NIST IR 8610 förklarad: 9 lovande signaturalgoritmer som formar nästa PQC-standarder 

I nästan tio år har kryptografer tävlat mot en klocka som ännu inte har börjat ticka. Klockan tillhör kvantdatorerna, och när den väl går igång kommer kryptografin med publika nyckeln bakom nästan allt vi litar på online idag helt enkelt att sluta fungera. 

RSA. ECDSA. ECDH. Klassisk Diffie-Hellman. Allt detta faller på Shors algoritm i det ögonblick en tillräckligt kapabel kvantmaskin existerar. Det är krypteringen som skyddar din bank, dina programuppdateringar, dina TLS-handskakningar och certifikaten som talar om för din webbläsare att en webbplats är den den utger sig för att vara. Och hotet går åt två håll: data som samlas in idag kan dekrypteras senare, och allt som signeras idag kan förfalskas senare, en tystare risk som drabbar signaturer som är avsedda att förbli pålitliga i årtionden.

NIST har i tysthet lett insatsen. Sedan 2016 har myndigheten genomfört en årslång utvärdering för att hitta ersättare, och resultaten hittills är redan i produktion: ML-KEM ( FIPS 203 ), ML-DSA ( FIPS 204 ) och SLH-DSA ( FIPS 205 ). FN-DSA (FIPS 206, baserat på Falcon) är på gång och förväntas slutföras 2027. HQC lades till förra året som en reservmekanism för att etablera nycklar.

Så migreringen är i full gång. Varför anordnar då NIST ytterligare en tävling? 

Det dolda problemet i NISTs egen portfölj 

Titta noga på de tre signaturstandarderna så kommer du att märka något obekvämt. Två av dem, ML-DSA och FN-DSA, vilar på samma familj av strukturerade gitterantaganden. Om ett enda kryptanalytiskt genombrott träffar den familjen på fel sätt kan en stor del av postkvantumsignaturportföljen bli tvivelaktig över en natt. 

NIST såg detta 2022 och gjorde något ovanligt för ett standardiseringsorgan: de erkände bristen och öppnade en separat utlysning för ytterligare digitala signatursystem. Uppdraget var specifikt. Bygg på olika matematiska grunder. Optimera för mindre signaturer eller snabbare verifiering. Ge oss alternativ som den nuvarande portföljen inte kan nå.

Vid deadline i juni 2023 hade 50 bidragspaket anlänt. Fyrtio antogs till första omgången. Fjorton gick vidare till andra omgången i oktober 2024. Den omgången var precis avslutad. 

Vad NIST IR 8610 faktiskt säger 

I maj 2026 publicerade NIST intern rapport 8610 , den officiella statusrapporten för den andra omgången. Omgången pågick från 24 oktober 2024 till 14 maj 2026 och inkluderade den sjätte NIST PQC- standardiseringskonferensen i Gaithersburg i september förra året. Efter arton månader av kryptanalys, offentlig granskning och tålmodigt samtal mellan inskickare och allmänheten, begränsade NIST antalet fjorton kandidater till nio.

Utvärderingsribban sattes tidigt. Gitterbaserade bidrag var tvungna att tydligt slå både CRYSTALS-Dilithium och Falcon på någon meningsfull prestandaaspekt. Bidrag utan gitter var tvungna att slå SPHINCS+ på samma sätt. Därifrån vägdes varje kandidat utifrån tre kriterier i denna ordning: säkerhet först, kostnad och prestanda sedan, och algoritm och implementeringsegenskaper tredje. Säkerhetsgolvet var EUF-CMA, med SUF-CMA behandlat som en bonus. 

Här är de nio som klarade det, sorterade efter sin matematiska familj:

Kategori	Kandidater som går vidare
Gitterbaserad	HÖK
Isogenbaserad	SQIsign
MPC-i-huvudet	FAEST, MQOM, SDitH
multivariat	UOV, MAYO, QR-UOV, SNOVA

De nio som avancerade 

En snabb orientering innan vi går igenom dem. Varje digitalt signatursystem bygger på ett matematiskt problem som världen tror är svårt att lösa. RSA satsar på svårigheten att faktorisera enorma tal. ECDSA satsar på svårigheten att vissa elliptiska kurvberäkningar. Båda dessa satsningar förlorar mot en fungerande kvantdator.

De nio kandidaterna nedan satsar på fyra väldigt olika problem, och just den mångfalden är hela poängen. NIST vill ha flera oberoende stiftelser så att ett enda genombrott inte kan förstöra allt på en gång. Här är vad var och en faktiskt gör.

