Kvantdatorns dubbla ansikte: varför RSA-migreringen måste börja före Q-Day

Kvantdatorer har ett dubbelt ansikte. På forskningssidan finns förhoppningar om bättre simuleringar inom kvantkemi och materialvetenskap, lösningar på vissa optimeringsproblem och stöd för utvalda AI-arbetsflöden. Men nyttan är fortfarande framtida och starkt beroende av tillämpningen.

Säkerhetskonsekvensen är däremot något som går att agera på redan i dag: en tillräckligt stor och feltolerant kvantdator skulle kunna undergräva vanligt förekommande asymmetrisk kryptografi, även om det ännu inte finns någon kryptografiskt relevant kvantdator, eller CRQC. 52

Den praktiska slutsatsen är därför att organisationer inte bör vänta på den dag då en sådan maskin faktiskt kan knäcka kryptering. Arbetet med att hitta och ersätta sårbara kryptografiska beroenden måste börja nu – eftersom vissa uppgifter måste förbli hemliga längre än den tid det kan ta att genomföra en fullständig migrering.

Därför hotar Shors algoritm RSA och elliptisk kurvkryptografi

RSA bygger på att det är mycket svårt för klassiska datorer att faktorisera stora heltal. Diffie–Hellman och system baserade på elliptiska kurvor bygger i stället på diskretlogaritmproblem. På tillräckligt kraftfull hårdvara skulle Shors algoritm kunna angripa dessa problem på ett fundamentalt snabbare sätt än klassiska datorer.

Hotet gäller mer än innehållet i krypterade meddelanden. Sårbara publika nyckelsystem används också för nyckelutbyte, autentisering, certifikat, signering av programvara, säkra startkedjor och andra funktioner som bygger digital tillit.

En framtida angripare skulle därför kunna angripa både sekretess och möjligheten att kontrollera om program, dokument, transaktioner eller arkiv verkligen är äkta.

Det betyder inte att all kryptografi kollapsar samtidigt. Det direkta hotet är framför allt koncentrerat till publika nyckelalgoritmer som RSA och elliptisk kurvkryptografi. Symmetrisk kryptografi påverkas inte av Shors algoritm på samma direkta sätt, även om organisationer fortfarande måste bedöma styrkan och implementationen hos varje kryptografisk komponent.

”Samla in nu, dekryptera senare” gör dagens data till måltavlan

En så kallad ”harvest now, decrypt later”-attack kräver inte att angriparen kan läsa trafiken direkt. Krypterad kommunikation eller krypterade arkiv kan fångas upp, lagras och dekrypteras först när en kryptografiskt relevant kvantdator blir tillgänglig. 51

Den relevanta tidsfristen beror därför på två saker:

• hur lång tid organisationen behöver för att migrera sina system; och
• hur länge den skyddade informationen måste förbli hemlig.

Särskilt utsatta är uppgifter med lång sekretesslivslängd, till exempel diplomatiska och offentliga handlingar, försvars- och konstruktionsritningar, hälso- och genomdata, identitetsuppgifter, finansiella och juridiska dokument, företagshemligheter, information om kritisk infrastruktur och egen forskning.

Det finns också ett långsiktigt äkthetsproblem. Signaturer, certifikat, programvarans ursprung och signerade arkiv kan behöva kunna verifieras i många år. Om den underliggande publika nyckelkryptografin blir sårbar kan framtida angripare i vissa scenarier försöka förfalska sådana bevis på äkthet.

Hotbilden bevisar inte att alla krypterade arkiv redan samlas in eller att en kvantattack är nära förestående. Men den innebär att det kan vara för sent att vänta på säkra bevis för en så kallad Q-Day – dagen då en kvantdator kan angripa dagens kryptografi – om informationen fångas upp redan i dag.

Kvanttidslinjen är osäker – migreringen är redan i rörelse

Bedömningarna av när en kryptografiskt relevant kvantdator kan finnas på plats varierar kraftigt. Tyska myndigheter konstaterar att ingen CRQC finns i dag, samtidigt som uppskattningarna om när en sådan maskin kan dyka upp är osäkra. 52 Andra analyser placerar en betydande risk någon gång under 2030-talet, men även det är prognoser och inte ett bekräftat ankomstdatum. 5356

En rimlig plan bör därför inte bygga på att någon kan förutsäga ett exakt Q-Day. I stället bör information prioriteras utifrån känslighet och lagringstid, samtidigt som organisationen räknar med den tid som krävs för att kartlägga beroenden, testa ersättare, uppdatera leverantörsavtal och avveckla system som inte går att uppgradera.

NIST:s föreslagna övergångsramverk har i stor utsträckning beskrivits som en stegvis övergång från kvantsårbara publika nyckelalgoritmer. I utkastet föreslås att RSA-2048 och ECC-256 ska fasas ut efter 2030 och förbjudas efter 2035. Eftersom IR 8547 är ett övergångsförslag bör organisationer kontrollera den slutliga vägledningen som gäller för den egna sektorn, i stället för att behandla datumen som universella lagkrav. 2035

Den amerikanska federala inriktningen är ändå tydlig. Civila myndigheter fick i uppdrag att senast den 4 maj 2023, och därefter årligen till och med 2035, lämna in prioriterade inventeringar av system och tillgångar med kryptografi som är sårbar för en CRQC. 33 National Security Memorandum 10 satte dessutom upp målet att minska kvantrisken i den federala förvaltningen till 2035. 39

NIST:s postkvantstandarder ger en startpunkt

Den 13 augusti 2024 fastställde USA:s National Institute of Standards and Technology, NIST, tre centrala standarder för postkvantkryptografi: 2425

• FIPS 203, ML-KEM: en modul-gitterbaserad mekanism för inkapsling av nycklar, avsedd att etablera gemensamma hemligheter.
• FIPS 204, ML-DSA: en modul-gitterbaserad standard för digitala signaturer.
• FIPS 205, SLH-DSA: en tillståndslös, hashbaserad standard för digitala signaturer med en annan matematisk grund.

