I en tid där idén om kvantum kryptografi är mer än bara en teori, organisationer som Nationella institutet för vetenskap och teknik (NIST) letar efter ett sätt att standardisera post-kvantkryptografialgoritmer. NIST skapar efterlevnadsstandarder, bästa praxis och regler för cybersäkerhet. De arbetar för att tillhandahålla ett standardiserat ramverk för olika kryptering Algoritmer och metoder för att säkerställa bästa möjliga säkerhet finns på plats inom olika organisationer.
Kvantkryptografi är en tillgång som kan användas under de kommande åren, men den kan också skada organisationers säkerhet om de inte är förberedda. Det är därför NIST har riktat blicken mot standardisering av postkvantkryptografi med sitt standardiseringsprojekt för postkvantkryptografi (PQC).
Vad är PQC-standardiseringsprojektet?
Som tidigare nämnts sätter NIST standarder och bästa praxis för cybersäkerhet som de föreslår att organisationer följer. Kvantkryptografi är en typ av kryptografi som har potential att orsaka stora problem inom cybersäkerhetsbranschen, eftersom den kommer att göra majoriteten av kryptografiska algoritmer föråldrade. Anledningen till att kvantkryptografi kan göra detta är att med en tillräckligt kraftfull dator skulle algoritmer som vanligtvis skulle ta 10 år att knäcka nu bara kunna ta veckor eller dagar med kvantberäkning.
Detta är den främsta anledningen till att NIST har påbörjat PQC-standardiseringsprojektet. Tanken bakom projektet är att förbereda organisationer för kvantkryptografi innan det blir ett verkligt hot. Detta skulle göra det möjligt för företag att ha rätt krypteringsalgoritmer på plats i hela organisationen så att när kvantberäkning blir möjlig kan dessa attacker försvaras mot. Typerna av krypteringsalgoritmer PQC-standardiseringsprojektet arbetar med att standardisera kvantsäkra algoritmer. En kvantsäker algoritm är motståndskraftig mot attacker från både klassiska datorer, vilket är den typ av datorer vi använder idag, och kvantdatorer.
Detta gör att privat information som lagras på enheter eller är under överföring i organisationer kan vara så säker som möjligt, eftersom inte ens en kvantdator kommer att kunna bryta en kvantsäker algoritm inom timmar eller dagar.
Att bestämma de mest kvantsäkra algoritmerna
Många gånger tidigare har NIST genomfört projekt som PQC-standardiseringsprojektet där ett antal algoritmer skickas in till projektet för att se om de uppfyller kriterierna för att bäst betraktas som standard för den typen av kryptografi. I skrivande stund har NIST just avslutat sina 3rd urvalsomgång för kryptografiska algoritmer. Finalisterna och alternativen är följande:
- Algoritmer för nyckeletableringsmekanismen (KEM): Kyber, NTRU, SABER och Classic McEliece
- Digitala signaturalgoritmer: Dilithium, Falcon och Rainbow
- Alternativa KEM-algoritmer: BIKE, FrodoKEM, HQC, NTRUprime och SIKE
- Alternativa digitala signaturalgoritmer: GeMSS, PICNIC och SPHINCS+
När den nuvarande rundan är avslutad kommer en eller två av KEM-algoritmerna och en eller två av algoritmerna för digitala signaturer att väljas ut som kvantresistenta algoritmer som är tillräckligt starka för standardisering inom cybersäkerhetslandskapet. Efter att ha avslutat den tredje rundan kommer NIST-matematiker och forskare att fortsätta titta på andra algoritmer och nya algoritmer för att se om de är tillräckligt kraftfulla för att betraktas som en del av den standardiserade gruppen av kvantresistenta algoritmer.
Hur kan organisationer förbereda sig för framtiden?
Även om NIST ännu inte har släppt sin lista över rekommenderade kvantresistenta kryptografialgoritmer, kan organisationer börja förbereda sig för kvantdatorer redan nu. Följande är några olika sätt som organisationer kan förbereda sig för framtiden:
- Kvantriskbedömning
Att utföra en kvantriskbedömning för din organisation ger säkerhetsteamen inom din organisation en god uppfattning om var det finns luckor i relation till kvantberäkning. En kvantriskbedömning hjälper också till att skapa en lista över applikationer som kommer att påverkas av skapandet av kvantdatorer, vilket ger organisationen en detaljerad lista över applikationer som måste uppdateras vid övergång till kvantresistenta algoritmer. Detta kommer också att hjälpa till med nästa steg, att identifiera data som är i riskzonen.
- Identifiera riskdata
Att identifiera en organisations data i riskzonen är oerhört viktigt, även inom cybersäkerhet i allmänhet. Att ha system för dataklassificering och identifiering på plats i en organisation är avgörande för att hålla reda på data och säkerställa att de är korrekt skyddade.
- Använd kryptografiskt agila lösningar
NIST har angett att användningen av kryptoagil lösningar är ett utmärkt sätt att påbörja processen mot kvantsäker säkerhet på plats. Kryptoagilitet är förmågan att växla mellan algoritmer, primitiver och andra krypteringsmekanismer utan att orsaka betydande problem i organisationens infrastruktur.
- Utveckla en förståelse för kvantberäkning och dess risker
Genom att utbilda anställda i vad de ska se upp med i framtidens kvantberäkningar, och metoder för att bli kvantresistenta, kommer de att ha ett tankesätt som redan är förberett för postkvantåldern.
- Följ NIST:s PQC-standardiseringsprojekt
Genom att hålla koll på PCC Standardiseringsprojektet kan en organisation hålla sig uppdaterad om eventuella ändringar av de kvantresistenta algoritmer som körs och byta till de valda algoritmerna när tiden är mogen.
