Όποιος αγοράζει λογισμικό, υπηρεσίες cloud ή συσκευές με ενσωματωμένη κρυπτογράφηση θα χρειαστεί σύντομα να ρωτήσει τον προμηθευτή του ένα απλό πράγμα: θα είναι έτοιμο το προϊόν για τη μετακβαντική κρυπτογραφία (PQC), δηλαδή για αλγορίθμους που αντέχουν και σε κβαντικούς υπολογιστές; Για να βοηθήσει τους οργανισμούς, το Αυστραλιανό Κέντρο Κυβερνοασφάλειας (ACSC) της Διεύθυνσης Σημάτων της Αυστραλίας (ASD) δημοσίευσε την Πέμπτη 5 Νοεμβρίου 2026 ενημερωμένη έκδοση του οδηγού του με ερωτήσεις προς τους προμηθευτές, σε συνεργασία με την αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) και την Εθνική Υπηρεσία Ασφαλείας (NSA) των ΗΠΑ. Η CISA ανήρτησε την ίδια μέρα τον οδηγό στη σελίδα της, μαζί με συνοπτικό κατάλογο για γρήγορη αναφορά.
Η νέα έκδοση έχει περισσότερο υπόβαθρο, σαφέστερη εξήγηση της μετάβασης και εφαρμόζεται σε ευρύτερο φάσμα οργανισμών. Αφετηρία της είναι ο κίνδυνος από έναν κβαντικό υπολογιστή ικανό να σπάσει την κρυπτογραφία (cryptographically relevant quantum computer, CRQC), δηλαδή μια μηχανή αρκετά ισχυρή ώστε να σπάει την ασύμμετρη κρυπτογραφία δημόσιου κλειδιού που προστατεύει σήμερα τις επικοινωνίες και τα ευαίσθητα δεδομένα. Πολλοί οργανισμοί δεν διαλέγουν οι ίδιοι τους αλγορίθμους, αφού τους υλοποιεί ο προμηθευτής, και έτσι η ετοιμότητά του καθορίζει πότε θα ολοκληρωθεί η μετάβαση.
Οι ερωτήσεις είναι 31, χωρισμένες σε πέντε πίνακες που ακολουθούν τα στάδια του πλαισίου LATICE του ACSC. Το πρώτο στάδιο είναι ο εντοπισμός και η καταγραφή: ο προμηθευτής πρέπει να έχει κατάλογο κρυπτογραφικών στοιχείων (CBOM) και να λέει αν υπάρχει κρυπτογραφία «κλειδωμένη» σε λογισμικό ή υλικό, όπως οι υπογραφές υλικολογισμικού (firmware) και οι ρίζες εμπιστοσύνης υλικού, που συχνά αλλάζουν μόνο με αντικατάσταση της συσκευής. Ακολουθεί η εκτίμηση κινδύνου: ποιες ροές δεδομένων βασίζονται σε παραδοσιακή κρυπτογραφία και για πόσα χρόνια πρέπει τα δεδομένα να παραμένουν απόρρητα. Η απειλή «συλλογή τώρα, αποκρυπτογράφηση αργότερα» (harvest now, decrypt later) σημαίνει ότι κρυπτογραφημένη κίνηση που καταγράφεται σήμερα μπορεί να διαβαστεί όταν υπάρξει ο κατάλληλος υπολογιστής.
Στο στάδιο της ιεράρχησης οι τρεις υπηρεσίες ζητούν συγκεκριμένες ημερομηνίες: ποια προϊόντα θα είναι έτοιμα για μετακβαντική κρυπτογραφία ώστε οι πελάτες να τα εγκαταστήσουν πριν από το τέλος του 2030 και ποια εξαρτήματα απαιτούν αντικατάσταση υλικού ή νέα αρχιτεκτονική. Οι υβριδικές λύσεις, που συνδυάζουν μετακβαντικούς και παραδοσιακούς αλγορίθμους, γίνονται δεκτές μόνο ως προσωρινό μέτρο, με γραπτό χρονοδιάγραμμα για το πέρασμα σε αποκλειστικά μετακβαντική λειτουργία. Η σειρά με την οποία ο προμηθευτής εξυπηρετεί τους πελάτες του πρέπει να βασίζεται στην έκθεση και στην ευαισθησία των δεδομένων τους και όχι στο μέγεθος ή στα έσοδά τους.
Για την υλοποίηση οι ερωτήσεις αφορούν τους αλγορίθμους που θα υποστηριχθούν και πότε, αν η λύση είναι έτοιμη για παραγωγή, πώς ελέγχονται οι κρυπτογραφικές βιβλιοθήκες και πώς αλλάζουν τα μεγέθη κλειδιών και πιστοποιητικών. Ρωτούν ακόμη αν η μετακβαντική κρυπτογραφία περιλαμβάνεται στη βασική άδεια χρήσης, ώστε να μη χρεώνεται ως επιπλέον επιλογή. Ο τελευταίος πίνακας καλύπτει την ενημέρωση των πελατών, τους οδηγούς μετάβασης, την εκπαίδευση των ομάδων υποστήριξης και την πορεία κατάργησης της παραδοσιακής κρυπτογραφίας.
Οι υπηρεσίες δεν περιμένουν από κάθε οργανισμό να υποβάλει όλες τις ερωτήσεις σε κάθε προμηθευτή. Η έκταση προσαρμόζεται στον κίνδυνο του προϊόντος, στον βαθμό που ο προμηθευτής ελέγχει την κρυπτογραφία και στη διάρκεια ζωής των δεδομένων. Ως ενδείξεις ανησυχίας αναφέρονται οι γενικές διαβεβαιώσεις, τα ασαφή ή αναβαλλόμενα χρονοδιαγράμματα, η ιδιόκτητη και αδιαφανής κρυπτογραφία και η υπερβολική εξάρτηση από αντισταθμιστικά μέτρα.
Ιδιαίτερη βαρύτητα δίνεται στον εγκατεστημένο εξοπλισμό. Σε συστήματα βιομηχανικού ελέγχου, ελέγχου πρόσβασης και δικτυακές συσκευές η κρυπτογραφία είναι συχνά ενσωματωμένη και δύσκολο να ενημερωθεί, οπότε μπορεί να χρειαστεί αντικατάσταση του εξοπλισμού. Πρόκειται για τον ίδιο τύπο συστημάτων που βρίσκεται ήδη στο στόχαστρο των επιθέσεων σε βιομηχανικούς ελεγκτές, για τις οποίες προειδοποίησε πρόσφατα η CISA. Οι κβαντικοί υπολογιστές περιλαμβάνονται άλλωστε και στις τεχνολογίες που καλύπτει η νέα στρατηγική «CISA 2030».
