Quantum Computing berpotensi mengubah cara kita memandang keamanan digital. Sejumlah algoritma cryptography yang selama ini menjadi fondasi keamanan komunikasi, transaksi, dan identitas digital dapat menghadapi ancaman baru. Post-Quantum Cryptography (PQC) dikembangkan untuk menjawab tantangan tersebut. Namun, apa sebenarnya PQC, bagaimana cara kerjanya, dan mengapa organisasi perlu mulai mempersiapkannya sekarang?

Ketika Fondasi Cryptography Mulai Menghadapi Tantangan Baru

Hampir seluruh aktivitas digital modern bergantung pada cryptography. Mulai dari login ke aplikasi perbankan, transaksi online, komunikasi melalui email, koneksi ke layanan cloud, hingga pertukaran data antar-sistem.

Di balik proses tersebut, terdapat algoritma cryptography yang memastikan informasi hanya dapat diakses oleh pihak yang berwenang, identitas dapat diverifikasi, dan data tidak dimodifikasi tanpa izin.

Selama puluhan tahun, algoritma seperti RSA dan Elliptic Curve Cryptography (ECC) menjadi bagian penting dari infrastruktur keamanan digital. Keamanan keduanya bergantung pada persoalan matematika yang sangat sulit diselesaikan oleh komputer klasik dalam waktu yang praktis.

Namun, perkembangan Quantum Computing membawa kemungkinan baru.

Quantum Computer yang cukup kuat dan stabil berpotensi menjalankan algoritma tertentu, seperti Shor’s Algorithm, untuk menyelesaikan persoalan matematika yang menjadi dasar keamanan RSA dan ECC secara jauh lebih efisien dibandingkan komputer klasik.

Artinya, mekanisme cryptography yang selama ini dianggap aman dapat kehilangan perlindungannya apabila kemampuan Quantum Computing mencapai tingkat yang relevan untuk cryptanalysis.

Ancaman tersebut memang belum menjadi kemampuan praktis Quantum Computer saat ini. Waktu kemunculan Cryptographically Relevant Quantum Computer (CRQC), yaitu Quantum Computer yang mampu memecahkan algoritma cryptography tertentu dalam waktu yang relevan, juga belum dapat dipastikan.

Namun, organisasi tidak bisa hanya menunggu sampai teknologi tersebut benar-benar tersedia. Proses migrasi cryptography membutuhkan waktu, koordinasi, dan perubahan pada berbagai sistem yang saling terhubung.

Di sinilah Post-Quantum Cryptography mulai memainkan peran penting.

Apa Itu Post-Quantum Cryptography (PQC)?

Post-Quantum Cryptography (PQC) adalah kumpulan algoritma cryptography yang dirancang untuk melindungi informasi dari serangan menggunakan komputer klasik maupun Quantum Computer.

Berbeda dari pendekatan yang memanfaatkan fenomena fisika kuantum, PQC tetap menggunakan pendekatan matematika dan dijalankan pada perangkat komputasi konvensional.

Dengan kata lain, organisasi tidak perlu membeli atau mengoperasikan Quantum Computer untuk menggunakan PQC. Algoritma ini dirancang agar dapat diimplementasikan pada lingkungan komputasi yang sudah ada, meskipun penyesuaian pada software, hardware, protocol, dan infrastruktur mungkin tetap diperlukan.

Tujuan utama PQC bukan sekadar membuat encryption menjadi lebih kuat. PQC bertujuan mengganti atau memperbarui mekanisme public-key cryptography yang berpotensi rentan terhadap serangan Quantum Computer.

Hal ini penting karena cryptography memiliki beberapa fungsi berbeda. Ada algoritma yang digunakan untuk membangun shared secret antara dua pihak, sementara algoritma lainnya digunakan untuk memverifikasi identitas dan keaslian pesan melalui digital signature.

PQC harus mampu menyediakan perlindungan untuk kebutuhan-kebutuhan tersebut.

Mengapa PQC Menggunakan Pendekatan Matematika yang Berbeda?

Untuk memahami cara kerja PQC, kita perlu melihat terlebih dahulu dasar keamanan cryptography yang digunakan saat ini.

RSA, misalnya, mengandalkan kesulitan melakukan integer factorization, yaitu menemukan faktor prima dari bilangan yang sangat besar. ECC mengandalkan persoalan matematika pada elliptic curve, khususnya Elliptic Curve Discrete Logarithm Problem.

