Keamanan Kuantum: Tenggat Kriptografi Pasca-Kuantum dan Vendor Anda
CyberRank Research
Bagian dari: Asesmen Kriptografi Pasca-Kuantum
Keamanan kuantum adalah upaya melindungi data dan sistem dari komputer kuantum masa depan yang dapat memecahkan enkripsi kunci publik saat ini, terutama dengan beralih ke kriptografi pasca-kuantum (PQC). NIST akan menghentikan RSA dan kriptografi kurva eliptik setelah 2030 dan melarangnya setelah 2035. CyberRank (Beta) menunjukkan vendor mana yang layanan TLS dan SSH publiknya masih rentan kuantum.
Intisari
- Komputer kuantum yang mampu memecahkan RSA belum ada, tetapi lalu lintas terenkripsi yang direkam hari ini dapat didekripsi nanti.
- NIST menghentikan algoritma kunci publik yang rentan kuantum setelah 2030 dan melarangnya setelah 2035; AES dan SHA-2/SHA-3 tetap disetujui.
- Standar penggantinya sudah final: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) dan FIPS 205 (SLH-DSA).
- Paparan Anda mencakup vendor: pemasok yang masih memakai pertukaran kunci klasik saja menempatkan data Anda dalam risiko.
- Pemeriksaan paparan kripto kuantum CyberRank (Beta) menilai TLS dan SSH setiap vendor sebagai belum, sebagian atau sudah aman kuantum.
Apa itu keamanan kuantum?
Keamanan kuantum mencakup risiko yang ditimbulkan komputer kuantum besar terhadap kriptografi, serta kontrol untuk menguranginya.
Komputer kuantum yang cukup besar dan menjalankan algoritma Shor akan memecahkan kriptografi kunci publik di balik TLS, SSH, VPN, code signing dan sertifikat. Enkripsi simetris jauh lebih sedikit terdampak. Solusinya adalah migrasi ke algoritma baru, bukan kategori produk baru.
Bagaimana CyberRank membantu: istilah-istilah ini terkait dengan sinyal yang dapat diamati pada layanan publik vendor, titik awal penilaian outside-in CyberRank atas permukaan serangan.
| Istilah | Artinya | Bagaimana CyberRank membantu |
|---|---|---|
| Komputer kuantum yang relevan secara kriptografis (CRQC) | ArtinyaKomputer kuantum yang cukup besar untuk benar-benar memecahkan RSA atau kriptografi kurva eliptik | Bagaimana CyberRank membantuBukan hal yang diukur CyberRank; CyberRank mengukur kesiapan vendor Anda menghadapinya |
| Kriptografi pasca-kuantum (PQC) | ArtinyaAlgoritma klasik yang dirancang tahan serangan kuantum, seperti ML-KEM dan ML-DSA | Bagaimana CyberRank membantuMendeteksi pertukaran kunci PQC pada layanan TLS dan SSH publik vendor (Beta) |
| Pertukaran kunci hibrida | ArtinyaGabungan algoritma klasik dan pasca-kuantum, misalnya X25519 dengan ML-KEM-768 | Bagaimana CyberRank membantuMenghitung grup hibrida sebagai pertukaran kunci aman kuantum untuk layanan tersebut (Beta) |
| Distribusi kunci kuantum (QKD) | ArtinyaPertukaran kunci melalui kanal berbasis fisika; tidak sama dengan PQC | Bagaimana CyberRank membantuTidak dicakup |
| Crypto-agility | ArtinyaKemampuan mengganti algoritma tanpa merancang ulang sistem | Bagaimana CyberRank membantuTerlihat secara tidak langsung: vendor yang sudah menawarkan grup hibrida menunjukkan kelincahan ini |
Mengapa harus bertindak sebelum komputer kuantum ada?
Urgensinya berasal dari "harvest now, decrypt later" (HNDL): penyerang merekam lalu lintas terenkripsi hari ini dan menyimpannya sampai komputer kuantum dapat memecahkan pertukaran kuncinya.
