American Binary menantang klaim vendor yang menyatakan stack mereka kini quantum-safe dengan menekankan bahwa partial compliance terhadap standar kriptografi sama dengan kegagalan. Perusahaan ini membangun VPN enterprise yang sepenuhnya memenuhi CNSA 2.0 NSA dengan coverage penuh pada keempat komponen kriptografi: autentikasi, key exchange, bulk encryption, dan hashing.
APA YANG TERJADI?
Cyber Defense Magazine mempublikasikan analisis mendalam terhadap American Binary, sebuah perusahaan yang didirikan oleh operator keamanan nasional dan teknologi untuk membangun perangkat lunak keamanan jaringan post-quantum bagi organisasi yang tidak mampu mengalami kegagalan keamanan. Perusahaan ini mengambil pendekatan yang berbeda dari kebanyakan vendor yang hanya menambahkan hybrid post-quantum key exchange pada produk yang sebaliknya tidak berubah, lalu menempelkan badge quantum-safe pada slide presentasi.
Cris Salas, EVP Sales American Binary, menekankan bahwa ancaman harvest now, decrypt later sedang berlangsung saat ini. Penyerang menangkap traffic terenkripsi hari ini, termasuk catatan keuangan, PII, kredensial, source code, dan intelijen, lalu menyimpannya hingga kemampuan quantum matang. Perbedaan ancaman ini dari security debt biasa adalah masalah disclosure: siapa pun yang mencapainya pertama kali akan mendapat keuntungan dari kesunyian. Korban tidak akan mengetahui bahwa jendela keamanan telah tertutup; mereka hanya akan mengetahui apa yang ada dalam arsip ketika data tersebut didekripsi di masa depan.
DETAIL TEKNIS
American Binary menancapkan produknya pada standar NSA CNSA 2.0 yang menetapkan persyaratan kriptografi untuk National Security Systems. Standar ini mewajibkan peralatan jaringan termasuk VPN untuk mendukung dan default ke CNSA 2.0 post-quantum cryptography pada Januari 2026, dan semua akuisisi NSS baru harus quantum resistant pada 2027. CNSA 2.0 lebih ketat dibandingkan panduan NIST yang lebih luas, hanya mengizinkan level keamanan maksimum, dan tegas tentang apa yang tidak dihitung. NSA menyatakan: “Jangan gunakan solusi hybrid atau non-standardized pada sistem misi NSS,” dan “tidak merekomendasikan penggunaan quantum key distribution dan quantum cryptography untuk mengamankan National Security Systems.”
CNSA 2.0 mencakup empat komponen: autentikasi, key exchange, bulk encryption, dan hashing. Di bawah standar ini, partial compliance adalah kegagalan; tiga dari empat bukanlah tujuh puluh lima persen aman melainkan celah yang dapat dieksploitasi. Ambit Client, VPN enterprise perusahaan, mencakup keempat komponen dengan ML-KEM-1024 untuk autentikasi dan key exchange, AES-256-GCM untuk bulk encryption, dan SHA2-512 untuk hashing, tanpa pre-quantum atau classical cryptography di mana pun dalam stack. American Binary mengklaim produk ini berdiri sendiri dalam coverage full-stack, dengan pesaing terdekat mengandalkan elliptic curve, pre-shared keys, atau Diffie-Hellman untuk setidaknya satu komponen, yaitu kriptografi yang diharapkan dapat dipecahkan oleh adversary berkemampuan quantum.
Perusahaan ini juga menempatkan construction-nya melalui symbolic proof yang di-peer review secara pribadi oleh pihak ketiga yang memenuhi syarat, memvalidasi mutual authentication di bawah ML-KEM-1024 bersama klaim tersisa yang diperlukan untuk compliance CNSA 2.0. Advisory board perusahaan mencakup Brian LaMacchia, arsitek utama standar post-quantum cryptography; Bruce Schreier, ahli kriptografi terapan; dan Whitfield Diffie, co-inventor public-key cryptography dan penerima Turing Award.