ML-KEM används alltså främst för nyckelöverenskommelse, medan ML-DSA och SLH-DSA används för digital signering. 232217

Det handlar inte om ett enkelt byte som kan genomföras överallt över en natt. Standarderna måste byggas in i protokoll, kryptobibliotek, certifikat, identitetssystem, hårdvarusäkerhetsmoduler, firmware, applikationer och leverantörsprodukter.

NIST beskriver standarderna som början på en omfattande övergång och arbetar samtidigt med ytterligare algoritmer som reservlösningar eller alternativ. 28

Vad bör organisationer inventera först?

Kryptografi är ofta inbyggd i system som aldrig utformades för snabba algoritmbyten. En användbar inventering bör därför gå längre än uppenbara krypteringsinställningar och omfatta:

• TLS, VPN, API:er och äldre nätverksprotokoll;
• PKI, alltså infrastrukturen för publika nycklar, samt utfärdande och förnyelse av certifikat;
• identitets-, autentiserings- och behörighetssystem;
• kodsignering, firmware, säker uppstart och mekanismer för programuppdateringar;
• hårdvarusäkerhetsmoduler, databaser, säkerhetskopior och arkiv;
• IoT-enheter samt industriell, medicinsk och annan utrustning med lång livslängd;
• molntjänster, SaaS-leverantörer, bibliotek och andra tredjepartsberoenden.

Nästa steg är att prioritera riskerna. System som skyddar information som måste förbli hemlig i årtionden, eller som styr programvarans ursprung och infrastrukturen för digital tillit, bör få uppmärksamhet före kortlivad eller lätt utbytbar data.

Organisationer behöver också kryptoagilitet: förmågan att byta algoritmer, nyckelstorlekar, certifikat och kryptobibliotek utan att hela produkten eller nätverket måste byggas om. Hybridlösningar, där klassiska och postkvantsäkra mekanismer används tillsammans under övergången, kan minska vissa risker men ökar samtidigt komplexiteten i integration, testning och drift.

HAWK-fallet är en varning om utvärdering – inte ett brott mot NIST:s standarder

I juli 2026 rapporterade Anthropic att modellen Claude Mythos Preview hade hittat en tidigare okänd strukturell svaghet i HAWK, en gitterbaserad kandidat för postkvantsäkra digitala signaturer. Anthropic uppgav att HAWK hade överlevt två års arbete och två omgångar av expertgranskning, medan modellen förbättrade den dittills bästa kända attacken på ungefär 60 timmar. HAWK-teamet drog därefter tillbaka kandidaten från NIST:s process för ytterligare signaturstandarder. 5

Den viktiga reservationen är att HAWK var en kandidat – inte en färdig NIST-standard enligt FIPS och inte en algoritm i produktionssystem. Händelsen innebar därför inte att FIPS 203, FIPS 204 eller FIPS 205 bröts, och rapporteringen slog fast att driftsatta system inte påverkades. 56

Den bredare lärdomen är ändå betydelsefull: ”postkvantsäker” är inte en permanent säkerhetsstämpel. Kandidatalgoritmer behöver kontinuerlig matematisk granskning, oberoende tester av implementationer, olika matematiska antaganden och möjlighet att snabbt ersättas när nya angrepp upptäcks.

AI-assisterad kryptoanalys kan bli en del av den utvärderingen, men ersätter inte mänsklig granskning eller öppet standardiseringsarbete.

Kostnaden gäller en systemövergång – inte bara en ny algoritm

En migrering till postkvantkryptografi kan kräva ändringar i programvara och protokoll, nya bibliotek, arbete med certifikat och PKI, uppgraderingar av hårdvarusäkerhetsmoduler och firmware, kompatibilitetstester, leverantörssamordning och nya efterlevnadskrav.

Större nycklar eller signaturer kan dessutom påverka bandbredd, lagring, svarstider och prestanda i enheter med begränsade resurser. Utrustning som inte går att uppdatera kan behöva bytas ut.

Det är svårt att sammanfatta kostnaden med en enda universell siffra. Den beror på organisationens tekniska miljö, krav på datalagring, leverantörsavtal och regleringsmiljö. Den mer hållbara slutsatsen är att övergången blir dyr eftersom publika nyckelsystem är inbäddade i många långlivade relationer för digital tillit – inte för att alla system måste ersättas samtidigt.

Slutsatsen: vänta inte på Q-Day

Kvantdatorer kan så småningom ge viktiga vetenskapliga vinster, men dessa är fortfarande osäkra, specialiserade och under utveckling. Säkerhetskravet är mer konkret: RSA och elliptisk kurvkryptografi kan bli sårbara för Shors algoritm, och krypterad data som samlas in i dag kan exponeras senare.

Ingen CRQC finns i dag. Det är ett skäl att planera noggrant – inte att skjuta upp arbetet. Den praktiska ordningen är att:

1. inventera organisationens kryptografi;
2. klassificera data efter hur länge den måste förbli konfidentiell;
3. prioritera värdefulla och svårutbytbara beroenden;
4. testa NIST:s färdiga postkvantstandarder;
5. bygga in kryptoagilitet; och
6. använda migrationsdatumen som planeringsmål i stället för att vänta på ett definitivt besked om Q-Day.