Kvantedatabehandlingens tveeggede sverd: Derfor må RSA-utfasingen starte før «Q-Day»

Kvantedatabehandling har en tydelig dobbeltrolle. På den ene siden kan teknologien etter hvert gi fremskritt innen simulering av kvantekjemi og materialer, enkelte optimaliseringsproblemer og noen arbeidsflyter innen kunstig intelligens. På den andre siden kan en tilstrekkelig stor og feilkorrigert kvantedatamaskin undergrave mye av dagens offentlige nøkkelkryptografi – selv om det foreløpig ikke finnes noen kvantedatamaskin med kryptografisk relevans (CRQC). 52

Den praktiske konklusjonen er derfor ikke å vente på «Q-Day», dagen da en kvantedatamaskin faktisk kan knekke dagens kryptering. Organisasjoner bør begynne å kartlegge og bytte ut sårbare kryptografiske avhengigheter nå. Enkelte opplysninger må nemlig holdes hemmelige lenger enn det kan ta å gjennomføre en slik overgang.

Hvorfor Shors algoritme truer RSA og elliptisk kurvekryptografi

RSA bygger på at det er svært vanskelig for klassiske datamaskiner å faktorisere store heltall. Diffie–Hellman- og elliptiske kurvesystemer bygger på tilsvarende vanskelige diskret-logaritmeproblemer. På tilstrekkelig kraftig, feilkorrigert kvante­maskinvare vil Shors algoritme kunne løse disse problemene langt mer effektivt enn klassiske datamaskiner.

Trusselen gjelder mer enn selve krypterte meldinger. Sårbare offentlige nøkkelsystemer brukes også til nøkkelutveksling, autentisering, sertifikater, programvaresignering, sikker oppstart av enheter og andre funksjoner som etablerer digital tillit. En fremtidig angriper kan dermed ramme både konfidensialiteten og muligheten til å kontrollere om programvare, dokumenter, transaksjoner eller arkiver er ekte.

Det betyr ikke at all kryptografi bryter sammen samtidig. Den direkte bekymringen gjelder først og fremst offentlige nøkkelalgoritmer som RSA og elliptisk kurvekryptografi. Symmetrisk kryptografi trues ikke av Shors algoritme på samme direkte måte, men hver enkelt kryptografisk komponent må likevel vurderes med tanke på sikkerhetsnivå og implementasjon.

«Samle inn nå, dekrypter senere» gjør dagens data til et mål

Et såkalt «harvest now, decrypt later»-angrep krever ikke at angriperen dekrypterer trafikken med en gang. En motpart kan fange opp kryptert kommunikasjon eller få tilgang til krypterte arkiver, lagre materialet og forsøke å dekryptere det når en CRQC blir tilgjengelig. 51

Dermed avhenger tidsfristen av to forhold:

• hvor lang tid organisasjonen trenger for å bytte ut systemene; og
• hvor lenge informasjonen må forbli hemmelig.

Data med lang levetid for konfidensialitet er særlig utsatt. Det kan være myndighets- og diplomatisk materiale, forsvars- og ingeniørdesign, helse- og genomdata, identitetsopplysninger, økonomiske og juridiske dokumenter, forretningshemmeligheter, infrastrukturdata og egenutviklet forskning. Det finnes også en langsiktig utfordring for signerte arkiver: Dersom signaturordninger senere kan forfalskes, kan programvare, sertifikater, transaksjoner og historiske dokumenter miste beviskraften.

Trusselen beviser ikke at alle krypterte arkiver allerede blir samlet inn, eller at et kvanteangrep er nært forestående. Den viser likevel hvorfor det kan være for sent å vente på sikre bevis for at «Q-Day» har kommet. Informasjon som samles inn i dag, kan være verdifull også i fremtiden.

Tidspunktet er usikkert – migreringen er allerede i gang

Anslagene for når en kryptografisk relevant kvantedatamaskin kan bli tilgjengelig, varierer kraftig. Tyske myndigheter understreker at ingen CRQC finnes i dag, samtidig som anslagene for når en slik maskin kan dukke opp, fortsatt er usikre. 52 Andre vurderinger peker mot 2030-tallet, men dette er prognoser – ikke en bekreftet ankomstdato. 5356

En fornuftig plan bør derfor ikke baseres på ett bestemt «Q-Day». Organisasjoner bør prioritere informasjon etter hvor sensitiv den er og hvor lenge den må beskyttes, og deretter ta høyde for årene som kan gå med til å finne avhengigheter, teste erstatninger, oppdatere leverandører og fase ut systemer som ikke kan oppgraderes.

NISTs foreslåtte overgangsrammeverk beskriver en trinnvis utfasing av offentlige nøkkelalgoritmer som er sårbare for kvanteangrep. I utkastet foreslås RSA-2048 og ECC-256 faset ut som foreldede etter 2030 og ikke tillatt etter 2035. IR 8547 er imidlertid et overgangsforslag. Virksomheter må derfor kontrollere den endelige veiledningen som gjelder for deres sektor, i stedet for å behandle datoene som universelle lovpålagte frister. 2035

Den amerikanske føderale retningen er likevel tydelig. Sivile etater ble bedt om å levere prioriterte oversikter over systemer og ressurser med kryptografi som er sårbar for en CRQC, først innen 4. mai 2023 og deretter årlig frem til 2035. 33 National Security Memorandum 10 satte samtidig et føderalt mål om å redusere kvante­risikoen innen 2035. 39

NISTs standarder gir et konkret startpunkt

1. august 2024 ferdigstilte NIST tre sentrale standarder for postkvantekryptografi, utviklet for å motstå fremtidige kvanteangrep: 2425