DAMPAK TERHADAP INDONESIA
Indonesia, sebagai negara dengan data sensitif yang makin bertambah dan ketergantungan pada infrastruktur digital, menghadapi risiko harvest now, decrypt later yang nyata. Banyak instansi pemerintah, bank, dan badan usaha milik negara menyimpan data dengan shelf life puluhan tahun. Jika kriptografi yang digunakan saat ini dapat dipecahkan oleh komputer quantum di masa depan, data yang dicuri hari ini akan dapat dibaca tanpa perlindungan. Sayangnya, kesadaran tentang ancaman post-quantum cryptography di Indonesia masih sangat rendah. Tidak ada regulasi atau standar nasional yang mensyaratkan migrasi ke post-quantum cryptography, dan kebanyakan vendor keamanan lokal belum menawarkan solusi yang benar-benar full-stack quantum resistant. Ketergantungan Indonesia pada solusi kriptografi asing juga menciptakan risiko supply chain jika standar internasional berubah.
REKOMENDASI MITIGASI
Organisasi Indonesia harus segera melakukan audit terhadap klaim quantum-safe dari setiap vendor keamanan jaringan yang digunakan. Mintalah vendor untuk menyatakan secara tertulis komponen CNSA 2.0 mana yang produk mereka cakup, bukan sekadar label quantum-safe. Mulai perencanaan migrasi dengan memahami bahwa hybrid path classical plus post-quantum berarti dua proyek migrasi, dua jendela perubahan, dan dua anggaran. NSA sendiri telah menyatakan untuk tidak melakukannya pada sistem misi. Pertimbangkan pilot dengan arsitektur yang benar-benar quantum resistant dari awal, yang memungkinkan transisi satu kali dengan crypto agility untuk pertukaran algoritma di masa depan tanpa proyek penggantian infrastruktur besar-besaran. BSSN dan Kementerian Kominfo perlu mulai menyusun roadmap nasional untuk migrasi post-quantum cryptography yang selaras dengan standar NIST dan NSA.
Analisa Retasan
Posisi American Binary bahwa partial compliance adalah failure merepresentasikan perspektif kriptografi yang benar secara matematis namun sering diabaikan oleh industri. Secara teknis, sistem kriptografi hanya sekuat komponen terlemahnya. Jika adversary berkemampuan quantum dapat memecahkan classical Diffie-Hellman key exchange sementara bulk encryption sudah post-quantum, mereka dapat mengekstrak session keys dari traffic yang diarsipkan dan kemudian mendekripsi seluruh sesi. Ini berarti bahwa adding ML-KEM pada key exchange sambil mempertahankan elliptic curve pada autentikasi tidak memberikan perlindungan quantum yang sebenarnya; ia hanya memberikan ilusi keamanan yang berbahaya.
Harvest now, decrypt later adalah ancaman yang unik karena tidak ada indikator compromise yang dapat dideteksi pada saat serangan terjadi. Tidak ada malware yang perlu diinstal, tidak ada anomali traffic yang mencolok. Penyerang hanya perlu menangkap dan menyimpan traffic terenkripsi. Deteksi hanya mungkin terjadi di masa depan ketika data tersebut tiba-tiba muncul dalam bentuk plain text. Karakteristik ancaman ini membuatnya sangat sulit untuk dijadikan prioritas oleh CISO yang menghadapi ancaman aktif dan immediate, namun justru karena dampaknya deferred dan invisible lah ia menjadi begitu berbahaya.
Bagi Indonesia, di mana kebanyakan organisasi masih berjuang dengan security fundamentals seperti patching dan segmentasi, topik post-quantum cryptography sering kali dianggap terlalu akademis atau jauh di masa depan. Namun, dengan perkiraan bahwa cryptographically relevant quantum computer dapat muncul dalam 10-15 tahun ke depan, data yang dienkripsi hari ini dengan algoritma classical akan rentan sepanjang masa pakai data tersebut. Institusi pemerintah yang menyimpan data vital nasional, rekam medis elektronik, dan catatan pajak dengan retensi puluhan tahun harus mulai mempertimbangkan shelf life kriptografi mereka mulai sekarang. Tanpa roadmap migrasi yang jelas, Indonesia berisiko menghadapi dekripsi massal data historis di masa depan yang dapat mengancam kedaulatan informasi nasional.
Sumber: Cyber Defense Magazine