Kedua persoalan tersebut sangat sulit diselesaikan oleh komputer klasik ketika parameter cryptography yang digunakan cukup besar.

Masalahnya, Shor’s Algorithm memungkinkan Quantum Computer yang cukup kuat untuk menyelesaikan persoalan factorization dan discrete logarithm dengan pendekatan yang jauh lebih efisien.

PQC mengambil pendekatan berbeda. Algoritma-algoritmanya dibangun berdasarkan persoalan matematika lain yang hingga saat ini diyakini tetap sulit diselesaikan, baik oleh komputer klasik maupun Quantum Computer.

Beberapa pendekatan yang digunakan antara lain:

• Lattice-based cryptography: Menggunakan persoalan matematika yang berkaitan dengan struktur lattice atau kisi berdimensi tinggi.
• Hash-based cryptography: Mengandalkan karakteristik cryptographic hash function, terutama sifat satu arah dan ketahanannya terhadap berbagai jenis serangan.
• Code-based cryptography: Menggunakan persoalan matematika yang berkaitan dengan error-correcting codes.

Pendekatan tersebut bukan berarti telah terbukti mustahil dipecahkan. Keamanannya tetap bergantung pada penelitian, analisis cryptographic, parameter yang digunakan, dan evaluasi berkelanjutan oleh komunitas keamanan.

Namun, pendekatan-pendekatan tersebut memberikan fondasi alternatif yang tidak bergantung pada persoalan matematika yang sama dengan RSA dan ECC.

Bagaimana PQC Melindungi Komunikasi Digital?

PQC dirancang untuk mendukung fungsi cryptography yang sudah digunakan dalam sistem digital saat ini. Dua fungsi penting yang perlu dipahami adalah Key Establishment dan Digital Signature.

1. Key Establishment: Membangun Shared Secret dengan Aman

Ketika dua sistem ingin berkomunikasi secara aman, keduanya perlu memiliki shared secret yang dapat digunakan untuk membangun sesi komunikasi terenkripsi.

Dalam implementasi tradisional, proses ini dapat menggunakan mekanisme seperti RSA key exchange atau Elliptic Curve Diffie-Hellman (ECDH).

PQC menyediakan pendekatan alternatif melalui Key Encapsulation Mechanism (KEM).

Secara sederhana, KEM memungkinkan dua pihak membangun shared secret tanpa harus mengirimkan secret tersebut secara langsung melalui jaringan.

Prosesnya dapat digambarkan sebagai berikut:

1. Pihak penerima memiliki public key dan private key.
2. Pihak pengirim menggunakan public key penerima untuk melakukan encapsulation dan menghasilkan shared secret serta ciphertext.
3. Ciphertext dikirimkan kepada penerima.
4. Penerima menggunakan private key untuk melakukan decapsulation dan memperoleh shared secret yang sama.
5. Shared secret tersebut kemudian dapat digunakan untuk membangun sesi komunikasi terenkripsi.

Penting untuk dipahami bahwa KEM bukan pengganti langsung AES atau algoritma symmetric encryption lainnya.

KEM digunakan untuk membangun shared secret. Setelah itu, shared secret dapat digunakan sebagai bagian dari proses pembentukan encryption key untuk melindungi komunikasi menggunakan symmetric cryptography seperti AES.

Dengan demikian, PQC dan symmetric encryption dapat bekerja bersama dalam satu arsitektur keamanan.

2. Digital Signature: Memastikan Identitas dan Keaslian Data

Selain melindungi pertukaran secret, cryptography juga digunakan untuk memastikan identitas pengirim dan keaslian informasi.

Contohnya dapat ditemukan pada:

• Digital certificate dan Public Key Infrastructure (PKI).
• Code signing untuk memastikan software berasal dari penerbit yang sah.
• Digital document signing.
• Authentication dan verifikasi identitas.
• Validasi integritas pesan dan transaksi digital.

RSA dan ECDSA selama ini banyak digunakan untuk kebutuhan digital signature. Namun, keduanya termasuk algoritma public-key cryptography yang berpotensi terancam oleh kemampuan Quantum Computer melalui Shor’s Algorithm.

PQC menyediakan algoritma digital signature alternatif yang dirancang untuk menghadapi ancaman tersebut.

