Post-Quantum Cryptography: Migrasi Kriptografi Sebelum RSA dan ECC Menjadi Risiko Besar
Post-Quantum Cryptography atau PQC menjadi topik penting karena komputer kuantum berpotensi melemahkan algoritma kriptografi asimetris yang banyak dipakai saat ini, terutama RSA dan ECC. Walaupun komputer kuantum skala besar yang mampu memecahkan kriptografi modern belum tersedia secara umum, risiko harvest now, decrypt later sudah relevan. Artinya, penyerang dapat mencuri data terenkripsi sekarang dan mencoba membukanya nanti ketika kemampuan kuantum sudah cukup.
NIST telah merilis standar utama PQC pada Agustus 2024, termasuk FIPS 203 untuk ML-KEM, FIPS 204 untuk ML-DSA, dan FIPS 205 untuk SLH-DSA. NIST juga menyatakan bahwa migrasi ke standar enkripsi post-kuantum perlu dimulai sekarang sebelum komputer kuantum mampu mengancam enkripsi yang digunakan saat ini.
Secara teknis, migrasi PQC bukan sekadar mengganti algoritma. Organisasi harus melakukan cryptographic inventory terlebih dahulu. Inventaris ini perlu mencatat di mana RSA, ECC, DH, ECDH, ECDSA, dan algoritma lain digunakan: TLS, VPN, SSH, email encryption, code signing, firmware signing, database encryption, API gateway, PKI internal, sertifikat perangkat IoT, dan sistem autentikasi.
Tantangan teknis terbesar adalah kompatibilitas dan performa. Algoritma PQC memiliki ukuran kunci, ukuran tanda tangan, dan karakteristik performa yang berbeda dari algoritma klasik. Ini dapat berdampak pada handshake TLS, ukuran sertifikat, perangkat dengan memori terbatas, sistem embedded, dan perangkat jaringan lama. Karena itu, banyak organisasi akan memakai pendekatan hybrid cryptography, yaitu menggabungkan algoritma klasik dan algoritma post-kuantum selama masa transisi.
Langkah teknis yang realistis adalah memulai dari sistem dengan masa hidup data panjang. Contohnya data kesehatan, data pertahanan, dokumen hukum, data keuangan jangka panjang, arsip strategis, dan komunikasi rahasia. Setelah itu, organisasi perlu memetakan sistem yang sulit diubah, seperti perangkat OT, IoT, HSM lama, aplikasi warisan, dan sistem vendor tertutup. Migrasi PQC harus masuk ke roadmap arsitektur keamanan, bukan hanya proyek kriptografi kecil.