Data yang harus tetap rahasia selama sepuluh tahun atau lebih, yang paparannya bertahun-tahun kemudian tetap terhitung sebagai kebocoran data, seperti rekam medis, data perbankan, kontrak dan informasi negara, sudah berisiko jika dikirim melalui pertukaran kunci klasik saja. Tidak ada yang bisa memastikan kapan CRQC akan ada, dan ketidakpastian itulah alasan badan standar menetapkan tanggal migrasi yang pasti alih-alih menunggu.
HNDL juga menjelaskan mengapa pertukaran kunci menjadi prioritas pertama. Tanda tangan palsu baru berarti setelah komputer kuantum ada; pertukaran kunci yang sudah direkam dapat dipecahkan belakangan. Sisi rantai pasoknya, yang dibahas rinci dalam artikel kami tentang contoh dan pencegahan serangan rantai pasok, adalah bahwa sebagian besar lalu lintas sensitif Anda melewati sistem vendor, bukan sistem Anda.
Bagaimana CyberRank membantu: CyberRank memeriksa pertukaran kunci secara terpisah dari tanda tangan sertifikat, sehingga Anda dapat melihat vendor mana yang sudah melindungi lalu lintas dari HNDL.
Apa saja tenggat pasca-kuantum?
NIST menghentikan algoritma kunci publik yang rentan kuantum setelah 2030 dan melarangnya setelah 2035; peta jalan UE meminta organisasi memulai paling lambat akhir 2026 dan melindungi kasus penggunaan berisiko tinggi paling lambat 2030.
Dokumen transisi NIST menjadi final pada 27 Oktober 2026. Dokumen ini menetapkan ML-KEM-768 sebagai parameter default untuk pertukaran kunci dan mengakomodasi pertukaran kunci hibrida selama masa transisi.
Bagaimana CyberRank membantu: tanggal-tanggal ini memberi Anda batas kebijakan untuk mengukur vendor, dan CyberRank menunjukkan posisi setiap vendor hari ini.
| Tanggal | Yang terjadi | Sumber | Bagaimana CyberRank membantu |
|---|---|---|---|
| 13 Agu 2024 | Yang terjadiFIPS 203 (ML-KEM), FIPS 204 (ML-DSA) dan FIPS 205 (SLH-DSA) diterbitkan sebagai standar final | SumberNIST FIPS 203 | Bagaimana CyberRank membantuMengenali keluarga algoritma ini pada layanan publik vendor (Beta) |
| Akhir 2026 | Yang terjadiNegara anggota UE dan organisasi mulai merencanakan transisi PQC dan menyusun inventaris | SumberPeta jalan PQC UE | Bagaimana CyberRank membantuMemberi inventaris outside-in pertama atas kriptografi vendor yang terekspos |
| 2030 | Yang terjadiNIST menghentikan algoritma kunci publik yang rentan kuantum (RSA, ECDSA, EdDSA, DH, ECDH); peta jalan UE menargetkan kasus penggunaan berisiko tinggi | SumberNIST IR 8547 | Bagaimana CyberRank membantuMenunjukkan vendor mana yang masih memakai kriptografi klasik saja pada saat itu |
| 31 Des 2030 / 2031 | Yang terjadiSistem bernilai tinggi pemerintah federal AS: pertukaran kunci PQC paling lambat akhir 2030, tanda tangan paling lambat akhir 2031 | SumberNIST IR 8547 dan panduan federal AS | Bagaimana CyberRank membantuBerguna untuk vendor yang juga melayani pelanggan pemerintah AS |
| 2035 | Yang terjadiNIST melarang algoritma kunci publik yang rentan kuantum | SumberNIST IR 8547 | Bagaimana CyberRank membantuMelacak kemajuan setiap vendor dari waktu ke waktu |
Apa yang rentan kuantum dan apa yang tidak?
Pertukaran kunci dan tanda tangan kunci publik (RSA, DH, ECDH, ECDSA, EdDSA) dipecahkan oleh komputer kuantum besar; AES simetris dan SHA-2/SHA-3 hanya melemah dan tetap disetujui.
Intinya: "aman kuantum" berkaitan dengan kriptografi kunci publik. Vendor yang mengenkripsi penyimpanan dengan AES-256 tetap dapat mengekspos data Anda melalui handshake TLS yang hanya memakai kriptografi klasik.