FAEST: Byggt på vad branschen redan litar på 

FAESTs säkerhet vilar ytterst på AES, den symmetriska krypteringsstandarden som skyddar merparten av internettrafiken idag. Systemet använder ett nollkunskapssystem för att visa att signeraren känner till en AES-nyckel som överensstämmer med vissa offentliga värden, utan att själva nyckeln avslöjas. Eftersom AES har studerats och attackerats kontinuerligt i mer än 25 år utan kompromisser, ärver FAEST en ovanligt mogen grund för ett postkvantsystem. 

Det tekniska maskineriet är ett bevisramverk som kallas VOLE-in-the-Head, i kombination med ett protokoll som kallas QuickSilver. Omgång två levererade en meningsfull uppsättning optimeringar: ett effektivare commitment-schema, en AES-baserad PRG, en renare metod för att uttrycka AES-begränsningar med grad 3-polynom och nya säkerhetsminskningar i Quantum Random Oracle Model. 

Av de sex MPCitH-kandidaterna i den andra omgången uttryckte NIST det starkaste förtroendet för FAEST:s säkerhet och hänvisade till dess beroende av omfattande studerade symmetriska primitiver. Sidokanal- och felinjektionsarbete har identifierat sårbarheter i maskerade FAEST-implementeringar, men dessa resultat påverkar inte systemets underliggande säkerhetsmodell.

HAWK: Ett gitterschema utformat för begränsad hårdvara 

HAWK tillhör samma matematiska familj som NIST:s befintliga gitterbaserade standarder, ML-DSA och den kommande Falcon-baserade FN-DSA, men den adresserar en av Falcons mest ihållande implementeringsutmaningar. Falcons signeringsprocess kräver flyttalsberäkning, vilket är svårt att implementera korrekt på smartkort, säkra element och många inbyggda system. Implementeringsfel i den beräkningen kan läcka den privata nyckeln. HAWK använder endast heltalsaritmetik, vilket helt eliminerar den typen av felläge. 

Prestandan är också konkurrenskraftig. I säkerhetskategori 1 är HAWK-signaturer 555 byte, mindre än både Falcon och ML-DSA. Nyckelåterställningssäkerhet vilar på Search Module Lattice Isomorphism Problem (smLIP) av rang 2. Oförfalskbarhet vilar på One-More-Shortest-Vector Problem (omSVP). Båda är gitterbaserade, vilket innebär att ett grundläggande genombrott mot gitterkryptografi skulle påverka HAWK tillsammans med befintliga standarder. 

Under den andra omgången identifierade kryptoanalytiker en avvikelse i den ursprungliga definitionen av omSVP. HAWK-teamet svarade med en förfinad definition som exkluderar den relevanta attackvektorn. Ytterligare forskning fastställde att det underliggande talfältet på ett meningsfullt sätt påverkar säkerheten, och HAWKs val av cyklotomiska fält verkar motståndskraftigt mot kända attacker. NIST avancerade HAWK och uppmuntrade gemenskapen att fortsätta stresstesta smLIP i HAWKs specifika ringstruktur.

MAYO: Att åtgärda UOV:s problem med den offentliga nyckeln 

UOV (behandlas senare i den här listan) producerar mycket små signaturer men hålls tillbaka av en mycket stor publik nyckel. MAYO är en omdesign som bevarar de små signaturerna och minskar nyckelbördan genom att arbeta från en kompakt startnyckel och expandera den till hela UOV-systemet vid behov. Expansionsmekanismen, kallad en "whipping"-transformation, skapar den större instansen med en blockstruktur som bibehåller säkerheten samtidigt som nyckeln komprimeras. 

Den andra omgången gav upphov till ett betydande problem. En ny teknik som kallas kilattack, tillämpad på UOV-varianter med karaktäristisk 2, drabbade MAYO:s parameteruppsättning i kategori 1 med en säkerhetsbrist på ungefär 30 bitar. NIST tillskrev effekten, som är större än motsvarande effekt på vanlig UOV, till balansen mellan antalet kvadratiska former och kodimensionen av det hemliga delrummet, snarare än själva piskkonstruktionen. 

MAYO behåller några av de minsta publika nycklarnas storlekar i den multivariata kategorin, med effektiv signering och verifiering. NIST avancerade MAYO samtidigt som de flaggade lärdomen om parameterval och uppmuntrade teamet att utvärdera parametrar med udda egenskaper som en motåtgärd.

