Telset.id – Google mempercepat persiapan menghadapi ancaman komputer kuantum dengan merilis roadmap pasca-kuantum (post-quantum cryptography/PQC) yang disusun produk per produk. Roadmap ini dibangun di atas tiga domain risiko dengan tonggak waktu yang dilekatkan pada layanan-layanan yang disebut secara spesifik, setelah pada Maret sebelumnya Google memajukan tenggat migrasi PQC miliknya ke 2029.
Langkah tersebut menempatkan Google enam tahun lebih cepat dari panduan NIST dan dua tahun lebih cepat dari persyaratan NSA untuk sistem keamanan nasional. Namun, menurut SVP of Product Sectigo, Jason Soroko, sinyal keamanan itu kini punya isi yang lebih konkret: sebuah peta jalan yang mengikat setiap tonggak pada nama layanan tertentu.
Bagi siapa pun yang pekerjaannya bersinggungan dengan kepercayaan digital, domain paling signifikan dari ketiga domain risiko itu adalah upaya Google memperkuat kemampuan dasar untuk cryptographic agility. Yang dimaksud adalah membangun sistem fleksibel yang mampu mengadopsi standar kriptografi baru dengan upaya rekayasa minimal seiring standar tersebut berkembang. Pesannya jelas: organisasi perlu bersiap menghadapi masa depan ketika standar, format sertifikat, dan persyaratan operasional terus berubah secara rutin.
Ancaman Sudah Berjalan Sebelum Komputer Kuantum Ada
Penyerang saat ini sudah memanen dan menyimpan data terenkripsi dengan asumsi bahwa komputer kuantum di masa depan akan mendekripsinya. Pola yang dikenal sebagai harvest now, decrypt later ini membuat apa pun yang memiliki ekor kerahasiaan panjang—mulai dari rekaman kesehatan, arsip nasional, hingga kekayaan intelektual—sudah terekspos pada mesin yang belum ada.
Algoritma tahan kuantum seperti ML-DSA menyelesaikan persoalan kriptografinya, tetapi memperkenalkan kunci dan tanda tangan yang jauh lebih besar. Jika diterapkan melalui infrastruktur kunci publik (PKI) yang dipakai hari ini, ukuran tersebut akan membengkakkan atau bahkan merusak sistem di balik koneksi aman. Sistem warisan dan jaringan berlatensi tinggi akan merasakan dampak paling besar.
Di titik inilah Merkle Tree Certificates (MTC) masuk sebagai jawaban. MTC adalah jenis baru sertifikat domain situs web yang dirancang menjaga koneksi aman tetap cepat di era komputer kuantum. Saat ini, sebuah situs web membuktikan identitasnya dengan menyajikan sertifikat yang membawa beberapa tanda tangan digital—dan versi tahan kuantum dari tanda tangan tersebut begitu besar sehingga akan memperlambat setiap koneksi aman di internet.
Baca Juga:
Cara Kerja MTC dan Siapa yang Mengembangkannya
MTC menyiasati masalah ukuran itu dengan membuat otoritas sertifikat (CA) mencatat semua yang diterbitkannya ke dalam log publik yang tahan manipulasi, diorganisasi sebagai Merkle tree. Alih-alih membawa tanda tangan yang berat, situs web menyajikan jejak pendek berupa sidik jari digital yang menunjukkan sertifikatnya berada di dalam log tersebut. Browser lalu memeriksa jejak itu terhadap ringkasan log yang sudah diterimanya melalui pembaruan perangkat lunak rutin.
Yang penting dicatat, MTC tidak meninggalkan X.509. MTC adalah sertifikat X.509 yang membawa bukti di tempat yang sebelumnya diisi tanda tangan, dan diterbitkan berdampingan dengan sertifikat bertanda tangan langsung konvensional—bukan menggantikannya. Hasilnya adalah sertifikat yang tetap kecil, tahan terhadap komputer kuantum, dan dapat diverifikasi publik secara default. Bagi pengguna biasa, internet tetap bisa dipakai dengan cepat dan tanpa gangguan, dengan ketahanan kuantum di lapisan bawahnya.
MTC juga mengubah sifat transparansi. Dalam PKI web hari ini, transparansi ditempelkan pada proses penerbitan sebagai langkah terpisah. CA menandatangani sertifikat, mengirimkannya ke log CT independen, lalu mengumpulkan SCT—masing-masing adalah janji bertanda tangan dari sebuah log untuk mempublikasikan sertifikat dalam jendela waktu tertentu. Log yang berperilaku buruk atau diretas bisa menjamin sertifikat yang tidak pernah terlihat oleh monitor pemantau kesalahan penerbitan.