Bagaimana CyberRank membantu: CyberRank memisahkan temuan yang akan dipecahkan komputer kuantum dari temuan yang hanya akan dilemahkan, sehingga Anda memperbaiki yang terpecahkan lebih dulu.
| Algoritma atau keluarga | Penggunaan umum | Dampak kuantum | Status setelah transisi NIST | Bagaimana CyberRank membantu |
|---|---|---|---|---|
| RSA, DH, ECDH (termasuk X25519) | Penggunaan umumPertukaran kunci TLS dan SSH | Dampak kuantumDipecahkan algoritma Shor | Status setelah transisi NISTDihentikan setelah 2030, dilarang setelah 2035 | Bagaimana CyberRank membantuMenandai pertukaran kunci klasik saja (Beta) |
| Tanda tangan RSA, ECDSA, EdDSA | Penggunaan umumSertifikat, code signing | Dampak kuantumDipecahkan algoritma Shor | Status setelah transisi NISTTanggal yang sama | Bagaimana CyberRank membantuMenandai tanda tangan sertifikat yang rentan kuantum (Beta) |
| AES-128, AES-256 | Penggunaan umumEnkripsi data massal | Dampak kuantumMelemah (Grover), tidak terpecahkan | Status setelah transisi NISTDisetujui; AES-256 memberi margin terbesar | Bagaimana CyberRank membantuTemuan cipher lemah muncul di rating biasa |
| SHA-2, SHA-3 | Penggunaan umumHashing, integritas | Dampak kuantumMelemah, tidak terpecahkan | Status setelah transisi NISTDisetujui | Bagaimana CyberRank membantuBukan temuan kuantum |
| ML-KEM (FIPS 203) | Penggunaan umumPertukaran kunci | Dampak kuantumDirancang tahan kuantum | Status setelah transisi NISTDisetujui | Bagaimana CyberRank membantuTerdeteksi pada TLS dan SSH (Beta) |
| ML-DSA, SLH-DSA (FIPS 204, 205) | Penggunaan umumTanda tangan | Dampak kuantumDirancang tahan kuantum | Status setelah transisi NISTDisetujui | Bagaimana CyberRank membantuTerdeteksi pada sertifikat bila digunakan (Beta) |
Mengapa keamanan kuantum termasuk risiko pihak ketiga?
Anda bisa memigrasikan sistem sendiri dan tetap terekspos, karena data Anda juga melewati kriptografi vendor.
Data penggajian, berkas pelanggan dan lalu lintas API melewati penyedia SaaS, pemroses pembayaran, penyedia layanan terkelola dan pemasok mereka. Setiap koneksi memiliki pertukaran kunci sendiri yang dipilih vendor. Karena itu kesiapan kuantum adalah pertanyaan standar dalam manajemen risiko pihak ketiga: vendor mana yang menangani data dengan masa kerahasiaan panjang, dan kriptografi apa yang mereka pakai untuk mengirimkannya?
Regulator bergerak ke arah yang sama. Entitas keuangan UE sudah memperlakukan kriptografi sebagai bagian dari risiko TIK di bawah DORA, dan NIS2 mencantumkan kriptografi dan enkripsi di antara langkah keamanan siber yang diwajibkan, seperti dijelaskan rinci di halaman rantai pasok NIS2 dan DORA kami.
Bagaimana CyberRank membantu: sinyal kripto kuantum berada di profil vendor yang sama dengan security rating, kerentanan, keamanan email dan kebocoran data, sehingga ditinjau bersama risiko vendor lainnya.
Bagaimana menilai kesiapan kuantum vendor?
Urutkan vendor berdasarkan berapa lama datanya harus dirahasiakan, periksa apa yang diekspos layanan publik mereka, lalu jadikan celahnya butir kuesioner, tanggal kontrak dan pemeriksaan berkelanjutan.
Langkah 1, 4 dan 5 adalah proses Anda; langkah 2, 3 dan 6 dapat diotomatiskan. Untuk alur kerja penemuan yang lebih mendalam, lihat panduan kami tentang penemuan paparan kuantum dan AI.
Bagaimana CyberRank membantu: CyberRank mengotomatiskan langkah outside-in di seluruh daftar vendor Anda dan terus memeriksa ulang vendor yang dipantau.
