ANSSI Akan Blokir Produk Tanpa Kriptografi Post-Quantum Mulai 2027

Kabar terbaru: ANSSI — badan keamanan siber nasional Prancis — akan menolak sertifikasi produk yang tidak mendukung post-quantum cryptography (PQC) mulai tahun 2027. Ini bukan sekadar rekomendasi; ini sinyal kuat bahwa regulasi kriptografi sedang memasuki babak baru. Artikel ini membedah apa artinya untuk industri, developer, dan — yang relevan buat kita — bagaimana dampaknya ke ekosistem teknologi di Indonesia.

Konteks: Mengapa Post-Quantum Cryptography Mendadak Penting

Algoritma kriptografi modern berbasis pada masalah matematika yang dianggap sulit: faktorisasi bilangan besar (RSA), logaritma diskrit (Diffie-Hellman, DSA), dan elliptic curve (ECDSA, ECDH). Selama puluhan tahun, ini jadi fondasi kepercayaan internet — HTTPS, email, VPN, semuanya bergantung padanya.

Masalahnya, komputer kuantum — kalau suatu hari cukup besar dan stabil — bisa menjalankan algoritma Shor yang memecahkan semua masalah itu secara efisien. RSA 2048-bit yang butuh ribuan tahun di komputer klasik, secara teori bisa dipecahkan komputer kuantum dalam hitungan jam atau bahkan menit.

Ada dua istilah yang wajib dipahami:

• Store-now-decrypt-later — penyerang nyuri data terenkripsi sekarang, simpen, dan nunggu komputer kuantum tersedia buat ngedekripsi. Ini ancaman yang sudah terjadi, bukan teori: data sensitif yang dienkripsi hari ini bisa dibuka 10-15 tahun lagi.
• Harvest now, decrypt later — istilah yang sama, dipopulerkan oleh badan keamanan nasional. Inilah alasan utama kenapa migrasi ke PQC nggak bisa nunggu komputer kuantum jadi nyata.

NIST (Institut Standar dan Teknologi AS) sudah menetapkan standar PQC pertamanya pada 2024 — ML-KEM (dulu Kyber) untuk key encapsulation dan ML-DSA (dulu Dilithium) untuk tanda tangan digital. Sejak itu, migrasi mulai berjalan, tapi kecepatannya bervariasi antar negara dan industri.

Apa yang Sebenarnya Diumumkan ANSSI

Kebijakan ANSSI soal PQC berkembang dalam beberapa tahap. Yang penting dipahami: ANSSI nggak langsung melarang produk non-PQC besok. Ada timeline dan kategori yang dibedakan dengan hati-hati.

Inti kebijakannya: produk yang diajukan untuk sertifikasi keamanan (misal sertifikasi CSPN atau skema Eropa seperti EUCC) harus sudah mendukung PQC — atau setidaknya punya roadmap yang jelas — mulai dari tenggat tertentu. Untuk 2027, fokusnya pada skema sertifikasi dan produk-produk yang menangani data berumur panjang (long-term confidentiality).

Poin-poin penting dari arah kebijakan ANSSI:

1. Prioritas pada kerahasiaan jangka panjang. ANSSI sangat menekankan ancaman store-now-decrypt-later. Produk yang melindungi data dengan masa hidup puluhan tahun (misal data kesehatan, data pemerintah, arsip) wajib migrasi lebih dulu.

2. Pendekatan hibrida dianjurkan. ANSSI tidak menuntut langsung pindah total ke algoritma PQC. Strategi hibrida — menggabungkan kriptografi klasik dengan PQC (misal hybrid key exchange) — dianggap sebagai jalur transisi yang aman. Ini penting karena algoritma PQC masih relatif baru dan analisis kriptanalisisnya belum selengkap RSA/ECC.

3. Produk tanpa PQC akan kesulitan di pasar. Secara praktis, kalau lo vendor yang pengen jual produk ke pasar Eropa (atau ke pemerintah yang ngikutin standar Eropa), sertifikasi yang ditolak = akses pasar yang hilang. Ini membuat kebijakan ANSSI efektif memaksa industri bergerak, bukan cuma di Prancis tapi di ekosistem yang lebih luas.

Perlu ditegaskan: detail teknis kebijakan ini bisa berubah dan sebaiknya dicek langsung ke publikasi resmi ANSSI. Yang jelas arahnya: PQC bukan lagi opsional, tapi menjadi syarat untuk masuk pasar yang diatur.

Dampak untuk Vendor dan Industri

Buat perusahaan yang bikin produk keamanan (VPN, HSM, CA, TLS stack, messaging apps), kebijakan ini punya implikasi besar:

Roadmap produk harus diubah. Kalau produk lo belum punya dukungan PQC sama sekali, lo punya waktu terbatas buat nambahin. Untuk produk yang sertifikasinya habis dan mau diperpanjang setelah 2027, syaratnya akan lebih ketat.

Biaya migrasi itu nyata. Implementasi PQC bukan cuma ganti library kriptografi. Algoritma PQC punya karakteristik beda: ukuran kunci dan ciphertext lebih besar (ML-KEM public key ~800 byte vs ECC ~32 byte), performa beda di tiap hardware, dan integrasi ke protokol (TLS, SSH, IPsec) butuh kerja nyata. Migrasi stack kriptografi di produk besar bisa makan waktu 1-2 tahun.