Dengan demikian, migrasi ke PQC bukan hanya berkaitan dengan encryption. Mekanisme authentication, certificate, software validation, dan digital trust juga perlu diperhatikan.

Standarisasi PQC: Dari Penelitian Menjadi Implementasi

Pengembangan PQC bukan sekadar eksperimen akademis. Berbagai organisasi dan komunitas cryptography telah melakukan penelitian dan evaluasi untuk menghasilkan algoritma yang dapat digunakan secara luas.

Salah satu inisiatif paling penting dilakukan oleh National Institute of Standards and Technology (NIST) di Amerika Serikat melalui Post-Quantum Cryptography Standardization Project.

Setelah melalui proses evaluasi dan kompetisi internasional selama beberapa tahun, NIST menerbitkan tiga standar utama PQC pada Agustus 2024.

Ketiga standar tersebut adalah:

Standar	Algoritma	Fungsi utama
FIPS 203	ML-KEM	Key Encapsulation Mechanism untuk membangun shared secret
FIPS 204	ML-DSA	Digital signature
FIPS 205	SLH-DSA	Digital signature berbasis hash

Ketiganya memiliki fungsi yang berbeda dan bukan algoritma yang dapat saling menggantikan.

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) menggunakan pendekatan lattice-based cryptography untuk membangun shared secret secara aman.

ML-DSA (Module-Lattice-Based Digital Signature Algorithm) juga menggunakan pendekatan lattice-based, tetapi dirancang untuk kebutuhan digital signature.

Sementara itu, SLH-DSA (Stateless Hash-Based Digital Signature Algorithm) menggunakan pendekatan hash-based cryptography sebagai alternatif untuk digital signature.

Penerbitan standar ini menjadi langkah penting karena memberikan spesifikasi yang dapat dijadikan acuan oleh vendor teknologi, pengembang software, dan organisasi yang mulai mempersiapkan migrasi.

NIST juga melanjutkan evaluasi algoritma alternatif untuk memperluas pilihan dan mendukung kebutuhan implementasi yang berbeda.

PQC Bukan Quantum Cryptography: Apa Perbedaannya?

Istilah Post-Quantum Cryptography dan Quantum Cryptography sering dianggap memiliki arti yang sama karena keduanya berkaitan dengan keamanan di era Quantum Computing.

Padahal, pendekatan keduanya berbeda.

Aspek	Post-Quantum Cryptography (PQC)	Quantum Cryptography
Prinsip dasar	Persoalan matematika yang dirancang tahan terhadap serangan klasik dan quantum	Memanfaatkan prinsip fisika kuantum
Teknologi utama	Algoritma cryptography baru	Teknologi berbasis quantum physics
Infrastruktur	Dapat dijalankan pada komputer konvensional	Memerlukan perangkat atau sistem khusus sesuai implementasinya
Tujuan	Melindungi cryptographic system dari ancaman Quantum Computer	Menggunakan fenomena kuantum untuk mendukung keamanan komunikasi
Contoh	ML-KEM, ML-DSA, SLH-DSA	Quantum Key Distribution (QKD)

Salah satu contoh Quantum Cryptography adalah Quantum Key Distribution (QKD), yaitu metode distribusi key yang memanfaatkan prinsip fisika kuantum untuk mendeteksi kemungkinan penyadapan pada proses pertukaran key.

Sementara itu, PQC tidak membutuhkan mekanisme fisika kuantum. Perlindungannya berasal dari algoritma matematika yang dirancang untuk tetap aman terhadap kemampuan komputer klasik dan Quantum Computer.

Keduanya memiliki pendekatan dan kebutuhan implementasi yang berbeda. Namun, untuk sebagian besar organisasi yang perlu mempersiapkan migrasi cryptographic system yang sudah digunakan saat ini, PQC menjadi salah satu fokus utama.

Apa Dampaknya bagi Organisasi?

Penerapan PQC bukan sekadar mengganti satu algoritma dengan algoritma baru. Perubahan ini dapat memengaruhi berbagai komponen teknologi yang bergantung pada public-key cryptography.

Beberapa area yang perlu diperhatikan antara lain:

1. Secure Communication

Protocol seperti TLS, VPN, dan SSH menggunakan cryptography untuk membangun koneksi yang aman. Implementasi PQC perlu mempertimbangkan kompatibilitas antara client, server, network infrastructure, dan perangkat keamanan.