MQOM: Starkaste resultat i MPCitH-kategorin 

MQOM vilar på svårigheten att lösa stora system av kvadratiska ekvationer över en ändlig kropp, ett av de mer långstuderade svåra problemen inom kryptografi. Dess signeringsprocess använder en MPC-in-the-Head-konstruktion: signeraren simulerar att flera parter gemensamt beräknar andelar av en hemlighet och bevisar att simuleringen kördes korrekt, utan att avslöja själva hemligheten. 

Den andra omgången använder TCitH (Threshold Computation in the Head), en specialisering av MPCitH som ersätter traditionell additiv hemlighetsdelning med tröskel-Shamir-hemlighetsdelning. 

Siffrorna visar att MQOM sticker ut i MPCitH-kategorin. Över alla tre säkerhetsnivåer har den de minsta kombinerade storlekarna på publika nycklar och signaturer av alla MPCitH-kandidater, med mycket konkurrenskraftiga signerings- och verifieringscykler. NIST avancerade den baserat på styrkan i dessa siffror och den långvariga mognaden hos det underliggande MQ-problemet, samtidigt som de noterade att de formella säkerhetsbevisen i Random Oracle Model och QROM kräver ytterligare förfining. 

QR-UOV: Effektiv komprimering utan kompromisser

QR-UOV använder en matematisk teknik som kallas kvotringar för att komprimera den publika nyckeln för standard-UOV. Varje block i den publika nyckeln kräver ℓ-tal för att beskrivas istället för ℓ², vilket minskar publika nycklar till ungefär 15 till 50 procent av storleken på standard-UOV, utan att ändra den underliggande säkerhetsmodellen. 

QR-UOV var den mest tyst framgångsrika multivariata kandidaten i den andra omgången. Kilattacken riktar sig primärt mot en specifik klass av talfält, karakteristik-2-fält, och QR-UOV använder udda-karakteristikfält.

Även när attacken utökades till att täcka udda egenskaper, förblev dess komplexitet mot QR-UOV högre än befintliga attacker. Dessutom levererade den andra omgångens inlämning signerings- och verifieringshastigheter 15 till 20 gånger snabbare än den första omgången, med konstanta storlekar på publika nycklar och signaturer. NIST avancerade QR-UOV med anmärkningsvärd tillförlitlighet, med hänvisning till avsaknaden av avgörande attacker och den betydande minskningen av publika nycklar. 

SDitH: Det mest konservativa hårdhetsantagandet 

SDitH (Syndrome Decoding in the Head) bygger på ett problem från kodningsteorin som har studerats sedan 1970-talet. Givet ett korrupt meddelande och den felkorrigeringskod som producerade det är det beräkningsmässigt ogenomförbart att identifiera det exakta felmönstret. Felkorrigeringskoder ligger till grund för mycket av modern kommunikation, inklusive Wi-Fi, mobilnät och lagringssystem, så den underliggande matematiken är bland den mest grundligt undersökta inom området. SDitH omvandlar den hårdheten till ett signaturschema. 

Liksom andra MPCitH-kandidater omdesignades SDitH i den andra omgången för att införliva teknikerna VOLE-in-the-Head och Threshold Computation in the Head. Aritmetiken kodar syndromavkodningsproblemet över det binära fältet, med ostrukturerade linjära koder. 

NIST lyfte fram SDitH specifikt för dess konservatism i dess hårdhetsantagande. Av de sex MPCitH-kandidaterna har endast FAEST en jämförelsevis välgranskad grund. Avvägningen är beräkningskostnaden, som tenderar att vara högre än sina konkurrenter. NIST avancerade SDitH på styrkan av sitt säkerhetsantagande och för att bibehålla antagandenas mångfald inom MPCitH-kategorin.

SNOVA: Hög potential, ostadig form 

SNOVA är en annan UOV-variant, och på pappret producerar den de minsta nycklarna och signaturerna av alla multivariata kandidater. Komplikationen är dess kryptanalyshistorik. Varje omgång av noggrann granskning har avslöjat nya svagheter, och teamet har svarat med successiva omdesigner. Den är samtidigt den mest attraktiva kandidaten sett till rå prestanda och den minst etablerade i sin nuvarande form. 

Strukturellt lånar SNOVA idéer från icke-kommutativa ringar och kan ses som att den tillämpar en MAYO-liknande whipping-transformation ovanpå en redan strukturerad UOV-publik nyckel. 