MTC mengubah hubungan itu. CA mensertifikasi dengan cara mencatat ke log, dan sertifikat secara harfiah adalah bukti bahwa entrinya muncul di log penerbitan publik milik CA, diverifikasi browser pada setiap koneksi. Jika tidak ada di log, maka itu bukan sertifikat. Di bawah MTC, transparansi tidak sekadar bertahan melewati transisi pasca-kuantum—ia keluar dalam kondisi lebih kuat.
Ketika vendor dengan pangsa browser dominan mengusulkan format sertifikat baru dan root store baru untuk menampungnya, wajar mempertanyakan apakah ekosistem lain diajak berkonsultasi atau sekadar diberi tahu. Namun MTC bukan milik Google sendirian. Pada saat artikel ini ditulis, para penulis draf IETF mencakup Google, Apple, Cloudflare, dan Geomys. Cloudflare terlibat sejak awal, CA termasuk Sectigo berkontribusi pada riset yang mendasarinya, dan Let’s Encrypt secara publik berkomitmen pada MTC pada Juni 2026.
Hasilnya akan menjadi standar terbuka yang dapat diimplementasikan CA mana pun, tanpa dikendalikan satu vendor. Organisasi yang akan membentuk kepercayaan web pasca-kuantum adalah mereka yang kini berada di dalam kelompok kerja. Program root, CA, dan implementer besar yang tetap di luar akan mewarisi keputusan alih-alih mempengaruhinya. Pilihan itu tersedia untuk semua pihak, dan jendelanya terbuka hari ini.
Tanggal 2028 yang ditetapkan Google untuk MTC patut diberi catatan kaki biasa sebuah roadmap. Google mengaitkannya dengan pekerjaan standardisasi yang masih berjalan di IETF, dan tanggal seperti ini bisa bergeser. Arahnya, bagaimanapun, tampak sudah mantap. Chrome’s Quantum-resistant Root Store yang direncanakan hanya akan mendukung sertifikat tahan kuantum dalam format MTC, bukan sebagai tanda tangan pasca-kuantum yang ditempelkan ke X.509 tradisional.
Tanda tangan klasik yang ringkas dan X.509 telah melayani web dengan sangat baik selama tiga dekade, tetapi dengan munculnya komputasi kuantum, redesign menjadi keniscayaan. Bagi semua pihak lain, implikasi praktis dari roadmap Google bukanlah bahwa mereka harus segera memakai MTC. Implikasinya adalah mereka perlu mampu mengadopsinya—atau apa pun yang nantinya muncul—tanpa program rekayasa bertahun-tahun. Itulah tepatnya cryptographic agility yang diletakkan Google di fondasi rencananya sendiri.
Secara konkret, organisasi perlu memusatkan perhatian pada tiga hal. Pertama, inventaris lengkap sertifikat dan aset kriptografi, karena Anda tidak bisa memigrasikan apa yang tidak bisa Anda lihat. Kedua, manajemen siklus hidup sertifikat otomatis, karena masa berlaku sertifikat yang lebih pendek akan membuat proses manual tidak lagi bisa dipertahankan jauh sebelum komputer kuantum tiba. Ketiga, roadmap pasca-kuantum tertulis dari CA Anda—sesuatu yang seharusnya diminta setiap organisasi.
Cakupan penuh kemampuan MTC masih terus mengerucut, dan MTC mungkin bukan satu-satunya jawaban yang akhirnya diadopsi industri. Yang sudah jelas, organisasi yang berinvestasi pada cryptographic agility, manajemen siklus hidup sertifikat, dan visibilitas penuh hari ini akan berada di posisi terbaik untuk beradaptasi saat standar pasca-kuantum matang. Masa depan kepercayaan digital akan menjadi milik organisasi yang mampu berkembang secepat kriptografi yang mereka andalkan.
Artikel ini diproduksi sebagai bagian dari TechRadar Pro Perspectives, kanal untuk menampilkan pemikiran terbaik di industri teknologi saat ini. Pandangan yang diungkapkan adalah milik penulis dan tidak semestinya mencerminkan pandangan TechRadarPro atau Future plc.
Komentar
Belum ada komentar.