Post-Quantum Cryptography: Persiapan Keamanan Data Menghadapi Komputer Kuantum

Apa Itu Post-Quantum Cryptography?

Post-Quantum Cryptography adalah kumpulan algoritma keamanan yang dirancang agar tetap sulit dipecahkan oleh komputer klasik maupun komputer kuantum.

Teknologi ini digunakan untuk menggantikan atau melengkapi algoritma public-key yang banyak digunakan saat ini, seperti:

1. RSA.

2. Elliptic Curve Cryptography atau ECC.

3. Diffie-Hellman.

4. ECDSA.

Algoritma tersebut masih kuat terhadap serangan komputer biasa. Namun, komputer kuantum yang cukup besar berpotensi menyelesaikan masalah matematika yang menjadi dasar keamanannya dengan jauh lebih cepat.

Apakah Komputer Kuantum Sudah Bisa Membobol Enkripsi?

Belum ada kepastian kapan komputer kuantum yang benar-benar mampu membobol sistem kriptografi modern akan tersedia.

Perangkat seperti itu sering disebut sebagai Cryptographically Relevant Quantum Computer atau CRQC.

Walaupun waktunya belum dapat dipastikan, proses migrasi kriptografi membutuhkan waktu panjang karena menyangkut:

1. Aplikasi.

2. Server.

3. Perangkat jaringan.

4. Sertifikat digital.

5. API.

6. Sistem operasi.

7. Hardware keamanan.

8. Vendor pihak ketiga.

9. Sistem lama yang sulit diperbarui.

Karena itu, persiapan tidak sebaiknya menunggu sampai komputer kuantum tersebut benar-benar tersedia. NIST, CISA, dan NSA telah mendorong organisasi untuk mulai melakukan inventarisasi dan perencanaan migrasi.

Risiko Harvest Now, Decrypt Later

Salah satu ancaman yang perlu diperhatikan adalah konsep:

Harvest Now, Decrypt Later

Dalam skenario ini, penyerang mencuri atau merekam data terenkripsi saat ini.

Data tersebut mungkin belum dapat dibuka menggunakan teknologi sekarang. Namun, penyerang dapat menyimpannya dan mencoba melakukan dekripsi ketika komputer kuantum yang lebih kuat tersedia.

Risiko ini penting untuk data yang memiliki masa kerahasiaan panjang, seperti:

1. Data kesehatan.

2. Informasi keuangan.

3. Dokumen hukum.

4. Data pelanggan.

5. Kekayaan intelektual.

6. Informasi pemerintahan.

7. Rahasia bisnis.

8. Kredensial dan identitas digital.

Artinya, data yang dicuri hari ini masih dapat menimbulkan risiko beberapa tahun kemudian. CISA memasukkan ancaman tersebut sebagai salah satu alasan organisasi perlu mempercepat persiapan migrasi PQC.

Standar Post-Quantum Cryptography dari NIST

Pada Agustus 2024, NIST menerbitkan tiga standar utama Post-Quantum Cryptography yang siap digunakan.

1. ML-KEM

ML-KEM ditetapkan melalui:

FIPS 203

Algoritma ini digunakan untuk membentuk atau bertukar kunci enkripsi secara aman.

ML-KEM dikembangkan berdasarkan algoritma yang sebelumnya dikenal sebagai CRYSTALS-Kyber.

2. ML-DSA

ML-DSA ditetapkan melalui:

FIPS 204

Algoritma ini digunakan untuk tanda tangan digital, autentikasi, dan memastikan bahwa data tidak mengalami perubahan.

ML-DSA sebelumnya dikenal sebagai CRYSTALS-Dilithium.

3. SLH-DSA

SLH-DSA ditetapkan melalui:

FIPS 205

SLH-DSA merupakan algoritma tanda tangan digital berbasis hash. Algoritma ini menyediakan pendekatan alternatif apabila dibutuhkan keberagaman teknologi selain sistem berbasis lattice.

NIST memperkirakan ML-KEM, ML-DSA, dan SLH-DSA akan menjadi dasar bagi sebagian besar implementasi awal PQC.

Apakah AES Juga Harus Diganti?

Ancaman komputer kuantum paling besar ditujukan kepada kriptografi public-key seperti RSA dan ECC.