Kryptoanalysens historia kräver noggrann läsning. En variant av kilattacken bröt de flesta av SNOVA:s föreslagna parameteruppsättningar i den andra omgången, ofta med betydande marginaler. Teamet svarade med en omdesign med hjälp av udda-karaktäristiska fält och symmetriska kvadratiska former. Den nya parameteruppsättningen i kategori 1 har både publika nyckel- och signaturstorlekar som är mindre än Falcon, den mest kompakta gitterbaserade signaturen som NIST har standardiserat hittills. 

NISTs bedömning är ovanligt direkt. SNOVA skulle kunna leverera ett generellt signaturschema med snabb verifiering och mycket kompakta resultat, men rapporten anger uttryckligen att NIST "inte ser SNOVA som att ha nått en stabil form", kommer att överväga större modifieringar än för andra kandidater, och kommer att kräva en längre tidsram innan någon variant för standardisering övervägs.

SQIsign: Det minsta fotavtrycket i tävlingen 

SQIsign arbetar inom ett annat matematiskt område än de andra kandidaterna, geometrin hos supersingulära elliptiska kurvor. Det underliggande problemet är svårt att sammanfatta utan specialiserad bakgrund, men resultatet är entydigt. SQIsign producerar det minsta kombinerade fotavtrycket för publik nyckel och signatur av alla kandidater i hela tävlingen. En kategori 1-signatur är 148 byte, tillräckligt liten för att passa inuti en enda Ethernet-ram. 

För organisationer som väger isogenibaserad kryptografi mot det försiktiga fallet SIKE, den isogenibaserade KEM som hölls under övervägande genom fyra NIST-rundor innan den bröts under en enda helg 2022, är SQIsign strukturellt annorlunda. Den exponerar inte den hjälptorsionspunktsinformation som SIDH-liknande attacker utnyttjade. Den tillhör samma breda matematiska familj men använder en annan konstruktion. 

Mellan omgångarna genomgick SQIsign en betydande arkitekturförändring, då man gick från den ursprungliga KLPT-baserade sökvägsalgoritmen till en baserad på högre dimensionella isogenier. Resultatet blev ungefär en 20-faldig förbättring av signeringshastigheten och en 6-faldig förbättring av verifieringen. NIST avancerade SQIsign för dess kompakthet och växande mognad, samtidigt som man noterade att fullständig konstanttidssignering fortfarande är ett öppet problem som är värt att lösa för sidokanalskydd. 

UOV: Den länge etablerade multivariata baslinjen 

UOV är det ursprungliga multivariata signaturschemat, daterat till 1990-talet, och det har studerats i nästan trettio år. Dess signaturegenskaper är fortfarande exceptionella: 96 byte per signatur i kategori 1, med verifiering i tiotusentals CPU-cykler. Avvägningen är en offentlig nyckel som överstiger 200 kilobyte, vilket gör UOV olämpligt som en generell ersättning för RSA eller ECDSA. Det är dock väl lämpat för scenarier där en enda offentlig nyckel provisioneras en gång och verifierar många kompakta signaturer, såsom firmwareuppdateringar och kodsignering för inbyggda enheter. 

Matematiskt använder UOV ett strukturerat system av kvadratiska polynom som försvinner på ett hemligt delrum. Hemlighetsinnehavaren kan beräkna preimages effektivt med hjälp av ett litet linjärt system och en affin projektion; alla andra kan inte. 

Rund två introducerade nya attacker. En kilattack med externa produkter exponerade det dolda hemliga delrummet i tre av fyra föreslagna parameteruppsättningar, med säkerhetsreduktioner som varierade från några få bitar i kategori 1 till ungefär 20 bitar i kategori 5. En uppföljningsattack som utnyttjade småfältsegenskaper pressade samma parameteruppsättningar under deras målsäkerhetsstyrkor.

NIST avancerade UOV med hänvisning till sin långa erfarenhet, förekomsten av parameteruppsättningar som inte påverkas och mångfaldsvärdet av att bevara ett klassiskt multivariat alternativ i portföljen. Teamet uppmuntras att utvärdera parametrar med udda karaktäristik, samma rekommendation som NIST ger för flera multivariata kandidater. 

Vad som inte kom med, och varför 

Fem kandidater från den andra omgången uteslöts. Resonemanget är värt att förstå eftersom det visar vad NIST faktiskt optimerar för. 

