Gryningen av ett nytt cyberhot

Publicerad: december 2023. Uppdaterad: augusti 2026. Granskad av Encryption Consultings PQC-rådgivningsteam.

Kryptografins historia började med att koda krigshemligheter, så det passar att förhållandet mellan försvarare och angripare vanligtvis beskrivs som en kapprustning. I nästan fem decennier har den kapprustningen varit anmärkningsvärt ensidig till förmån för kryptering. RSA, utvecklat 1977, skyddar fortfarande trafik idag, och standardförsvaret mot en snabbare angripare har alltid varit detsamma: gör nyckeln större. Den eran av relativ stabilitet är över, och anledningen är inte en snabbare processor. Det är en fundamentalt annorlunda typ av dator.

Vad är det nya cyberhotet, exakt?

Hotet är en kryptografiskt relevant kvantdator (CRQC), en maskin som är kraftfull nog att köra Shors algoritm mot den matematik som ligger till grund för RSA och elliptisk-kurvkryptografi (ECC). Båda algoritmerna förlitar sig på "falluck"-matematiska problem som är lätta att beräkna i en riktning och, för en klassisk dator, extremt svåra att vända. RSA lutar sig mot svårigheten att faktorisera produkten av två stora primtal; ECC lutar sig mot det diskreta logaritmproblemet över elliptiska kurvor. En kvantdator som kör Shors algoritm kan lösa båda på polynomtid, vilket är det som skiljer detta hot från alla tidigare kryptografiska skrämselproblem: att öka nyckelstorleken löser det inte, eftersom attacken inte blir exponentiellt svårare när nyckeln växer på samma sätt som brute-force-gissning gör.

Symmetriska algoritmer som AES påverkas på olika sätt. Grovers algoritm ger en kvantdator en kvadratisk hastighetsökning mot symmetriska nycklar, vilket är anledningen till att NIST rekommenderar AES-256 (effektivt AES-128-styrka mot en kvantangripare) snarare än en omfattande symmetrisk omdesign. Det akuta problemet är specifikt den offentliga nyckelkryptografin, RSA, ECDSA, ECDH och Diffie-Hellman, som utfärdar certifikat, signerar programvara och förhandlar varje TLS-session på internet.

Varför är detta hot viktigt idag, inte om ett decennium?

Eftersom attacken inte kräver att kvantdatorn redan existerar. I en harvest-now, decrypt-late (HNDL) -attack fångar en angripare krypterad trafik, säkerhetskopior eller arkiverade filer idag och lagrar dem helt enkelt tills en CRQC blir tillgänglig. Krypterad data har inget utgångsdatum för en angripare med billig lagring och tålamod. Vår djupdykning i harvest-now, decrypt-late täcker hela angriparens ekonomi; den korta versionen är att all data som måste förbli konfidentiell längre än det tar för en CRQC att anlända redan är exponerad, även om ingen kvantdator har brutit den ännu.

Detta omformulerar frågan som varje säkerhetsledare behöver ställa sig. Det är inte "när kommer kvantdatorer", utan "hur länge behöver våra data förbli hemliga, och varar det längre än vår migreringstidlinje?". Hälsojournaler, genomdata, myndighetsinformation, källkodssigneringsnycklar och långlivade infrastrukturuppgifter behöver rutinmässigt skyddas i 10, 20 eller fler år, vilket är längre än de flesta trovärdiga uppskattningar för Q-dagen, den tidpunkt då en CRQC existerar.

Hur långt har kvantdatorer kommit egentligen?

Längre framskridet än de flesta säkerhetsteam antar, och det viktiga måttet har förändrats. Råa qubit-antal brukade dominera samtalet; IBMs 433-qubit Osprey-chip skapade rubriker 2022. Men qubit-antal ensamt var aldrig rätt måttstock för kryptografisk risk, eftersom bullriga fysiska qubitar inte direkt översätts till användbar beräkning. Fältet har sedan dess skiftat mot felkorrigerade "logiska" qubitar som det måttenhet som faktiskt förutsäger när Shors algoritm blir körbar i kryptografiskt relevant skala.

