I en tid då kvantdatorer inte längre är en avlägsen dröm, utan en snar framtid, har den amerikanska myndigheten National Institute of Standards and Technology (NIST) släppt nya standarder för post-kvantkryptografi: FIPS 203, 204 och 205. Dessa standarder adresserar de säkerhetsutmaningar som kvantdatorer medför och syftar till att skydda känslig information mot framtida kvantattacker. I det här blogginlägget kommer vi titta lite närmare på NIST:s nya standarder för post-kvantkryptografi och hur de kan hjälpa organisationer att förbereda sig inför en kvantsäker framtid.
Vi kan börja med att påminna oss själva om vad kryptografi egentligen innebär. I grunden bygger modern kryptografi på matematik. Genom att använda matematisk logik har kryptografer kunnat skapa algoritmer som innefattar specifika matematiska problem som är svåra att lösa. Ofta är det enkelt att utföra en operation framåt, men att återgå från dessa steg är mycket mer komplicerat. Dessa kryptografiska algoritmer utnyttjar komplexa matematiska problem för att effektivt skydda information från obehörig åtkomst. Genom att göra det svårt att återgå från krypterade data till klartext säkerställs det att endast behöriga parter kan avkryptera och använda informationen.
Så vad är postkvantkryptografi, och hur skiljer den sig från klassisk kryptografi? Postkvantkryptografi bygger på matematiska algoritmer som är extremt svåra för en klassisk dator att hantera. För att ge ett exempel: att knäcka en RSA-nyckel på 2048 bitar, vilket är en vanlig standard för många organisationer idag, skulle ta en klassisk dator en tid som motsvarar tio upphöjt till flera hundra år. Antalet är så stort att det nästan överstiger vad min miniräknare kan hantera. Det är en ofantligt lång tid. Å andra sidan hade en kvantdator kunnat knäcka algoritmen och krypteringen på bara några minuter. Användandet av kvantdatorer i detta syfte är vid skrivande stund mer teoretiskt än praktiskt. Men spaningen är att det kommer bli vår samtida verklighet inom kort.
Summerat så är postkvantkryptografier utformade på så sätt att de är säkra mot angrepp från klassiska- och kvantdatorer. Traditionella kryptografiska metoder och de algoritmer som dominerar idag, såsom RSA och ECC, kommer att bli sårbara när kvantdatorer blir tillräckligt kraftfulla. Därför är det nödvändigt att implementera nya metoder som kan stå emot den potentiellt enorma beräkningskraften som kvantdatorer kommer att besitta.
Nu kommer vi in på NIST:s nya standarder för postkvantkryptografierna som publicerades 13 augusti 2024.
Något som kan tilläggas är att särskilda symmetriska kryptografier såsom AES-256 inte behöver ersättas då algoritmen som används anses vara kvantsäker.
Så säkrar du din organisation enligt NIST:s rapport för ”Transition to Post-Quantum Cryptography Standards”
Vidare är det viktigt att testa och validera implementationerna. Detta innebär att säkerställa att systemen är kompatibla med de nya algoritmerna och att de fungerar utan att påverka prestandan negativt – en grundlig testfas minimerar risken för problem i skarp drift.
En annan viktig del i processen – något som personer inom säkerhet kontinuerligt pratar om – är att utbilda personalen och skapa medvetenhet i organisationen. It-teamen behöver förstå vilka algoritmer som bör användas och implementeras. Samtidigt är det viktigt att ledningen är medvetna om varför denna övergång är avgörande för långsiktig säkerhet. En välutbildad och engagerad organisation är nyckeln till ett framgångsrikt genomförande.
Slutligen är det viktigt att hålla sig uppdaterad om utvecklingen inom post-kvantkryptografi och dess tillämpning. Området är i snabb förändring, och nya standarder och algoritmer kan introduceras i framtiden. Att följa NIST:s riktlinjer och planera för framtida förbättringar är avgörande för att bibehålla säkerheten.