Algoritma simetris seperti AES tidak menghadapi jenis serangan yang sama. Namun, serangan kuantum menggunakan pendekatan seperti Grover dapat mengurangi kekuatan pencarian kunci secara teoritis.

Karena itu, AES dengan ukuran kunci yang lebih besar, seperti AES-256, tetap menjadi pilihan penting untuk perlindungan data jangka panjang. Dampak praktis serangan kuantum terhadap algoritma simetris juga bergantung pada kemampuan perangkat kuantum yang tersedia.

Post-Quantum Cryptography Bukan Quantum Cryptography

Kedua istilah tersebut memiliki arti berbeda.

Post-Quantum Cryptography menggunakan algoritma matematika yang dapat dijalankan pada komputer dan jaringan yang digunakan sekarang.

Sementara itu, quantum cryptography menggunakan prinsip fisika kuantum dan biasanya membutuhkan infrastruktur khusus.

PQC lebih mudah diadopsi secara bertahap karena dapat diterapkan melalui pembaruan software, protokol, library, perangkat, dan layanan keamanan yang sudah ada.

Mengapa Bisnis Perlu Mulai Bersiap?

Migrasi kriptografi bukan sekadar mengganti satu algoritma dalam aplikasi.

Sebuah perusahaan mungkin menggunakan RSA atau ECC pada:

1. Sertifikat SSL atau TLS.

2. VPN.

3. Sistem login.

4. Tanda tangan digital.

5. Email terenkripsi.

6. API.

7. Aplikasi mobile.

8. Penyimpanan backup.

9. Perangkat jaringan.

10. Integrasi antarserver.

Jika penggunaan kriptografi tidak diketahui secara lengkap, proses migrasi dapat melewatkan sistem penting.

NIST merekomendasikan organisasi membuat inventaris kriptografi untuk mengetahui di mana algoritma yang rentan digunakan pada hardware, software, layanan, dan protokol komunikasi.

Langkah Mempersiapkan Migrasi PQC

1. Buat Inventaris Kriptografi

Catat seluruh penggunaan kriptografi dalam organisasi, termasuk:

1. Algoritma yang digunakan.

2. Panjang kunci.

3. Sertifikat digital.

4. Library keamanan.

5. Sistem yang menggunakan RSA atau ECC.

6. Vendor penyedia layanan.

7. Data yang dilindungi.

8. Masa kerahasiaan data.

Inventaris membantu perusahaan menentukan sistem mana yang harus diprioritaskan.

2. Tentukan Data Paling Berisiko

Tidak semua data memiliki tingkat risiko yang sama.

Prioritaskan data yang:

1. Sangat sensitif.

2. Harus dirahasiakan dalam waktu lama.

3. Berkaitan dengan identitas pelanggan.

4. Menjadi bagian operasional penting.

5. Memiliki kewajiban hukum atau kepatuhan.

Semakin lama data harus tetap rahasia, semakin cepat persiapannya perlu dilakukan.

3. Tanyakan Kesiapan Vendor

Hubungi penyedia:

1. Cloud.

2. Hosting.

3. VPN.

4. Sertifikat SSL.

5. Database.

6. Perangkat jaringan.

7. Sistem pembayaran.

8. Aplikasi perusahaan.

Tanyakan apakah produk mereka telah mendukung standar PQC atau memiliki rencana pembaruan.

CISA mendorong organisasi memasukkan kesiapan PQC sebagai bagian dari evaluasi supply chain dan komunikasi dengan vendor teknologi.

4. Bangun Crypto Agility

Crypto agility adalah kemampuan sistem untuk mengganti algoritma, kunci, sertifikat, atau library keamanan tanpa harus membangun ulang seluruh aplikasi.

Hindari menulis algoritma secara langsung di banyak bagian source code.

Gunakan konfigurasi dan komponen terpusat agar proses migrasi lebih mudah dilakukan. NIST menempatkan crypto agility sebagai bagian penting dalam persiapan menghadapi perubahan standar kriptografi.

5. Lakukan Pengujian Bertahap

Jangan langsung mengganti seluruh sistem production.

Mulailah dari:

1. Lingkungan development.

2. Sistem internal.

3. Aplikasi dengan risiko rendah.

4. Komunikasi antarlayanan.

5. Sistem yang mudah dikembalikan.

Uji kompatibilitas, ukuran data, kecepatan, konsumsi memory, dan dukungan perangkat sebelum penerapan lebih luas.