I december 2024 demonstrerade Googles 105-qubit Willow-chip felkorrigering som förbättras när fler fysiska qubitar läggs till, en länge eftersökt tröskel för att bygga en feltolerant maskin. I oktober 2025 följde Google upp med sin Quantum Echoes-algoritm, beskriven av företaget som deras första verifierbara demonstration av kvantfördelar på verklig hårdvara. IBM har under tiden flyttat sin färdplan bort från en ren qubit-räkningskapplöpning: deras nuvarande generations Heron-processorer körs på 156 qubitar med högre återgivning än tidigare, större chip, och IBM har siktet in sig på 2029 för Quantum Starling, ett feltolerant system designat för att köra 100 miljoner kvantgrindar över 200 logiska qubitar. Inget av detta betyder att en CRQC existerar idag. Det betyder att den bana som "ökad nyckelstorlek kommer att rädda oss" byggdes på tydligt har slutat, och uppskattningar för Q-Day (vanligtvis citerad i intervallet 2030 till 2035 i hela branschen) bär nu verkliga tekniska bevis bakom sig, inte bara spekulationer.

Vilken postkvantalgoritm bör man egentligen använda?

Den 13 augusti 2024 slutförde NIST de tre första post-kvantkryptografistandarderna efter en åttaårig offentlig utvärderingsprocess, och för de flesta organisationer handlar algoritmval nu om att matcha NIST:s vägledning med det jobb algoritmen behöver göra snarare än att välja bland öppna alternativ.

Standard	Algoritm	Jobb	När ska man välja det?
FIPS 203	ML-KEM (baserat på CRYSTALS-Kyber)	Nyckelinkapsling (ersätter RSA/ECDH-nyckelutbyte)	Standardval för TLS, VPN och alla protokoll som förhandlar om en delad hemlighet. ML-KEM-768 är den gemensamma baslinjen; ML-KEM-1024 för högre tillförlitlighet eller CNSA 2.0-anpassning.
FIPS 204	ML-DSA (baserat på CRYSTALS-Dilithium)	Allmänna digitala signaturer (ersätter RSA/ECDSA-signering)	Standardval för kodsignering, certifikat och dokumentsignering där signerings- och verifieringsdataflödet är viktigt.
FIPS 205	SLH-DSA (baserat på SPHINCS+)	Säkerhetskopiera digitala signaturer byggda på hashfunktioner istället för gittermatematik	Långlivade signaturer med låg volym (firmware, rot-CA-certifikat, arkivposter) där prioritet är matematisk mångfald framför hastighet eller storlek.

ML-KEM och ML-DSA är båda gitterbaserade, vilket gör dem snabba och kompakta, men det innebär också att ett enda oväntat kryptanalytiskt framsteg mot gittermatematik skulle kunna försvaga båda samtidigt. SLH-DSAs hashbaserade konstruktion vilar på andra, mer konservativa antaganden, vilket är anledningen till att NIST behöll det som ett strukturellt oberoende alternativ snarare än att pensionera det när ML-DSA slutfördes. FN-DSA (baserat på FALCON, förväntat som FIPS 206) är ett fjärde signaturalternativ som fortfarande är under utveckling, riktat mot begränsade miljöer som behöver mindre signaturer än ML-DSA utan SLH-DSAs storleksstraff. För en djupare jämförelse av postkvantalgoritmer mot kvantnyckeldistribution (QKD), en separat och mycket mindre distribuerbar metod som vissa leverantörer föreslår, se varför PQC, inte QKD, är den praktiska vägen för företagsmigrering.

Vad kostar dessa algoritmer i prestanda och interoperabilitet?