- Urutkan vendor berdasarkan masa hidup data. Mulailah dengan vendor yang memproses data yang harus tetap rahasia setelah 2030: data kesehatan, keuangan, identitas, hukum dan pemerintahan.
- Periksa apa yang mereka ekspos secara publik. Lihat pertukaran kunci dan tanda tangan sertifikat pada situs web, API, VPN dan endpoint SSH vendor. Ini tidak memerlukan kerja sama vendor, prinsip yang sama dengan sensor keamanan eksternal.
- Cari pertukaran kunci hibrida. Vendor yang menawarkan grup hibrida seperti X25519MLKEM768 sudah memulai migrasi untuk layanan tersebut. Pertukaran kunci klasik saja berarti belum.
- Minta peta jalannya. Tambahkan tiga pertanyaan ke kuesioner Anda: apakah vendor memiliki inventaris kriptografi, kapan pertukaran kunci pada layanan yang membawa data Anda akan aman kuantum, dan bagaimana tanda tangan serta sertifikat akan menyusul?
- Tuangkan dalam kontrak. Untuk vendor kritis, tambahkan klausul yang mewajibkan pertukaran kunci PQC pada layanan yang membawa data Anda paling lambat tanggal yang disepakati, selaras dengan batas 2030.
- Periksa ulang dari waktu ke waktu. Kesiapan berubah ketika vendor memperbarui server dan pustaka, sehingga satu kali pemeriksaan cepat usang; inilah alasan pemantauan berkelanjutan.
Bagaimana CyberRank menunjukkan paparan kripto kuantum?
Pemeriksaan paparan kripto kuantum CyberRank masih Beta. Untuk setiap vendor, CyberRank melihat layanan TLS dan SSH publik yang ditemukan selama penilaian outside-in dan memberi salah satu dari tiga postur.
Dukungan pasca-kuantum yang terdeteksi menurunkan kontribusi risiko dari temuan kuantum; temuan dasarnya tidak dihapus, sehingga jejak buktinya tetap ada. Daftar algoritma dan grup yang dikenali ditinjau dan diperbarui secara berkala. Untuk penilaian khusus atas organisasi Anda sendiri, lihat penilaian kriptografi pasca-kuantum.
Bagaimana CyberRank membantu: Anda mendapat postur per vendor tanpa mengirim satu kuesioner pun (Anda bisa mencoba tampilan outside-in dengan alat security rating gratis), lalu dapat menanyai vendor yang penting.
| Postur | Artinya | Langkah berikutnya | Bagaimana CyberRank membantu |
|---|---|---|---|
| Belum aman kuantum | ArtinyaSetiap layanan yang diamati hanya memakai pertukaran kunci dan tanda tangan yang rentan kuantum | Langkah berikutnyaMinta peta jalan PQC; prioritaskan jika vendor menangani data berumur panjang | Bagaimana CyberRank membantuMencantumkan layanan dan algoritma yang terdampak |
| Sebagian aman kuantum | ArtinyaSebagian layanan, atau pertukaran kunci tetapi bukan tanda tangan, memakai algoritma pasca-kuantum atau hibrida | Langkah berikutnyaTanyakan kapan layanan dan sertifikat lainnya menyusul | Bagaimana CyberRank membantuMenunjukkan layanan mana yang sudah dan belum tercakup |
| Aman kuantum | ArtinyaLayanan yang diamati memakai pertukaran kunci pasca-kuantum atau hibrida, dan tanda tangan sudah tercakup | Langkah berikutnyaPeriksa ulang secara berkala | Bagaimana CyberRank membantuMenyimpan hasil di riwayat vendor |
Bagaimana perbandingannya dengan penyedia security rating lain?
Penyedia security rating outside-in lain, seperti SecurityScorecard, Bitsight dan UpGuard, juga menilai vendor dari sinyal publik, dan pengaturan enkripsi termasuk hal yang dilihat security rating. Apa yang diperiksa setiap penyedia untuk kesiapan pasca-kuantum berbeda dan berubah dari waktu ke waktu, jadi tanyakan kepada penyedia mana pun, termasuk CyberRank, layanan dan algoritma apa saja yang dicakup pemeriksaan kuantumnya.