• CROSS (kodbaserad, begränsad syndromavkodning) hade en prestandaprofil i närheten av SPHINCS+ men med ett mindre moget underliggande hårdhetsantagande, och attackerna i den andra omgången tvingade fram parameteruppdateringar. Prestandafördelen var inte tillräcklig för att motivera säkerhetsavvägningen. 
• LESS (kodbaserad, linjär kodekvivalens) erbjöd de minsta signaturerna bland kodbaserade scheman, men med enorma publika nycklar och långsam signering och verifiering. En attack i andra omgången minskade betongens komplexitet med 12 bitar vid kategori 1 och 24 bitar vid kategori 5. Siffrorna slutade fungera. 
• Mirath (MPCitH, MinRank, bildat genom sammanslagningen av MIRA och MiRitH) redovisade upp till 10 gånger högre prestanda i den andra omgången men blev utpressade från ett trångt MPCitH-fält. NIST behöll kandidaterna med antingen starkare säkerhet (FAEST) eller starkare prestanda (MQOM). 
• PERK (MPCitH, Permuted Kernel) producerade signaturer ungefär 10 procent mindre än FAEST men var betydligt långsammare. NIST framställde detta som en prestandaavvägning, inte en röst mot själva Permuted Kernel-problemet. 
• RYDE (MPCitH, Rank Syndrome Decoding) landade i intervallet 3 till 3.5 kilobyte i kategori 1, liknande MQOM och Mirath, men genomgående långsammare än MQOM. NIST-konsoliderat. 

Varför NIST överhuvudtaget anordnar den här tävlingen 

Ta ett steg tillbaka från kandidatlistan så blir bilden tydligare. NIST gör detta av två praktiska skäl.

• Matematisk mångfald: Två av de tre nuvarande signaturstandarderna vilar på antaganden om strukturerat gitter. Historien har varit ovänlig mot antaganden om överdriven självsäkerhet. Rainbow, ett multivariat schema, tog sig till den tredje omgången av den ursprungliga NIST-processen och bröts 2022. SIKE, en isogenibaserad KEM som NIST höll under övervägande genom fyra utvärderingsomgångar, bröts under en helg samma år. Att lägga för mycket vikt på en enskild problemfamilj är den typen av misstag man bara får göra en gång. 
• Signaturstorlek och hastighet: Distributionsytan för signaturer är enorm och varierad. TLS, SSH, IKE, IPsec, OCSP, DNSSEC, certifikattransparens, dokumentsignering, kodsignering, firmwareuppdateringar. Var och en har sin egen bandbredd och tidsbudget, och flera av dessa budgetar passar helt enkelt inte bekvämt in i dagens gitterbaserade och hashbaserade signaturer. NIST efterfrågade scheman som kunde det.

Du kan se svaret i siffrorna. SQIsign vid 148 byte får plats i en enda Ethernet-ram. UOV vid 96 byte verifieras i tiotusentals cykler. HAWK vid 555 byte är mindre än något standardiserat hittills. Detta är inte teoretiska fördelar; de mappas till verkliga implementeringar som den nuvarande portföljen kämpar med. 

Vad detta innebär för din PQC-migrering 

Om du kör ett postkvantprogram just nu, förändrar inte nyheterna från NIST din omedelbara plan. De klargör den. 

Migreringsmålet idag är fortfarande ML-DSA, SLH-DSA och den kommande FN-DSA. Kandidaterna i den tredje omgången är inte slutgiltiga och kommer inte att bli det inom en snar framtid. NIST har precis öppnat för offentliga kommentarer om de nio överlevande, kommer att acceptera uppdaterade inlämningspaket senast den 14 augusti 2026 och planerar ytterligare en standardiseringskonferens under första halvan av 2027. Standardiseringsbeslut följer den konferensen och ytterligare en omgång kryptanalys. Att behandla något av de nio som ett kortsiktigt distributionsmål skulle vara ett planeringsmisstag. 

Det som tillkännagivandet förändrar är hur man bör tänka kring kryptoagilitet. När standardiseringsorganet som publicerar era standarder aktivt söker alternativ till samma standarder, är slutsatsen tydlig: bygg upp förmågan att ändra algoritmer utan att omstrukturera systemen runt dem. De organisationer som kommer ut ur denna övergång renast kommer att vara de som behandlade algoritmval som en konfigurationsfråga, inte en grundläggande fråga. 