Avvägningarna är verkliga men hanterbara för de flesta implementeringar, och de skiljer sig kraftigt åt mellan algoritmfamiljerna:

• Nyckelbyte är billigt. En offentlig nyckel av typen ML-KEM-768 kör cirka 1 184 byte och en chiffertext cirka 1 088 byte, jämfört med 32 byte för en klassisk X25519-nyckel. I praktiken lägger en hybrid ML-KEM-768 plus X25519 TLS 1.3-handskakning till ungefär 2 till 3 kB overhead, vilket är litet jämfört med de certifikat som en handskakning redan överför, och ML-KEMs kärnverksamhet körs lika snabbt eller snabbare än klassisk elliptisk kurvmatematik på moderna processorer.
• Signaturer är den svårare avvägningen. En ML-DSA-65-signatur är cirka 3.3 KB lång jämfört med ungefär 64 till 256 byte för ECDSA eller RSA. SLH-DSA är ännu tyngre, från ungefär 8 KB upp till nästan 50 KB beroende på parameteruppsättningen. Protokoll med strikta paketstorleksgränser, särskilt QUIC:s initiala pakettak, begränsar vilka parameteruppsättningar som passar utan fragmentering, vilket är en anledning till att ML-KEM-768 snarare än ML-KEM-1024 blev den vanliga webbstandarden.
• Interoperabilitet sker först genom hybridläge. Nästan varje produktionsdistribution efter kvantum idag parar ihop en postkvantalgoritm med en klassisk algoritm (till exempel X25519MLKEM768) istället för att helt ersätta klassiska algoritmer. Det skyddar mot både ett fortfarande teoretiskt kvantbrott och eventuella oupptäckta svagheter i den nyare postkvantmatematiken, och det håller anslutningen igång mot slutpunkter som ännu inte stöder postkvantnyckelutbyte.
• Äldre och begränsade system släpar efter hårdast. Inbyggda enheter, äldre HSM-firmware och hårdvara med långa uppdateringscykler kan ofta inte absorbera de större nyckel- och signaturstorlekarna utan en firmware- eller hårdvaruuppdatering, vilket är anledningen till att inventering och fasad utrullning är viktigare än ett flaggskifte.

Var används detta redan?

Detta är inte en hypotetisk migrering; den körs redan i produktion i betydande skala:

• Webbtrafik. Cloudflare rapporterade att i slutet av oktober 2025 förhandlar majoriteten av den mänskligt initierade HTTPS-trafiken i deras nätverk om ett post-kvantum hybridnyckelutbyte, främst X25519MLKEM768, och att nya versioner av alla större webbläsare nu aktiverar det som standard.
• Företags-PKI. Microsoft levererade stöd för ML-DSA-signaturer för Active Directory Certificate Services på Windows Server 2025 i en uppdatering från maj 2026, vilket gör det möjligt för företag att använda ML-DSA-certifikatutfärdare på infrastruktur de redan kör.
• Färdplaner för molnleverantörer. Google Cloud har publicerat en etappvis färdplan som syftar till post-kvantumkonfidentialitet senast 2027 och fullständig signatur- och infrastrukturberedskap senast 2029, och delar upp ansvaret mellan vad leverantören migrerar och vad kunderna fortfarande måste hantera själva.
• Regering och försvar. NSA:s CNSA 2.0-svit specificerar ML-KEM-1024 och ML-DSA-87 med kategori-för-kategori-deadlines som löper från 2030 till 2033 för nationella säkerhetssystem, långt före NIST:s allmänna federala tidslinje.

Det är anmärkningsvärt att certifikatbaserad autentisering har utvecklats långsammare än nyckelutbyte. I slutet av 2025 utfärdade ingen offentlig post-kvantumcertifikatutfärdare produktions-TLS-certifikat som var betrodda av webbläsare, trots att det mesta av samma trafik redan var skyddad under överföring genom post-kvantumnyckelavtal. Sekretess och autentisering migrerar vid olika klockfrekvenser och båda kräver en plan.

Vad krävs egentligen för migration?