• FIPS 203, ML-KEM: En modul-gitterbasert mekanisme for kapsling av nøkler, brukt til å etablere delte hemmeligheter. 23
• FIPS 204, ML-DSA: En modul-gitterbasert standard for digitale signaturer. 22
• FIPS 205, SLH-DSA: En statsløs, hashbasert signaturstandard med en annen matematisk tilnærming. 17

Dette er ikke en bryter som kan slås overalt fra RSA til postkvantekryptografi over natten. Standardene må bygges inn i protokoller, programbiblioteker, sertifikater, identitetsløsninger, maskinvaresikkerhetsmoduler, fastvare, applikasjoner og leverandørprodukter. NIST beskriver standardene som begynnelsen på en omfattende overgang, samtidig som organisasjonen utvikler flere algoritmer som reserver eller alternativer. 28

Hva bør virksomheter kartlegge først?

Kryptografi er ofte skjult i systemer som aldri ble laget med tanke på rask utskifting av algoritmer. En nyttig kartlegging bør derfor omfatte mer enn åpenbare innstillinger for kryptering:

• TLS, VPN, API-er og eldre nettverksprotokoller
• offentlig nøkkelinfrastruktur (PKI), sertifikatutstedelse og sertifikatfornyelse
• identitets-, autentiserings- og tilgangsstyringssystemer
• kodesignering, fastvare, sikker oppstart og oppdateringsmekanismer
• maskinvaresikkerhetsmoduler, databaser, sikkerhetskopier og arkiver
• tingenes internett, industrielt utstyr, medisinsk utstyr og annet langlivet utstyr
• skytjenester, SaaS-leverandører, programbiblioteker og andre tredjepartsavhengigheter

Neste steg er å prioritere risikoen. Systemer som beskytter informasjon som må være hemmelig i flere tiår, eller som styrer programvareopprinnelse og tillit i kritisk infrastruktur, bør få oppmerksomhet før data som har kort levetid eller enkelt kan erstattes.

Organisasjoner trenger også krypto-agilitet: evnen til å endre algoritmer, nøkkelstørrelser, sertifikater og kryptografiske biblioteker uten å redesigne et helt produkt eller nettverk. Hybride løsninger, der klassiske og postkvante­mekanismer brukes sammen i overgangsperioden, kan redusere migrasjonsrisikoen. Samtidig gir de mer integrasjon, testing og driftskompleksitet.

HAWK-saken er en advarsel om evaluering – ikke et brudd på NIST-standardene

I juli 2026 opplyste Anthropic at modellen Claude Mythos Preview hadde funnet en tidligere ukjent strukturell svakhet i HAWK, en gitterbasert kandidat for postkvante­signaturer. Anthropic oppga at HAWK hadde gjennomgått to år og to runder med ekspertvurdering, mens modellen forbedret det beste kjente angrepet på omtrent 60 timer. HAWK-teamet trakk deretter kandidaten fra NISTs prosess for ytterligere signaturstandarder. 5

Det avgjørende forbeholdet er at HAWK var en kandidat – ikke en ferdig NIST FIPS-standard eller en produksjonsalgoritme. Hendelsen knekte ikke FIPS 203, FIPS 204 eller FIPS 205, og rapporteringen viser at systemer i drift ikke ble berørt. 56

Den bredere lærdommen er likevel viktig: «Postkvantesikker» er ikke et permanent kvalitetsstempel. Kandidater må granskes kontinuerlig matematisk, testes i uavhengige implementasjoner og vurderes ut fra ulike matematiske antakelser. De må også kunne erstattes når nye angrep oppdages. KI-assistert kryptanalyse kan bli en del av denne evalueringen, men erstatter ikke menneskelig kontroll eller åpent standardiseringsarbeid.

Kostnaden er en systemovergang – ikke bare en ny algoritme

En overgang til postkvantekryptografi kan kreve endringer i programvare og protokoller, nye biblioteker, arbeid med sertifikater og PKI, oppgraderinger av maskinvaresikkerhetsmoduler og fastvare, interoperabilitetstesting, leverandørsamarbeid og dokumentasjon for etterlevelse. Større nøkler eller signaturer kan også påvirke båndbredde, lagring, forsinkelse og ytelse på enheter.

Det er vanskelig å oppgi ett universelt kostnadstall. Utgiftene avhenger av virksomhetens teknologiske landskap, krav til oppbevaring, leverandøravtaler og regulatoriske miljø. Den mest robuste konklusjonen er at overgangen blir krevende fordi offentlig nøkkelkryptografi er vevd inn i mange langvarige tillitsforhold – ikke fordi alle systemer må erstattes samtidig.

Konklusjonen

Kvantedatabehandling kan etter hvert gi viktige vitenskapelige gevinster, men disse er fortsatt usikre, spesialiserte og under utvikling. Sikkerhetsutfordringen er mer konkret: RSA og elliptisk kurvekryptografi kan bli sårbare for Shors algoritme, og krypterte data som samles inn i dag, kan bli eksponert senere.

Det finnes ingen CRQC i dag. Det er en grunn til å planlegge grundig – ikke til å utsette arbeidet. Den praktiske rekkefølgen er å kartlegge kryptografien, klassifisere data etter hvor lenge de må være hemmelige, prioritere de mest verdifulle avhengighetene, teste NISTs ferdigstilte postkvante­standarder og bygge inn krypto-agilitet. Planleggingsdatoer bør brukes som styringsmål, ikke som en unnskyldning for å vente på en endelig kunngjøring om «Q-Day».