美国国家安全局（NSA）长期以来一直致力于推动《商用国家安全算法套件》（CNSA 1.0和 CNSA 2.0）的强制合规，如今不合规的产品已走到尽头：随着NIAP第33号政策函的发布，NIAP已制定了具体的过渡时间表，明确了CNSA 1.0合规要求的强制执行时间以及CNSA 2.0合规要求的强制实施时间。
该政策函的核心要点：自2027年1月1日起，CNSA 1.0合规将成为强制要求；自2028年1月1日起，CNSA 2.0合规将成为强制要求。在深入探讨该政策函的具体内容之前，让我们先回顾一下为何会发生这一变化。
为什么是现在？
也许有人记得，CNSA 2.0的强制合规原本预计在2030年实施——我们在探讨CNSA 2.0发布的博文中甚至曾特别强调过这一点。那么，NIAP为何要提前两年实施这一要求呢？
最重要的推动因素之一是第14412号行政命令，该命令要求联邦信息系统必须符合NIST批准的后量子密码学（PQC）算法，而CNSA正是将PQC算法的合规性延伸至NIAP框架下通用准则（Common Criteria, CC）评估的途径。
该行政命令明确规定，高价值资产和高影响系统向后量子密码学的过渡必须在2030年底（密钥建立）和2031年底（数字签名）前完成。此前，相关技术的过渡日期范围为2030年至2033年，因此多个过渡日期已被提前。为支持这一过渡规划，获准供美国政府使用的新产品必须在上述日期之前就完成相关合规。
更令人感到紧迫的是，仅在过去一年里，量子计算和人工智能（AI）的进步就已经给网络安全格局带来了翻天覆地的改变。“先收集，后解密”始终是一种威胁，而其中的“后”似乎正以超出我们预期的速度不断逼近；与此同时，Anthropic旗下的Claude在发现加密漏洞方面展现出了娴熟的能力，甚至成功削弱了HAWK PQC数字签名方案的安全性。
此外，我们不要忘记，NIAP早在发布NIAP政策函第5号的附录2时，就已经在推动认证界朝着这个方向发展——正如我们今年3月所讨论的那样，该附录规定CC:2022评估必须符合CNSA 1.0标准。随着保护配置文件和协作保护配置文件不断更新以适应CC:2022标准，CNSA 1.0合规性早已指日可待。
2027年的截止期限
2027年1月1日——这一CNSA 1.0合规截止日期涵盖了多个方面。
在讨论具体截止日期之前，需要特别指出的是，验证资源将优先分配给符合CNSA 2.0标准的产品。完全合规的产品将获得最高优先级，其次是部分合规的产品，而完全不合规的产品在验证资源分配方面将获得最低优先级。
首先，2027年1月1日这一日期标志着NIAP将停止受理未达到至少CNSA 1.0合规标准的产品进行评估。此外，自2027年7月1日起，此类产品将不再被列入NIAP产品合规清单（PCL）；这意味着，如果您在年底前已针对某款不合规产品启动评估，该产品在评估完成后可能无法被列入清单。
已列入NIAP PCL但不合规的产品，也将在具体日期待定的时间被归档，且无法通过“保障维护”延长证书有效期。此外，无论NIAP第29号政策函及其附录1中规定了多长的有效期，不合规产品的证书有效期均不得超过两年。
2028年和2029年的截止期限
2028年起，CNSA 2.0合规性将成为强制要求，其要求与上述CNSA 1.0合规性要求类似。
自2028年1月1日起，对于在所有加密功能上均不符合CNSA 2.0要求的产品，NIAP将不再受理任何评估申请。
对于在2028年之前已开始评估但不符合CNSA 2.0要求的产品，其发布截止日期为2029年1月1日，因为NIAP将于2029年1月1日停止发布不符合要求的产品。
此外，与之前的CNSA 1.0合规要求类似，列入NIAP PCL且不符合CNSA 2.0要求的产品将在日后确定的日期被归档。
从CNSA 1.0到CNSA 2.0的转变十分显著，许多算法被限制使用，并被新的抗量子算法所取代。下表展示了两个版本之间的变化，删除的内容以红色标出，新增的内容以绿色标出。
采取行动与最终思考
我们意识到，对于许多供应商而言，上述限制将带来挑战。
但是，鉴于资源将优先分配给符合CNSA 2.0标准的产品，且对新评估存在限制，我们强烈建议供应商尽快开始探索如何符合CNSA 2.0标准。
CNSA 1.0合规的产品在不久的将来仍能通过评估，但它们在验证资源分配方面将被降级处理，并面临自2028年起被移出NIAP PCL的风险。
不符合CNSA标准的产品将面临更大的障碍，因为它们在验证资源分配上将被降级处理，且仅有半年的时间完成公示，同时仍面临相等的归档风险。
为抢占先机，您可以在10月26日即将举行的FIPS ‘n’ Chips大会上进一步了解向PQC算法的过渡——届时专家小组将就PQC倒计时展开讨论。FIPS ‘n’ Chips大会将围绕包括此类议题在内的诸多重要问题举办演讲、小组讨论及交流活动。我们诚邀您莅临奥斯汀参加大会——点击立即注册！
对于关注这些新时间节点的每个人，我们都很乐意尽我们所能回答任何问题或提供澄清。请随时通过info@atsec.com与我们联系！