Algoritmval är den enkla delen. Det beroende som faktiskt avgör om en migrering lyckas är nyckelhantering: du kan inte skydda, rotera eller ersätta kryptografiskt material som du inte vet existerar. En praktisk svarsprocess ser ut så här:

1. Bygg ett kryptografiskt inventarium (CBOM). Katalogisera alla algoritmer, nycklar, certifikat och bibliotek som används, inklusive inbäddade och tredjepartsberoenden som de flesta nätverksskanningar missar helt.
2. Prioritera efter datahållbarhet och HNDL-exponering. Rangordna system efter hur länge deras skyddade data måste förbli konfidentiella, inte efter hur synligt systemet är. Långlivad data med högst exponering flyttas först.
3. Pilotprojekt för hybridnyckelutbyte på transport först. Aktivera hybrid ML-KEM tillsammans med befintligt klassiskt nyckelutbyte på TLS-slutpunkter; detta är det lägsta risken, mest programvarubaserade steget och kan vanligtvis ske utan att man behöver vänta på hårdvara.
4. Planera certifikat- och signeringsmigreringen separat. Kartlägg vilka CA:er, HSM:er och kodsigneringspipelines som behöver stöd för ML-DSA eller SLH-DSA, och bekräfta firmware eller leverantörens tidslinjer innan du bestämmer dig för ett övergångsdatum.
5. Bygg in kryptoagilitet och följ upp mot verkliga deadlines. Designa system så att nästa algoritmbyte inte kräver ytterligare ett flerårigt projekt och validera framsteg mot NIST IR 8547:s milstolpar 2030/2035 eller din tillämpliga CNSA 2.0-kategorideadline.

Vart och ett av dessa steg är beroende av nyckelhanteringens mognad. En organisation som hanterar nycklar manuellt, eller utan hårdvarubaserat nyckelskydd, kan inte växla till en ny algoritmfamilj i den takt som denna övergång kräver. HSM-leverantörer rullar fortfarande ut stöd för ML-KEM och ML-DSA i olika takter, vilket gör att bekräftelse av HSM-firmwarekompatibilitet är ett tidigt, inte slutgiltigt, steg i alla migreringsplaner.

Begränsningar

Några ärliga förbehåll gäller. För det första vet ingen exakt när en CRQC kommer att existera; uppskattningarna i den här artikeln återspeglar nuvarande expertkonsensus, inte säkerhet, och både snabbare och långsammare resultat är fortfarande möjliga. För det andra stöds inte hybrida post-kvantlägen universellt: äldre TLS-bibliotek, äldre hårdvara och vissa inbyggda enheter kan inte förhandla om dem utan en uppdatering, så en hybridutrullning är sällan en enda flaggändring över en hel tillgång. För det tredje är NIST IR 8547:s datum 2030/2035 vägledande för federala system, inte en bindande lag för varje organisation, även om CNSA 2.0 och sektorspecifika tillsynsmyndigheter närmar sig hårdare deadlines. För det fjärde föreslås ibland kvantnyckeldistribution som ett alternativ till PQC; det kräver dedikerad fiber- eller siktlinjehårdvara, kan inte köras som en vanlig molntjänst och löser inte autentisering, vilket är anledningen till att det inte är en realistisk ersättning för de flesta företag. Slutligen är det nödvändigt men inte tillräckligt att migrera algoritmen. Implementeringsbuggar, svag slumpmässighet och dålig nyckellagring kan undergräva ML-KEM eller ML-DSA precis som de har undergrävt RSA- och ECC-distributioner tidigare.

Vad skulle krypteringskonsulter rekommendera?

Börja inte med en algoritm; börja med en inventering. De organisationer som kämpar mest med postkvantmigrering är de som försöker testa ML-KEM på en handfull servrar innan de vet hur många certifikat, inbäddade nycklar och tredjepartsberoenden de faktiskt har. Encryption Consultings kryptografiska inventeringsfunktion upptäcker kryptografiska tillgångar över nätverkstrafik, kodförråd, nyckellager och HSM:er, de lager som enbart en nätverksskanning vanligtvis missar, och matar in den informationen i en prioriterad riskvy.

Därifrån driver våra PQC-rådgivningstjänster en 9-fasig, genomförandeklar färdplan som tar en organisation från upptäckt och riskbedömning till hybridpilottestning, fasad implementering och löpande styrning, sekvenserad mot er faktiska datakänslighet och regulatoriska deadlines snarare än en generisk tidslinje. För team som behöver övergången för att hålla i sig under det kommande decenniet av algoritmförändringar, inte bara denna, bygger vi in ​​kryptoagilitet från början, så att nästa obligatoriska byte är en konfigurationsändring, inte ytterligare ett flerårigt program.

