalsaritmetik genomgående och producerar 555-byte-signaturer i kategori 1, signaturer som är mindre än både FN-DSA-512 och ML-DSA-44.

Avvägningen är att HAWKs säkerhet vilar på två nyare antaganden: Search Module Lattice Isomorphism Problem (smLIP) och One-More-Shortest-Vector Problem (omSVP). Båda var föremål för kryptanalytisk uppmärksamhet i omgång 2. HAWK-teamet tog upp en definitionsfråga i omSVP-formuleringen; framsteg i att attackera smLIP-varianter gjordes, men gäller för närvarande inte för de cyklotomiska fält som HAWK använder. Ytterligare analys av båda antagandena är den angivna prioriteringen för omgång 3.

Det täcker alla nio kandidater som klarade sig. Innan vi går in på vad avancemanget innebär för migrationsplaneringen är det värt att förstå de fem som inte klarade sig, eftersom skälen säger lika mycket om NIST:s prioriteringar som själva urvalen.

Vad som inte gick framåt och varför

Att förstå vilka som inte gick vidare är lika viktigt som att veta vilka som gjorde det. De fem uteslutna kandidaterna visar exakt vad NIST vägde tyngst när fältet var konkurrensutsatt. I varje fall berodde beslutet på någon kombination av säkerhetsosäkerhet, prestandabrist eller konsolidering i en överbefolkad kategori.

Kandidat	Familj	Primär orsak till eliminering enligt NIST IR 8610
KORSA	Kodbaserad (avkodning av begränsat syndrom)	Små publika nycklar men väldigt stora signaturer, ungefär som SLH-DSA. Det underliggande säkerhetsproblemet har en mycket kortare studiehistoria än SLH-DSA:s. En andra omgångsattack ledde till att teamet uppdaterade sina parametrar, vilket kombinerade säkerhetsosäkerhet med mindre konkurrenskraftig prestanda.
MINDRE	Kodbaserad (linjär kodekvivalens)	Små signaturer men mycket stora publika nycklar, och mycket långsammare än CROSS för nyckelgenerering, signering och verifiering. En andra omgångsattack ifrågasatte förståelsen av dess säkerhet.
Mirath	MPCitH (MinRank, sammanslagning av MIRA och MiRitH)	Prestandaprofilen överlappade tillräckligt med konkurrerande MPCitH-kandidater. NIST valde att prioritera kandidater som erbjuder mer etablerade säkerhetsantaganden eller en överlägsen prestandaprofil i förhållande till de återstående MPCitH-alternativen.
HÖJA	MPCitH (Permuterad kärna)	FAEST erbjuder överlägsen hastighet och förlitar sig enbart på AES. NIST valde inte PERK baserat på praktiska prestandaavvägningar. NIST noterade att detta beslut inte bör tolkas som en brist på förtroende för det underliggande Permuted Kernel Problem.
RYDE	MPCitH (Rank Syndrome Decoding)	För att undvika att standardisera flera system med mycket liknande operativa avvägningar valde NIST att prioritera kandidater som visade den mest robusta kombinationen av prestanda och samhällsomfattande analys.

De tredje omgångens urval och elimineringar återspeglar tillsammans det nuvarande läget för kryptografiska gemenskapens förtroende för landskapet efter kvantumsignaturer . För säkerhetsteam som driver livemigreringsprogram är den mer omedelbara frågan vad dessa förändringar innebär för det arbete som redan pågår.

Vad detta innebär för PQC-migreringsplanering

Den omedelbara prioriteringen har inte ändrats. ML-DSA (FIPS 204) och SLH-DSA (FIPS 205) är färdigställda standarder. FN-DSA (FIPS 206) är vald, med ett utkast som förväntas i slutet av 2026 och slutförande troligen under 2027. Det är dessa standarder att migrera mot nu.

För organisationer som omfattas av NSA:s Commercial National Security Algorithm Suite 2.0 (CNSA 2.0, utfärdad september 2022) omfattas ingen av de ytterligare signaturkandidaterna i den tredje omgången av befintliga mandat. CNSA 2.0 kräver ML-KEM-1024 för nyckelupprättande och ML-DSA-87 för digitala signaturer, med tidslinjer som löper från 2027 för nya nationella säkerhetssystem till 2030 till 2033 för äldre infrastruktur. Statliga entreprenörer och försvarsindustriella basorganisationer bör fokusera migreringsinsatserna på att fullgöra dessa skyldigheter enligt det publicerade schemat och behandla de ytterligare signaturkandidaterna som framtida portföljtillägg.