Pemeriksaan CyberRank (Beta) melihat TLS dan SSH, memisahkan pertukaran kunci dari tanda tangan sertifikat, dan melaporkan postur per vendor. Seperti security rating mana pun, hasilnya menggambarkan apa yang diamati dari luar; ini bukan sertifikat aman kuantum.
Di mana CyberRank tidak membantu
CyberRank hanya melihat layanan yang menghadap internet. CyberRank tidak dapat menginventarisasi kriptografi internal vendor, basis data, cadangan, hardware security module atau pipeline code signing, dan tidak dapat memastikan rencana migrasi vendor. CyberRank tidak menguji apakah komputer kuantum dapat memecahkan kunci tertentu, tidak mencakup distribusi kunci kuantum, dan tidak menyertifikasi vendor sebagai aman kuantum untuk regulasi apa pun.
Postur "aman kuantum" hanya menggambarkan apa yang diamati pada TLS dan SSH publik pada hari pemeriksaan. Gunakan kuesioner, klausul kontrak dan tinjauan arsitektur Anda sendiri untuk semua yang berada di balik perimeter.
Kesimpulan
Keamanan kuantum telah beralih dari riset menjadi migrasi bertenggat. Pertukaran kunci didahulukan karena harvest-now-decrypt-later; tanda tangan menyusul; batas NIST 2030 dan 2035 menentukan lajunya. Migrasi Anda sendiri hanya separuh gambaran, karena data Anda juga melewati kriptografi vendor.
Mulailah dengan vendor yang menyimpan data berumur panjang, lihat apa yang diekspos layanan publik mereka, lalu jadikan celahnya butir kuesioner dan tanggal kontrak. Pemeriksaan paparan kripto kuantum CyberRank (Beta) memberi gambaran awal itu di seluruh daftar vendor Anda.
Referensi
- NIST, FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard (13 Agustus 2024)
- NIST, FIPS 204: Module-Lattice-Based Digital Signature Standard (13 Agustus 2024)
- NIST, FIPS 205: Stateless Hash-Based Digital Signature Standard (13 Agustus 2024)
- NIST, IR 8547: Transition to Post-Quantum Cryptography Standards (final, 27 Oktober 2026)
- Komisi Eropa dan NIS Cooperation Group, Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography
- Direktif NIS2, (EU) 2022/2555, Pasal 21(2)(h)
Jawaban singkat
Jawaban singkat dan langsung untuk pertanyaan yang muncul dari artikel ini.
- Jawaban singkatPenjelasan Harvest Now, Decrypt LaterApa itu harvest now, decrypt later, data apa yang berisiko hari ini, dan cara CyberRank menunjukkan vendor yang pertukaran kuncinya rentan kuantum.
- Jawaban singkatKesiapan Kuantum untuk Bank IndonesiaVendor bank mana yang perlu diperiksa dulu untuk kesiapan pasca-kuantum, apa yang ditanyakan ke penyedia pembayaran, dan postur TLS/SSH di CyberRank.
Pertanyaan terkait
Jawaban singkat yang menghubungkan artikel ini dengan panduan kami yang lain.
- Jawaban singkatPertanyaan AI dan Kuantum untuk VendorDelapan pertanyaan untuk kuesioner vendor tentang penggunaan AI dan kesiapan pasca-kuantum, dan cara CyberRank memeriksa paparan vendor (Beta).
- Jawaban singkatVendor Mana yang Harus Ditinjau Dulu?Cara mengurutkan tinjauan vendor menurut dampak, data, penggunaan AI, paparan kuantum, dan perangkat lunak, dengan tingkat dan heat map CyberRank.
- Jawaban singkatCara Menemukan Risiko Rantai Pasok TersembunyiTempat risiko rantai pasok bersembunyi: pembaruan perangkat lunak, pemasok vendor, model AI, dan kriptografi, serta cara CyberRank menampilkannya.
- Jawaban singkatTenggat Risiko Vendor AI dan Kuantum, 2026–2035Tanggal AI Act dan pasca-kuantum 2026–2035 dalam satu tabel, apa yang ditanyakan ke vendor sebelumnya, dan cara CyberRank melacak kesiapan vendor.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda