در ماه اوت ۲۰۲۴، مؤسسه ملی استاندارد و فناوری (NIST) سه استاندارد رمزنگاری پساکوانتوم (Post-Quantum Cryptography یا PQC) شامل FIPS 203، 204 و 205 را نهایی کرد. این استانداردها با هدف جایگزینی الگوریتم‌های RSA و ECC برای تبادل کلید و امضاهای دیجیتال طراحی شده‌اند.
خطر «اکنون ذخیره کن، بعداً رمزگشایی کن»
در حالی که تیم‌های امنیتی سازمان‌های بزرگ در حال رصد این تغییرات هستند، بسیاری از شرکت‌های کوچک و متوسط (SMB) و ارائه‌دهندگان SaaS از این موضوع غافل‌اند. یکی از حیاتی‌ترین ریسک‌ها، استراتژی Harvest Now, Decrypt Later است؛ در این روش، عوامل تهدید ترافیک رمزنگاری‌شده فعلی را ذخیره می‌کنند تا به محض دستیابی به توانمندی‌های محاسباتی کوانتومی در آینده، آن‌ها را رمزگشایی کنند. این موضوع به‌ویژه برای داده‌های حساس با طول عمر بالا (مانند داده‌های پزشکی تحت HIPAA) یک تهدید جدی است، زیرا رمزگشایی داده‌های سال ۲۰۲۶ در سال ۲۰۳۱ همچنان منجر به نقض قوانین و خسارات امنیتی خواهد شد.
زمان‌بندی مهاجرت و الزامات قانونی
فرآیند مهاجرت برای کسب‌وکارهای کوچک معمولاً زمان‌بر است؛ به‌طوری که تنها مرحله شناسایی و برنامه‌ریزی ممکن است ۳ تا ۴ سال و تکمیل کامل مهاجرت ۸ تا ۱۰ سال زمان ببرد. پیش‌بینی می‌شود مقررات مربوط به زیرساخت‌های حیاتی بین سال‌های ۲۰۲۶ تا ۲۰۲۸ و خدمات مالی بین ۲۰۲۸ تا ۲۰۳۲ اجرایی شوند.
نقشه راه عملی برای تیم‌های امنیتی
برای شروع، تیم‌های کوچک باید یک Cryptographic Inventory (سیاهه رمزنگاری) تهیه کنند تا تمامی نقاط استفاده از رمزنگاری نامتقارن (Asymmetric Encryption) در زیرساخت خود را شناس کنند. بسیاری از این موارد در کتابخانه‌ها یا تنظیمات پیش‌فرض ارائه‌دهندگان ابری نهفته‌اند، از جمله:
- الگوریتم‌های امضای JWT (مانند RS256 یا ES256)
- نوع گواهینامه‌های TLS
- پیکربندی‌های KMS و تنظیمات رمزنگاری S3
در نهایت، بررسی نقشه‌های راه (Roadmaps) تامین‌کنندگان ضروری است. در حال حاضر AWS، GCP و Azure نقشه‌های راه PQC خود را منتشر کرده‌اند و OpenSSL 3.x نیز از حالت Hybrid PQC در مود آزمایشی پشتیبانی می‌کند. خوشبختانه، بخش بزرگی از مسیر مهاجرت در لایه TLS می‌تواند تنها از طریق تغییر پیکربندی و بدون نیاز به تغییر در کد (Code Change) مدیریت شود.