Existensen av denna process har en praktisk implikation för systemarkitekturen: kryptoagilitet är viktigare, inte mindre. NIST som genomför en parallell utvärdering för att hitta alternativ till sina egna nyligen publicerade standarder återspeglar en enkel verklighet: postkvantområdet utvecklas fortfarande. System som används idag måste utformas för algoritmsubstitution utan att kräva arkitekturöversyn.

Problemet med signaturstorlek är verkligt. Om SQIsign uppnår konstanttidssignering skulle dess 148-byte-signaturer vara transformerande för bandbreddsbegränsade protokoll som DNSSEC och Roughtime. Om HAWKs nyare gitterantaganden håller, erbjuder det ett praktiskt heltalsaritmetiskt alternativ för begränsad hårdvara som inte säkert kan köra FN-DSA. Om den multivariata familjen stabiliseras genom udda-karakteristik reparametrisering, tar den signaturstorlekar nära ECDSA in i post-kvantvärlden.

Det är viktiga öppna frågor. Migreringsplanering bör byggas kring nuvarande standardstorlekar och behandla framtida kompakta alternativ som potentiella förbättringar att införliva när de väl är standardiserade, inte som beroenden att vänta på.

En viktig skillnad vad gäller brådska: digitala signaturer omfattas inte av hotmodellen "Skörda nu, dekryptera senare" på samma sätt som kryptering. En motståndare som registrerar din krypterade trafik idag kan försöka dekryptera den senare när kvantberäkningar mognar. De kan inte samla in dina signerade dokument och retroaktivt förfalska signaturer när kvantdatorer väl anländer, eftersom förfalskning skulle kräva kryptanalytisk kapacitet i realtid vid signeringstillfället.

Det relaterade hotet mot signaturer kallas ibland Lita på nu, förfalska senare: långlivade signaturer på firmware, juridiska dokument eller rotcertifikat som måste förbli betrodda i årtionden är sårbara för framtida förfalskning av en kryptografiskt relevant kvantdator. Brådskan med att migrera signaturscheman är verklig, men den skiljer sig från krypteringsfallets omedelbarhet.

Vad man ska hålla koll på i den tredje omgången

Den tredje omgången började officiellt den 14 maj 2026 och förväntas pågå i ungefär två år. Fyra frågor kommer att avgöra hur den utvecklar sig.

Den viktigaste frågan är huruvida de multivariata kandidaterna kan stabilisera sin säkerhet efter kilattacken. Uppdaterade parameteruppsättningar som riktar sig mot udda-karaktäristiska fält ska vara klara senast den 14 augusti 2026. Hur dessa parametrar håller under koncentrerad tredje-runda-kryptanalys är ännu inte känt.

För SQIsign är frågan om konstanttidssignering kan uppnås. De kompakta signaturstorlekarna var tillräckligt övertygande för att NIST skulle kunna driva systemet vidare trots detta öppna problem, men att lösa det är en förutsättning för standardisering.

För MPCitH-kandidaterna, FAEST, MQOM och SDitH, är frågan om det bredare forskarsamhället kan verifiera och stärka säkerhetsbevisen. Både Threshold Computation in the Head och VOLE-in-the-Head införlivades under den andra omgången, och de resulterande bevisen är komplexa och relativt färska.

För HAWK är frågan om antagandena om smLIP och omSVP håller även under en fortsatt tredje granskning. Om de gör det fyller HAWK ett verkligt tomrum: kompakta, heltalsaritmetiska gittersignaturer för hårdvara som inte säkert kan köra FN-DSA.

De nio kandidater som överlevde återspeglar en metodisk ansträngning att bygga verkligt kryptografiskt djup. Inte redundans för dess egen skull, utan genuin matematisk mångfald som håller alternativ tillgängliga allt eftersom det postkvantumliknande ekosystemet mognar.

