Kriptografi Pascakuantum: CRYSTALS-Kyber dan Dilithium

Kriptografi kunci publik saat ini—RSA, ECC, dan Diffie-Hellman—bergantung pada persoalan matematika yang tidak layak diselesaikan oleh komputer klasik secara komputasi. Keamanan RSA bergantung pada sulitnya memfaktorkan bilangan bulat besar; keamanan ECC bergantung pada persoalan logaritma diskret kurva eliptik. Komputer kuantum yang cukup kuat dan menjalankan algoritme Shor dapat menyelesaikan kedua persoalan tersebut dalam waktu polinomial, sehingga secara efektif mematahkan semua kriptografi kunci publik yang digunakan secara luas. Meskipun komputer kuantum semacam itu belum ada saat ini, ancamannya dianggap cukup serius sehingga NIST mulai menstandarkan alternatif tahan kuantum pada 2016.

Penyerang negara-bangsa mungkin mengumpulkan lalu lintas internet terenkripsi saat ini dengan tujuan mendekripsinya setelah komputer kuantum tersedia—strategi yang disebut 'kumpulkan sekarang, dekripsi nanti' atau SNDL (Simpan Sekarang, Dekripsi Nanti). Data yang sensitif dalam jangka panjang (rahasia pemerintah yang diklasifikasikan, catatan keuangan, data medis) memiliki risiko khusus karena mungkin masih sensitif ketika komputer kuantum tersedia. Inilah sebabnya organisasi didorong untuk bermigrasi ke kriptografi pascakuantum (PQC) sebelum komputer kuantum tersedia, bukan sesudahnya, karena peralihannya rumit dan memerlukan banyak waktu.

Penting untuk membedakan ancaman kuantum terhadap berbagai kelas algoritme. Algoritme Shor mematahkan kriptografi asimetris RSA dan ECC. Algoritme Grover memberikan percepatan kuadratik untuk pencarian, yang membagi dua panjang kunci efektif sandi simetris dan fungsi hash. Artinya, AES-128 hanya memberikan keamanan 64 bit terhadap penyerang kuantum—tidak memadai—sedangkan AES-256 mempertahankan keamanan pascakuantum 128 bit, yang dapat diterima. SHA-256 juga mengalami pengurangan tingkat keamanan sebesar setengah, tetapi SHA-256 masih memadai; SHA-384 dan SHA-512 direkomendasikan untuk keamanan jangka lebih panjang.

Pada 2016, NIST meluncurkan kompetisi untuk memilih algoritme kriptografi pascakuantum dan menerima 82 pengajuan. Setelah beberapa putaran evaluasi, NIST memfinalkan kumpulan standar PQC pertamanya pada 2024: FIPS 203 (ML-KEM, dari CRYSTALS-Kyber) untuk enkapsulasi kunci, FIPS 204 (ML-DSA, dari CRYSTALS-Dilithium) untuk tanda tangan digital, dan FIPS 205 (SLH-DSA, dari SPHINCS+) sebagai alternatif tanda tangan berbasis hash. Algoritme-algoritme ini tahan terhadap serangan dari komputer klasik maupun kuantum dan ditujukan untuk menggantikan RSA dan ECDSA dalam sistem PKI.

CRYSTALS-Kyber dan CRYSTALS-Dilithium sama-sama merupakan skema kriptografi berbasis kisi. Kisi adalah susunan titik yang teratur dalam ruang berdimensi tinggi. Persoalan sulit yang mendasari kedua algoritme tersebut adalah persoalan Learning With Errors (LWE): dengan diberikan sekumpulan persamaan linear yang ditambahkan galat acak kecil, temukan rahasia yang mendasarinya. Tidak ada algoritme kuantum yang diketahui dapat menyelesaikan LWE secara efisien. Varian Module-LWE (MLWE) yang digunakan dalam CRYSTALS memberikan keseimbangan yang baik antara tingkat keamanan dan ukuran kunci/sandi.

CRYSTALS-Kyber (sekarang ML-KEM) adalah Mekanisme Enkapsulasi Kunci (KEM)—mekanisme ini memungkinkan dua pihak membentuk rahasia bersama melalui saluran yang tidak aman, sebagai pengganti pertukaran kunci Diffie-Hellman dan RSA. Kyber menghasilkan pasangan kunci publik/pribadi; pengirim mengenkapsulasi kunci sesi acak menggunakan kunci publik penerima; penerima mendekapsulasinya menggunakan kunci pribadi. Kyber-768 (tingkat keamanan NIST 3, secara kasar setara dengan AES-192) memiliki kunci publik sekitar 1.184 bita dan sandi sekitar 1.088 bita—jauh lebih besar daripada kunci RSA-2048 sepanjang 256 bita.