Om du är osäker på var du ska börja är vår PQC- beredskapsbedömning det snabbaste sättet att ta reda på hur exponerad din organisation faktiskt är innan du binder dig till en migreringstidlinje.

Slutsats

Kapprustningen mellan kryptografi och beräkning går in i en fas som ökande nyckelstorlek inte kan lösa. RSA och ECC kommer inte att misslyckas över en natt, men den matematik de är beroende av har en känd, konstruerad väg till misslyckande, och varje år av försening förlänger fönstret för data som redan är exponerade för skörd – nu, dekryptera – senare insamling. NIST har gjort sin del: FIPS 203, 204 och 205 ger branschen färdigställda, granskade algoritmer att migrera till. Det återstående arbetet, att veta vad man har, prioritera efter verklig exponering och bygga kryptoagiliteten för att fortsätta anpassa sig, är organisatoriskt, inte matematiskt, och det är arbetet som avgör om din organisation är redo innan Q-dagen anländer eller kämpar efteråt.

Vanliga frågor om partihandel med mat och dryck

Knäcker kvantberäkning redan kryptering idag?
Nej. Ingen känd kvantdator kan ännu köra Shors algoritm i en skala som hotar RSA-2048 eller jämförbara ECC-nycklar i produktion. Brådskan kommer från attacker som skördar nu, dekrypterar senare, vilka samlar in krypterad data nu för dekryptering när en kapabel kvantdator finns, inte från ett aktivt intrång som sker idag.

Vad är skörda-nu, dekryptera-senare, och påverkar det min organisation nu?
Det är en attackstrategi där motståndare samlar in och lagrar krypterad trafik eller filer idag, och väntar på att dekryptera dem när kvantdatorer är tillräckligt kapabla. Det påverkar dig nu om någon data du skyddar idag behöver förbli konfidentiell längre än din realistiska migreringstidslinje. Se vår fullständig HNDL-förklaring för ett riskbaserat sätt att bedöma exponering.

Vilken NIST post-kvantumalgoritm bör vi använda först?
De flesta organisationer börjar med FIPS 203 (ML-KEM) för nyckelutbyte, eftersom det är den programvarubaserade ändringen med lägst risk och redan är standard i större webbläsare och TLS-bibliotek. Signaturmigrering (FIPS 204 ML-DSA eller FIPS 205 SLH-DSA för långlivade signaturer med hög tillförlitlighet) sker vanligtvis när certifikatutfärdare och HSM-firmware stöder det.

Saktar uppgradering till postkvantalgoritmer våra system?
Nyckelutbyteskostnaden är liten, vanligtvis några kilobyte tillagda till en TLS-handskakning, med jämförbar eller bättre rå beräkningshastighet än klassiska elliptiska kurvmetoder. Signaturer är den större avvägningen: ML-DSA-signaturer är flera gånger större än ECDSA, och SLH-DSA-signaturer är ännu större, vilket är viktigast för bandbreddsbegränsade eller högvolymssigneringssystem.

Vad är Q-dagen och när kommer den att äga rum?
Q-dagen är den tidpunkt då en kryptografiskt relevant kvantdator existerar och i praktiken kan bryta RSA och ECC. Ingen kan ange ett exakt datum; industri- och myndighetsuppskattningar ligger vanligtvis runt 2030 till 2035, vilket också är anledningen till att NIST:s och NSA:s egna deadlines för avveckling faller inom samma fönster.

Referensprojekt

• NIST, ”NIST släpper de första 3 slutgiltiga postkvantkrypteringsstandarderna”, 13 augusti 2024
• Federal Register, meddelande om utfärdande av FIPS 203, 204 och 205
• NIST IR 8547 (inledande offentligt utkast), övergång till post-kvantkryptografistandarder
• Cloudflare, “Tillståndet för det postkvantbaserade internet år 2025”
• Google, ”Möt Willow, vårt toppmoderna kvantchip”, december 2024
• Google, ”Vår kvantekoalgoritm är ett stort steg mot verkliga tillämpningar”, oktober 2025
• IBM Quantum, hårdvara och färdplan