Och om din miljö inkluderar begränsade enheter, satellitlänkar, OT-nätverk, IoT-flottor, DNSSEC eller kodsignering för inbäddad firmware, har du ett direkt intresse i vad som händer härnäst. Var uppmärksam på SQIsign, HAWK och de multivariata kandidaterna. Harvest-now-decrypt-later får det mesta av sändningstiden i PQC-konversationer, men dess signaturkusin, trust-now-forge-later, gäller allt som signeras idag och som behöver förbli tillförlitligt i årtionden. Långlivade signerade artefakter är i tysthet ett av de mest kritiska problemen inom detta område.

Var krypteringskonsulting passar in 

En riktig PQC-migrering är ett flerårigt program, och arbetet är bredare än att bara byta algoritmer. Det går igenom lager, styrning, arkitektur, leverantörshantering och de ingenjörsteam som faktiskt berör produktionssystemen. Våra PQC-rådgivningstjänster är byggda kring den helhetsbilden.

Vi börjar med kryptografisk identifiering och inventering av certifikat, nycklar, algoritmer, bibliotek och protokoll, oavsett var de finns: lokalt, i molnet, hybrid eller SaaS. Motorn bakom detta är CBOM Secure , vår plattform för kryptografiska materiallistor, som ger dig kontinuerlig, maskinläsbar insyn i källkod, binärfiler, runtime-miljöer, TLS-slutpunkter, moln-KMS, HSM:er och IoT.

Därifrån kör vi en kvanthotbedömning och beredskapsgapsanalys som klassificerar tillgångar efter känslighet och livslängd, poängsätter kvantsårbarhet och avslöjar policyluckor mot NIST-riktlinjer. Resultatet ger en PQC-strategi och migreringsfärdplan i linje med FIPS 203, 204, 205 och den kommande 206, med prioritering kopplad till din faktiska affärsrisk snarare än en generisk tidslinje. 

Den viktigaste investeringen vi hjälper kunder att göra, särskilt med tanke på NIST:s ständigt föränderliga portfölj, är ramverksdesign för kryptoagilitet. Algoritmändringar bör ske genom konfiguration, inte omkonstruering. Det enda designbeslutet är det som skyddar dig från att göra denna migrering två gånger. 

På PKI-sidan är PKIaaS vår helt hanterade, PQC-klara PKI. Den utfärdar hybrid- och rent kvantsäkra certifikat (inklusive ML-DSA), tillämpar algoritmpolicy centralt och körs på en FIPS 140-3 Level-3 HSM-baserad rot-CA. För kodsignering centraliserar CodeSign Secure signeringsåtgärder med hybrid- och PQC-klara stöd, policydrivna godkännanden och HSM-baserad nyckelskydd, utan att tvinga fram ändringar i dina CI/CD-pipelines.

Runt allt detta hanterar vi leverantörsutvärdering och koncepttest, hybrid PQC-implementering över PKI och applikationer samt molnarbetsbelastningar, styrning och policyanpassning för NIST-vägledning, CNSA 2.0, EU:s och Storbritanniens tidslinjer och sektorspecifika tillsynsmyndigheter, samt den utbildning och de löpböcker som era interna team behöver för att upprätthålla programmet efter att vi har tagit ett steg tillbaka. 

Är du osäker på var din organisation står? Börja med ett 30-minuters samtal för att göra en utvärdering där vi utvärderar din specifika miljö mot NIST:s nuvarande och framväxande standarder, utan åtagande att engagera oss ytterligare. Detta är särskilt värt att göra om din miljö inkluderar OT-nätverk, IoT-flottor, DNSSEC, satellitlänkar eller långlivad signerad firmware. Maila [email protected] eller boka en demo direkt för att komma igång.

Slutsats 

Att nio kandidater med signaturkunskaper går vidare till den tredje omgången är inte en procedurmässig fotnot. Det är en signal. Postkvantfältet är fortfarande i rörelse. Ingen enskild matematisk familj kommer att tillåtas bära hela tyngden av digitalt förtroende. Och hur en algoritm presterar i den verkliga världen spelar lika stor roll som hur säker den ser ut på pappret. 

De kommande två årens kryptanalys och ingenjörskonst kommer att avgöra vilka av FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign och UOV som är redo för produktion. 

För alla andra är handboken enkel. Migrera till dagens standarder inom de tidsramar som tillsynsmyndigheterna redan har satt. Bygg den kryptoagilitet som låter dig anta morgondagens standarder utan att börja om. Och vänta inte på att dammet ska lägga sig innan du påbörjar inventering och styrningsarbete, för det arbetet är den delen som tar längst tid, oavsett vilka algoritmer som hamnar överst.