CRYSTALS-Dilithium (sekarang ML-DSA) adalah algoritme tanda tangan digital yang menggantikan tanda tangan ECDSA dan RSA. Algoritme ini menghasilkan tanda tangan menggunakan matematika kisi, dan verifikasinya efisien. Dilithium3 (tingkat keamanan 3) menghasilkan tanda tangan sekitar 3.293 bita—jauh lebih besar daripada tanda tangan ECDSA sepanjang 64 bita. Peningkatan ukuran ini merupakan tantangan migrasi utama bagi sistem PKI yang menggunakan banyak sertifikat. Meskipun ukurannya besar, Dilithium dapat menandatangani dan memverifikasi dengan cepat pada perangkat keras standar serta tahan terhadap semua serangan kuantum yang diketahui.

SPHINCS+ (sekarang SLH-DSA) adalah skema tanda tangan berbasis hash tanpa status yang dipilih oleh NIST sebagai alternatif untuk Dilithium. Keamanannya hanya bergantung pada keamanan fungsi hash yang mendasarinya (SHA-256 atau SHAKE), sehingga sangat konservatif—jika matematika kisi entah bagaimana berhasil dipatahkan, SPHINCS+ tetap aman. Konsekuensinya adalah ukuran tanda tangan: tanda tangan SPHINCS+ berkisar antara 8KB hingga 50KB, bergantung pada kumpulan parameter, sehingga tidak cocok untuk sertifikat TLS, tetapi sangat baik untuk penandatanganan kode karena ukuran tanda tangan tidak terlalu penting.

Strategi migrasi yang direkomendasikan adalah kriptografi hibrida: menggabungkan algoritme klasik dengan algoritme pascakuantum, sehingga koneksi tetap aman selama salah satu algoritme belum berhasil dipatahkan. Misalnya, X25519 + Kyber-768 untuk pertukaran kunci berarti penyerang harus mematahkan ECDH dan Kyber sekaligus untuk mendekripsi lalu lintas. Strategi ini sudah mulai diterapkan: peramban Chrome milik Google menambahkan dukungan untuk pertukaran kunci hibrida X25519Kyber768 pada TLS 1.3 pada 2023, dan Apple menambahkannya ke iMessage. Pendekatan hibrida memungkinkan peralihan yang lancar tanpa perubahan mendadak pada satu waktu tertentu.

Memigrasikan PKI ke algoritme pascakuantum melibatkan kerumitan yang sangat besar: ukuran sertifikat meningkat secara signifikan, sehingga memengaruhi ukuran dan kinerja jabat tangan TLS; modul keamanan perangkat keras (HSM) harus diperbarui atau diganti agar mendukung algoritme baru; infrastruktur penandatanganan kode dan otoritas sertifikat perlu diperbarui; dan perangkat IoT dengan memori terbatas mungkin tidak mendukung kunci pascakuantum yang lebih besar. Organisasi sebaiknya memulai inventarisasi kriptografi—mendata semua tempat RSA dan ECC digunakan—sebagai langkah pertama dalam rencana migrasi PQC.

Kelincahan kriptografi mengacu pada perancangan sistem agar algoritme kriptografi dapat ditukar tanpa memerlukan perancangan ulang sistem secara menyeluruh. Sistem yang memiliki kelincahan kriptografi menyimpan pengenal algoritme bersama kunci dan sandi, sehingga pemutakhiran di masa depan dapat dilakukan dengan mengubah parameter konfigurasi. TLS, SSH, dan standar sertifikat modern sudah menunjukkan kelincahan kriptografi. Organisasi sebaiknya mengaudit protokol dan aplikasi khusus mereka untuk menemukan pilihan algoritme yang ditetapkan secara permanen dalam kode—sistem inilah yang paling mahal untuk dimigrasikan. Mengadopsi lapisan abstraksi pustaka kriptografi sekarang akan membuat migrasi PQC jauh lebih mudah.

Dalam pelajaran ini, Anda mempelajari bahwa algoritme Shor mengancam RSA dan ECC, sedangkan algoritme Grover hanya membagi dua keamanan kunci simetris, sehingga AES-256 dan SHA-384 tetap layak digunakan setelah hadirnya komputasi kuantum; CRYSTALS-Kyber (ML-KEM) menggantikan pertukaran kunci dan CRYSTALS-Dilithium (ML-DSA) menggantikan tanda tangan digital sebagai standar pascakuantum pilihan NIST; serta kriptografi hibrida yang menggabungkan algoritme klasik dan PQC merupakan strategi migrasi yang direkomendasikan selama peralihan berlangsung. Selanjutnya, kita akan membahas keamanan wadah untuk lingkungan cloud-native.