I en tid där idén om kvantkryptografi är mer än bara en teori, letar organisationer som National Institute of Science and Technology (NIST) efter ett sätt att standardisera postkvantkryptografialgoritmer. NIST skapar efterlevnadsstandarder, bästa praxis och regler för cybersäkerhet. De arbetar för att tillhandahålla ett standardiserat ramverk för olika krypteringsalgoritmer och metoder för att säkerställa bästa möjliga säkerhet inom olika organisationer.
Kvantkryptografi är en tillgång som kan användas under de kommande åren, men den kan också skada organisationers säkerhet om de inte är förberedda. Det är därför NIST har riktat blicken mot standardisering av postkvantkryptografi med sitt standardiseringsprojekt för postkvantkryptografi (PQC).
Vad är PQC-standardiseringsprojektet?
Som tidigare nämnts sätter NIST standarder och bästa praxis för cybersäkerhet som de föreslår att organisationer följer. Kvantkryptografi är en typ av kryptografi som har potential att orsaka stora problem inom cybersäkerhetsbranschen, eftersom den kommer att göra majoriteten av kryptografiska algoritmer föråldrade. Anledningen till att kvantkryptografi kan göra detta är att med en tillräckligt kraftfull dator skulle algoritmer som vanligtvis skulle ta 10 år att knäcka nu bara kunna ta veckor eller dagar med kvantberäkning.
Detta är den främsta anledningen till att NIST har påbörjat PQC-standardiseringsprojektet. Tanken bakom projektet är att förbereda organisationer för kvantkryptografi innan det blir ett verkligt hot. Detta skulle göra det möjligt för företag att ha rätt krypteringsalgoritmer på plats i hela organisationen så att när kvantberäkning blir möjligt kan dessa attacker försvaras mot. De typer av krypteringsalgoritmer som PQC-standardiseringsprojektet arbetar med att standardisera är kvantsäkra algoritmer. En kvantsäker algoritm är motståndskraftig mot attacker från både klassiska datorer, vilket är de typer av datorer vi använder idag, och kvantdatorer.
Detta gör att privat information som lagras på enheter eller är under överföring i organisationer kan vara så säker som möjligt, eftersom inte ens en kvantdator kommer att kunna bryta en kvantsäker algoritm inom timmar eller dagar.
Att bestämma de mest kvantsäkra algoritmerna
NIST har många gånger tidigare genomfört projekt som PQC-standardiseringsprojektet där ett antal algoritmer skickas in till projektet för att se om de uppfyller kriterierna för att bäst betraktas som standard för den typen av kryptografi. I skrivande stund har NIST just avslutat sin tredje urvalsomgång för kryptografiska algoritmer. Finalisterna och alternativa alternativ är följande:
- Algoritmer för nyckeletableringsmekanismen (KEM): Kyber, NTRU, SABER och Classic McEliece
- Digitala signaturalgoritmer: Dilithium, Falcon och Rainbow
- Alternativa KEM-algoritmer: BIKE, FrodoKEM, HQC, NTRUprime och SIKE
- Alternativa digitala signaturalgoritmer: GeMSS, PICNIC och SPHINCS+
När den nuvarande rundan är avslutad kommer en eller två av KEM-algoritmerna och en eller två av algoritmerna för digitala signaturer att väljas ut som kvantresistenta algoritmer som är tillräckligt starka för standardisering inom cybersäkerhetslandskapet. Efter att ha avslutat den tredje rundan kommer NIST-matematiker och forskare att fortsätta titta på andra algoritmer och nya algoritmer för att se om de är tillräckligt kraftfulla för att betraktas som en del av den standardiserade gruppen av kvantresistenta algoritmer.
Hur kan organisationer förbereda sig för framtiden?
Även om NIST ännu inte har släppt sin lista över rekommenderade kvantresistenta kryptografialgoritmer, kan organisationer börja förbereda sig för kvantdatorer redan nu. Följande är några olika sätt som organisationer kan förbereda sig för framtiden:
- Kvantriskbedömning
Att utföra en kvantriskbedömning för din organisation ger säkerhetsteamen inom din organisation en god uppfattning om var det finns luckor i relation till kvantberäkning. En kvantriskbedömning hjälper också till att skapa en lista över applikationer som kommer att påverkas av skapandet av kvantdatorer, vilket ger organisationen en detaljerad lista över applikationer som måste uppdateras vid övergång till kvantresistenta algoritmer. Detta kommer också att hjälpa till med nästa steg, att identifiera data som är i riskzonen.
- Identifiera riskdata
Att identifiera en organisations data i riskzonen är oerhört viktigt, även inom cybersäkerhet i allmänhet. Att ha system för dataklassificering och identifiering på plats i en organisation är avgörande för att hålla reda på data och säkerställa att de är korrekt skyddade.
- Använd kryptografiskt agila lösningar
NIST har indikerat att användningen av kryptoagila lösningar är ett utmärkt sätt att påbörja processen mot kvantsäker säkerhet på plats. Kryptoagilitet är förmågan att växla mellan algoritmer, primitiver och andra krypteringsmekanismer utan att orsaka betydande problem i organisationens infrastruktur.
- Utveckla en förståelse för kvantberäkning och dess risker
Genom att utbilda anställda i vad de ska se upp med i framtidens kvantberäkningar, och metoder för att bli kvantresistenta, kommer de att ha ett tankesätt som redan är förberett för postkvantåldern.
- Följ NIST:s PQC-standardiseringsprojekt
Genom att hålla koll på PQC- standardiseringsprojektet kan en organisation hålla sig uppdaterad om eventuella ändringar av de kvantresistenta algoritmerna som pågår och byta till de valda algoritmerna när tiden är mogen.