2. Public Key Infrastructure (PKI)

PKI mengandalkan digital certificate dan digital signature untuk membangun kepercayaan antar-sistem. Migrasi PQC dapat memengaruhi certificate format, certificate authority, proses issuance, validation, dan lifecycle management.

3. Identity and Authentication

Mekanisme authentication yang menggunakan public-key cryptography perlu dievaluasi untuk memastikan algoritma dan certificate yang digunakan dapat mendukung kebutuhan keamanan di masa depan.

4. Data Protection dan Key Management

Organisasi perlu memahami bagaimana key dibentuk, disimpan, digunakan, didistribusikan, dan dikelola. Migrasi PQC juga perlu mempertimbangkan interaksi antara mekanisme key establishment baru dengan symmetric encryption dan sistem key management yang sudah berjalan.

5. Application dan Third-Party Dependencies

Aplikasi internal, software dari vendor, API, cloud services, dan library cryptography pihak ketiga mungkin menggunakan algoritma yang rentan tanpa diketahui oleh organisasi.

Karena itu, organisasi perlu mengetahui di mana cryptography digunakan sebelum menentukan strategi migrasi.

Tidak Perlu Menunggu Quantum Computer Hadir untuk Mulai Bersiap

Salah satu alasan organisasi perlu mulai mempersiapkan PQC adalah ancaman Harvest Now, Decrypt Later (HNDL).

Dalam skenario ini, penyerang mengumpulkan encrypted data saat ini dan menyimpannya untuk kemungkinan didekripsi di masa depan ketika Quantum Computer sudah memiliki kemampuan yang relevan.

Risiko ini terutama perlu diperhatikan untuk informasi yang tetap bernilai dalam jangka panjang, seperti data keuangan, informasi pribadi, intellectual property, data strategis, dan komunikasi rahasia.

Meskipun Quantum Computer belum mampu memecahkan cryptography modern secara praktis, data yang dicuri hari ini dapat tetap menjadi target di masa depan.

Selain itu, migrasi cryptography bukan proses yang dapat diselesaikan dalam waktu singkat. Organisasi perlu melakukan assessment, mengidentifikasi ketergantungan antar-sistem, mengevaluasi vendor, menguji kompatibilitas, dan merencanakan implementasi secara bertahap.

Karena itu, langkah awal yang dapat dilakukan organisasi bukan langsung mengganti seluruh algoritma, melainkan memahami kondisi cryptographic environment yang dimiliki.

Beberapa langkah awal yang dapat dipertimbangkan:

1. Build a Cryptographic Inventory: Identifikasi algoritma, protocol, certificate, key, aplikasi, hardware, dan layanan yang menggunakan cryptography.
2. Assess Cryptographic Risk: Prioritaskan sistem yang menggunakan algoritma public-key rentan, terutama yang melindungi data sensitif dengan masa kerahasiaan panjang.
3. Evaluate Vendor Readiness: Tanyakan kepada vendor mengenai dukungan PQC, rencana pembaruan produk, kompatibilitas, dan roadmap implementasi.
4. Plan a Migration Roadmap: Susun prioritas migrasi berdasarkan tingkat risiko, kompleksitas sistem, dan ketergantungan teknologi.
5. Develop Crypto-Agility: Pastikan arsitektur sistem dapat mendukung pembaruan atau penggantian algoritma cryptography tanpa harus melakukan perubahan besar pada seluruh aplikasi.

Pendekatan ini membantu organisasi mempersiapkan transisi secara terukur, bukan melakukan perubahan secara terburu-buru ketika tenggat atau kebutuhan migrasi sudah mendesak.

Kesimpulan: PQC Adalah Persiapan untuk Keamanan Digital Jangka Panjang

Post-Quantum Cryptography merupakan langkah penting dalam evolusi keamanan digital. Dengan menggunakan pendekatan matematika yang berbeda dari cryptography konvensional yang rentan terhadap Shor’s Algorithm, PQC dirancang untuk melindungi sistem dari ancaman komputer klasik maupun Quantum Computer.

Namun, adopsi PQC bukan hanya persoalan memilih algoritma baru. Organisasi perlu memahami bagaimana cryptography digunakan di seluruh lingkungan IT, sistem apa yang bergantung pada algoritma rentan, dan bagaimana perubahan tersebut dapat dilakukan tanpa mengganggu operasional bisnis.