Hur kan krypteringskonsulting hjälpa till

Om du undrar var och hur du ska börja din resa efter kvantumkrisen , finns Encryption Consulting här för att stödja dig. Du kan räkna med oss ​​som din betrodda partner, och vi kommer att vägleda dig genom varje steg med tydlighet, självförtroende och praktisk expertis.

Vi börjar med en kryptografisk identifiering och inventering , där vi skannar hela din miljö för att identifiera certifikat, nycklar, algoritmer och protokoll över slutpunkter, applikationer, API:er och infrastruktur. Detta bygger den baslinje du behöver innan någon migrering kan påbörjas.

Därifrån genomför vi en PQC- bedömning för att utvärdera er exponering mot kvanthot, identifiera RSA- och ECC-beroende system och leverera en prioriterad rapport över sårbara tillgångar med riskklassificeringar.

Med den tydligheten utvecklar vi en PQC-strategi och färdplan , en etappvis migreringsplan anpassad till er riskaptit, myndighetskrav och långsiktiga säkerhetsmål, inklusive kryptografisk flexibilitet så att era system kan anpassa sig i takt med att standarder utvecklas.

Vi stöder sedan leverantörsutvärdering och pilottester , och hjälper dig att välja rätt verktyg, köra koncepttest och validera interoperabilitet före en fullskalig utrullning.

Slutligen hanterar vi fullständig implementering , driftsättning av klassiska hybridmodeller och kvantsäkra modeller, utrullning av PQC över er PKI och infrastruktur, samt konfigurering av övervakning för långsiktig kryptografisk hälsa.

CBOM-säkerhet

Encryption Consultings CBOM Secure- verktyg spelar en nyckelroll för att hjälpa organisationer att förbereda sig. Istället för att hantera kalkylblad, manuella OpenSSL-utdata eller spridda konfigurationsfiler ger vårt CBOM-verktyg en tydlig bild av kryptoanvändningen i olika miljöer. Det visar vilka algoritmer som används, vad som behöver ändras för post-kvantsäkerhet och om systemen uppfyller säkerhetsmålen. För organisationer som förbereder sig för styrelsemöten, arkitekturval eller efterlevnadsplanering ger vårt verktyg tydlighet och snabbhet.

Vår CBOM Secure är mer än bara ett rapporteringsverktyg; den snabbar också upp processen. Den automatiserar kryptoinventeringar, kontrollerar TLS-konfigurationer, validerar algoritmer och anpassar policyer, så att team kan gå från upptäckt till handling utan att behöva gissa. I framtida versioner planerar Encryption Consulting att lägga till automatiserade korrigeringar, molnbaserade integrationer och policytillämpning för att hålla konfigurationerna i linje med säkerhetsstandarder hela tiden.

Nu är det ett bra tillfälle att komma igång: testa PQC i en staging-miljö, kartlägg er nuvarande kryptoanvändning och börja skapa interna policyer. Om er organisation vill testa kvantsäkra projekt, ge feedback eller hjälpa till att utforma nya funktioner, uppmuntrar vi på Encryption Consulting er att kontakta oss . Ju tidigare teamen börjar, desto enklare blir det långsiktiga arbetet.

Slutsats

Att NIST presenterar nio kandidater i tredje omgången är inte en signal om att problemet med post-kvantumsignaturen nästan är löst. Det är en signal om att NIST tar portföljrisken på tillräckligt stort allvar för att köra ett parallellt spår för alternativ medan dess primära standarder fortfarande rullas ut.

Migreringsprioriteten är oförändrad: övergång till ML-DSA, FN-DSA och SLH-DSA. Ingenting i den här pipelinen ändrar det. Men bygg för kryptoagilitet, för om SQIsign löser sitt problem med konstant tidssignering, eller om HAWKs antaganden gäller, eller om den multivariata familjen stabiliseras, kommer de organisationer som är utformade för algoritmsubstitution att kunna anta kompakta alternativ på ett snyggt sätt. De som hårdkodade ett enda schema kommer inte att göra det.

Den omedelbara åtgärden för säkerhetsteam är inte att spåra dessa kandidater varje vecka. Det är viktigt att veta vilka signaturalgoritmer era system kör idag, var och vad som skulle krävas för att ersätta dem. Den insynen är grunden för varje migreringsbeslut som följer.