Rantai pasokan ikut kena. Vendor yang komponennya dipakai produk lain (library, SDK, chip secure element) harus migrasi duluan — karena vendor produk akhir butuh komponen yang udah PQC-ready buat integrasi.

Kesempatan pasar baru. Sebaliknya, perusahaan yang duluan migrasi PQC dapet keunggulan kompetitif: bisa jual ke pasar yang butuh compliance, dan bisa klaim postur keamanan yang lebih siap menghadapi ancaman kuantum.

Apa Artinya untuk Developer

Kalau lo developer — terutama yang kerja di produk yang menyentuh kriptografi, TLS, atau data sensitif — ini bukan isu yang bisa lo cuekin. Beberapa hal yang mulai relevan:

1. Kenali library PQC yang ada. Ekosistem sudah mulai matang: OpenSSL 3.5+ punya dukungan PQC (ML-KEM, ML-DSA) di beberapa build; library seperti liboqs (dari Open Quantum Safe) nyediain implementasi PQC lintas bahasa; BoringSSL dan lainnya juga mulai integrasi. Buat aplikasi yang pakai TLS, cek apakah stack lo bisa di-upgrade ke versi yang support hybrid key exchange.

2. Pahami hybrid mode. Transisi yang paling aman saat ini adalah hybrid: TLS 1.3 dengan X25519MLKEM768 (menggabungkan X25519 klasik dengan ML-KEM) sudah didukung di beberapa browser dan server. Ini melindungi dari ancaman kuantum sambil tetap kompatibel dengan infrastruktur klasik.

3. Audit data yang umurnya panjang. Kalau aplikasi lo nyimpen data yang harus aman 10-20 tahun (data kesehatan, data keuangan, dokumen legal), itu kandidat utama migrasi PQC. Mulai identifikasi dari sekarang, jangan nunggu regulasi nyampe.

4. Jangan implement PQC sendiri. Kriptografi itu area di mana "invent your own" adalah bencana. Pakai library yang sudah diaudit (liboqs, OpenSSL, atau implementasi yang direview komunitas). Fokus lo sebagai developer adalah integrasi yang bener, bukan bikin algoritma.

Dampak untuk Indonesia

Bagaimana dengan kita di Indonesia? Beberapa poin relevan:

Produk lokal yang diekspor ke Eropa akan kena syarat ini. Perusahaan teknologi Indonesia yang jual ke pasar Eropa (atau ngikutin standar internasional) perlu aware soal PQC. Sertifikasi produk keamanan yang nggak PQC-ready bisa jadi hambatan ekspor.

Standar nasional dan regional mulai bergerak. BSSN (Badan Siber dan Sandi Negara) sudah lama memperhatikan perkembangan kriptografi pasca-kuantum. Komunitas kriptografi Indonesia juga aktif diskusi soal PQC. Meski belum ada regulasi lokal yang seketat ANSSI, arahnya jelas: standar kriptografi global lagi bergeser, dan negara yang nggak siap bakal ketinggalan.

Infrastruktur kritikal butuh perhatian. Sertifikat digital, e-KTP, sistem perbankan, layanan kesehatan — semua bergantung pada kriptografi. Migrasi PQC di infrastruktur kritikal itu proyek besar yang butuh perencanaan bertahun-tahun. Semakin cepat mulai, semakin murah biayanya.

Komunitas developer bisa mulai belajar sekarang. Buat developer Indonesia, ini kesempatan bagus: skill implementasi dan migrasi PQC masih langka, dan bakal makin dicari seiring regulasi menyebar. Yang mulai belajar sekarang ada di posisi depan.

Timeline Realistis yang Perlu Dipahami

Biar nggak panik, ini gambaran timeline yang umum dipakai industri:

• Sekarang-2026: Masa persiapan. NIST standar sudah ada, implementasi mulai matang, vendor besar mulai integrasi. Produk baru yang serius mulai include PQC (paling nggak hybrid).
• 2027-2029: Titik kritis regulasi. Sertifikasi baru mulai mensyaratkan PQC (sesuai arah kebijakan ANSSI dan regulator lain). Produk yang nggak siap mulai kehilangan akses pasar.
• 2030+: Migrasi luas infrastruktur kritikal. Komputer kuantum skala kecil mungkin mulai ada; data yang disimpan tanpa proteksi PQC mulai berisiko nyata.

Kuncinya: ini bukan soal kapan komputer kuantum jadi, tapi soal kapan data lo bisa didekripsi. Store-now-decrypt-later bikin ancaman ini sudah aktif hari ini.

Kesimpulan

Keputusan ANSSI untuk menolak sertifikasi produk tanpa PQC mulai 2027 adalah sinyal bahwa era post-quantum cryptography secara regulasi sudah dimulai. Bagi industri, ini berarti roadmap produk harus berubah. Bagi developer, ini berarti keterampilan baru yang nilainya bakal naik. Bagi Indonesia, ini pengingat bahwa kesiapan kriptografi adalah bagian dari kedaulatan digital.

Langkah praktis yang bisa lo ambil sekarang: pelajari dasar-dasar PQC (ML-KEM, ML-DSA), cek apakah stack TLS lo mendukung hybrid, audit data yang umurnya panjang, dan mulai rencanakan migrasi — bukan karena panik, tapi karena ini investasi yang waktunya tepat. Yang menunggu sampai 2027 baru gerak, akan mengejar ketinggalan dengan biaya yang jauh lebih mahal.<