Standar seperti ML-KEM, ML-DSA, dan SLH-DSA telah memberikan fondasi teknis untuk memulai transisi. Tantangan berikutnya adalah memastikan teknologi, proses, dan vendor yang digunakan organisasi siap mendukung perubahan tersebut.

Pertanyaannya bukan lagi apakah organisasi perlu memahami PQC, melainkan seberapa siap organisasi menghadapi proses migrasinya.

Key Takeaways

• PQC adalah algoritma cryptography yang dirancang untuk menghadapi serangan dari komputer klasik maupun Quantum Computer.
• PQC tidak membutuhkan Quantum Computer dan dapat dijalankan pada perangkat komputasi konvensional.
• PQC menggunakan pendekatan matematika alternatif, seperti lattice-based, hash-based, dan code-based cryptography.
• NIST telah menerbitkan tiga standar utama: ML-KEM untuk key establishment, serta ML-DSA dan SLH-DSA untuk digital signature.
• PQC berbeda dari Quantum Cryptography. Keduanya memiliki prinsip dan kebutuhan implementasi yang berbeda.
• Organisasi perlu memulai persiapan melalui cryptographic inventory, risk assessment, vendor evaluation, dan migration roadmap.

Persiapkan Organisasi Menghadapi Era Post-Quantum

Transisi menuju Post-Quantum Cryptography membutuhkan pemahaman menyeluruh terhadap penggunaan cryptography di lingkungan IT organisasi.

Sebagai penyedia solusi keamanan data, Dymar Jaya Indonesia membantu organisasi memahami kebutuhan perlindungan data dan infrastruktur cryptographic melalui pendekatan yang sesuai dengan kebutuhan bisnis dan teknologi.

Mulai evaluasi kesiapan cryptographic environment organisasi Anda dan susun langkah awal menuju keamanan digital yang lebih siap menghadapi era Post-Quantum.

FAQ: Pertanyaan Umum tentang Post-Quantum Cryptography

1. Apa yang dimaksud dengan Post-Quantum Cryptography (PQC)?

Post-Quantum Cryptography adalah kumpulan algoritma cryptography yang dirancang untuk melindungi informasi dari serangan komputer klasik maupun Quantum Computer. PQC menggunakan pendekatan matematika yang berbeda dari algoritma public-key cryptography konvensional seperti RSA dan ECC.

2. Apakah PQC membutuhkan Quantum Computer untuk digunakan?

Tidak. PQC dirancang untuk dijalankan pada komputer konvensional. Organisasi tidak perlu memiliki Quantum Computer untuk mengimplementasikan algoritma PQC.

3. Apakah PQC akan menggantikan seluruh algoritma cryptography yang digunakan saat ini?

Tidak seluruhnya. Fokus utama migrasi PQC adalah mengganti atau memperbarui mekanisme public-key cryptography yang rentan terhadap serangan quantum. Algoritma symmetric encryption seperti AES dan cryptographic hash function tetap memiliki peran penting dalam arsitektur keamanan.

4. Apa perbedaan PQC dan Quantum Cryptography?

PQC menggunakan algoritma matematika yang dirancang tahan terhadap serangan quantum, sedangkan Quantum Cryptography memanfaatkan prinsip fisika kuantum. Contoh Quantum Cryptography adalah Quantum Key Distribution (QKD).

5. Apa saja standar PQC yang telah diterbitkan NIST?

NIST menerbitkan tiga standar utama pada Agustus 2024, yaitu FIPS 203 (ML-KEM) untuk key encapsulation, FIPS 204 (ML-DSA) untuk digital signature, dan FIPS 205 (SLH-DSA) untuk digital signature berbasis hash.

6. Apakah organisasi harus segera mengganti seluruh sistem cryptography ke PQC?

Tidak harus dilakukan sekaligus. Organisasi sebaiknya memulai dengan cryptographic inventory, risk assessment, evaluasi kesiapan vendor, dan penyusunan migration roadmap. Implementasi dapat dilakukan secara bertahap berdasarkan risiko dan kompleksitas sistem.

7. Mengapa organisasi perlu mempersiapkan PQC sejak sekarang?

Migrasi cryptography membutuhkan waktu karena melibatkan aplikasi, infrastruktur, protocol, certificate, hardware, dan vendor. Selain itu, ancaman Harvest Now, Decrypt Later memungkinkan encrypted data yang dikumpulkan saat ini menjadi target di masa depan.