6. Pertimbangkan Pendekatan Hybrid

Selama masa transisi, beberapa sistem dapat menggunakan kombinasi algoritma klasik dan algoritma post-quantum.

Pendekatan hybrid membantu mempertahankan kompatibilitas sambil menambahkan perlindungan PQC.

Namun, implementasinya harus mengikuti standar dan dukungan resmi dari library atau vendor. Jangan membuat skema kriptografi sendiri tanpa peninjauan ahli.

Tantangan Implementasi PQC

Penerapan Post-Quantum Cryptography memiliki beberapa tantangan.

Ukuran Kunci dan Tanda Tangan

Sebagian algoritma PQC memiliki ukuran kunci, ciphertext, atau tanda tangan yang lebih besar dibandingkan algoritma klasik.

Hal tersebut dapat memengaruhi:

1. Bandwidth.

2. Penyimpanan.

3. Performa aplikasi.

4. Perangkat dengan resource terbatas.

5. Protokol jaringan lama.

Kompatibilitas

Tidak semua aplikasi, browser, perangkat, dan layanan mendukung algoritma yang sama pada waktu bersamaan.

Karena itu, migrasi perlu dilakukan secara bertahap.

Sistem Lama

Legacy system mungkin menggunakan library lama yang sulit diperbarui.

Perusahaan perlu menentukan apakah sistem tersebut harus diperbarui, dibatasi, atau diganti.

Kurangnya Inventarisasi

Banyak perusahaan tidak mengetahui seluruh lokasi penggunaan sertifikat, kunci, dan algoritma kriptografi.

Masalah ini dapat menyebabkan bagian tertentu tertinggal selama proses migrasi.

Kapan Bisnis Harus Melakukan Migrasi?

NIST menyatakan organisasi dapat dan sebaiknya mulai menggunakan standar PQC yang telah selesai, terutama dalam perencanaan teknologi dan pembaruan sistem.

NIST juga menyiapkan masa transisi untuk mengurangi penggunaan algoritma yang rentan terhadap serangan kuantum. Dalam rancangan transisinya, algoritma tersebut ditargetkan untuk ditinggalkan dari standar NIST pada 2035, sementara sistem berisiko tinggi perlu beralih lebih awal.

Namun, bukan berarti semua aplikasi harus diubah dalam satu waktu.

Pendekatan yang lebih realistis adalah:

1. Mulai inventarisasi sekarang.

2. Prioritaskan data jangka panjang.

3. Periksa roadmap vendor.

4. Tingkatkan crypto agility.

5. Lakukan pengujian.

6. Migrasikan sistem secara bertahap.

Persiapan Keamanan Data Bersama Ovla Media

Ovla Media dapat membantu perusahaan mengevaluasi dan meningkatkan keamanan aplikasi melalui:

1. Audit arsitektur aplikasi.

2. Pemeriksaan penggunaan API dan sertifikat.

3. Pengembangan aplikasi yang crypto-agile.

4. Pembaruan library dan framework.

5. Pengamanan database dan backup.

6. Pengaturan role dan permission.

7. Implementasi logging dan audit trail.

8. Integrasi sistem keamanan.

9. Migrasi aplikasi lama.

10. Pengembangan aplikasi bisnis custom.

Penerapan PQC harus disesuaikan dengan sistem, risiko data, kesiapan vendor, dan standar keamanan yang digunakan perusahaan.

Kesimpulan

Post-Quantum Cryptography merupakan persiapan untuk menghadapi kemungkinan komputer kuantum mampu membobol algoritma public-key yang digunakan saat ini.

Bisnis tidak perlu panik atau langsung mengganti seluruh sistem. Namun, persiapan sebaiknya dimulai melalui:

1. Inventarisasi kriptografi.

2. Penilaian risiko data.

3. Evaluasi vendor.

4. Penerapan crypto agility.

5. Pengujian algoritma PQC.

6. Migrasi secara bertahap.

Standar ML-KEM, ML-DSA, dan SLH-DSA dari NIST telah menjadi fondasi awal transisi menuju sistem keamanan yang lebih tahan terhadap komputer kuantum.

Semakin lama data harus tetap rahasia, semakin penting bagi perusahaan untuk mulai mempersiapkan perlindungannya sejak sekarang.