بسیاری از سازمان‌ها هنوز در مرحله شناسایی (Discovery) متوقف شده‌اند و حتی نمی‌دانند برای گذار به رمزنگاری پساکوانتومی (Post-Quantum Cryptography یا PQC) از کجا باید شروع کنند. با وجود افزایش فشار بر مدیران امنیت برای تدوین برنامه‌های انتقال، اکثر سازمان‌ها هنوز آمادگی لازم برای حتی «آماده شدن» برای این تغییر بزرگ را ندارند.
تحقیقات نشان می‌دهد که اگرچه مدیران ارشد امنیت (CISOs) موضوع PQC را یک اولویت می‌دانند، اما فقدان یک فهرست دقیق از دارایی‌های رمزنگاری (Cryptographic Inventory) مانع از ترسیم یک نقشه راه عملیاتی شده است. بدون داشتن دید کامل نسبت به پروتکل‌ها، گواهی‌ها (Certificates) و الگوریتم‌های مورد استفاده در سرورها، VPNها و محصولات تامین‌کنندگان، سازمان‌ها در واقع از خط شروع این رقابت عقب مانده‌اند.
تهدید «جمع‌آوری اکنون، رمزگشایی بعداً» (HNDL)
یکی از جدی‌ترین محرک‌های فوریت در این موضوع، استراتژی مهاجمان تحت عنوان «جمع‌آوری اکنون، رمزگشایی بعداً» (Harvest Now, Decrypt Later یا HNDL) است. در این سناریو، عاملان تهدید ترافیک رمزنگاری‌شده با ارزش بالا را ذخیره می‌کنند تا پس از دستیابی به یک کامپیوتر کوانتومی قدرتمند (CRQC)، آن‌ها را رمزگشایی کنند. این موضوع به ویژه برای داده‌هایی که باید برای دهه‌ها محرمانه بمانند (مانند اطلاعات سلامت، مالی یا مالکیت فکری)، یک ریسک فوری محسوب می‌شود.
بنابراین، حتی اگر رسیدن به «روز Q» (Q Day) — زمانی که کامپیوترهای کوانتومی قادر به شکستن رمزنگاری‌های فعلی مانند RSA و ECC خواهند بود — بین سال‌های ۲۰۳۰ تا ۲۰۴۰ تخمین زده شود، سازمان‌ها نباید منتظر رسیدن آن روز بمانند. فرآیند جایگزینی الگوریتم‌های قدیمی با استانداردهای جدید، فرآیندی پیچیده و چندین ساله است.
استانداردها و ابزارهای شناسایی
مؤسسه ملی استاندارد و فناوری (NIST) در سال ۲۰۲۴، سه استاندارد پساکوانتومی را نهایی کرد که شامل موارد زیر است:
- ML-KEM: برای تبادل کلید (Key Exchange).
- ML-DSA و SLH-DSA: برای امضاهای دیجیتال (Digital Signatures).
برای مقابله با این چالش، ایجاد یک «صورت‌نامه دارایی‌های رمزنگاری» (Cryptographic Bill of Materials یا CBOM) ضروری است. ابزارهایی مانند AC Scanner می‌توانند به سازمان‌ها کمک کنند تا سرویس‌های TLS و SSH خود را اسکن کرده و فهرستی از الگوریتم‌ها، کلیدها و پروتکل‌های در حال استفاده تهیه کنند. این شناسایی اولیه، اولین قدم برای اولویت‌بندی دارایی‌های حساس و اجرای یک برنامه مهاجرت مبتنی بر ریسک است.
