توزیع کلید کوانتومی در برابر رمزنگاری پساکوانتومی: هرکدام در برابر چه چیزی محافظت می‌کنند

توزیع کلید کوانتومی و رمزنگاری پساکوانتومی از نظر هدف، فرضیات، مصالحه‌های استقرار و تهدیدهایی که هرکدام پوشش می‌دهند چه تفاوتی با هم دارند.

این صفحه از انگلیسی ترجمه شده است. نام شرکت‌ها، محصولات و پیوندهای منابع بدون تغییر باقی مانده‌اند. خواندن نسخه اصلی انگلیسی

توزیع کلید کوانتومی و رمزنگاری پساکوانتومی اغلب در کنار هم به‌عنوان فناوری‌های «ایمن در برابر کوانتوم» دسته‌بندی می‌شوند، اما هرکدام مسئله‌ای متفاوت را با روشی متفاوت حل می‌کنند. QKD روشی برای ایجاد کلیدهای محرمانهٔ مشترک است که امنیت آن به رفتار مکانیک کوانتومی گره خورده، در حالی که PQC خانواده‌ای از الگوریتم‌هاست — عمدتاً در حوزهٔ کلید عمومی — که هدفشان حفظ امنیت سامانه‌های دیجیتال امروزی در برابر رایانه‌های کوانتومی آینده است.

در عمل، انتخاب معمولاً این نیست که یکی را به‌جای دیگری برگزینید. QKD دربارهٔ برقراری کلید با قابلیت تشخیص استراق سمع، آن هم تحت فرض‌های مشخص فیزیکی و شبکه‌ای است؛ PQC دربارهٔ جایگزین کردن اجزای آسیب‌پذیر رمزنگاری در سراسر زیرساخت‌های موجود است. برای فهم این‌که هرکدام در برابر چه چیزی محافظت می‌کنند، باید از همین تمایز شروع کرد.

دو پاسخ متفاوت به تهدید کوانتومی

نگرانی اصلی پشت هر دو رویکرد این است که رایانش کوانتومی بسیاری از سامانه‌های پرکاربرد کلید عمومی را تهدید می‌کند. بر اساس خلاصهٔ Wikipedia از رمزنگاری پساکوانتومی، بیشتر الگوریتم‌های کلید عمومیِ مستقر بر تجزیهٔ اعداد صحیح، لگاریتم گسسته یا لگاریتم گسستهٔ مبتنی بر منحنی بیضوی تکیه دارند، و یک رایانهٔ کوانتومیِ به‌اندازهٔ کافی قدرتمند که الگوریتم شور (Shor’s algorithm) را اجرا کند، می‌تواند این مسائل را به‌صورت کارآمد حل کند.

این به آن معنا نیست که همهٔ رمزنگاری‌ها یک‌باره از کار می‌افتند. در همان خلاصهٔ Wikipedia آمده است که رمزنگاری متقارن و توابع هشِ فعلی در برابر حملات کوانتومی نسبتاً امن تلقی می‌شوند، هرچند الگوریتم گروور (Grover’s algorithm) می‌تواند جست‌وجوی brute-force را سریع‌تر کند و در عمل می‌توان با دو برابر کردن اندازهٔ کلید با آن مقابله کرد.

از اینجا به بعد، مسیر QKD و PQC از هم جدا می‌شود:

QKD می‌خواهد به دو طرف امکان دهد با استفاده از حالت‌های کوانتومی، یک کلید محرمانهٔ تصادفیِ مشترک تولید کنند.
PQC می‌خواهد الگوریتم‌های کلاسیکِ آسیب‌پذیرِ کلید عمومی را با الگوریتم‌های جدیدی جایگزین کند که در حال حاضر تصور می‌شود — هرچند اثبات نشده — در برابر حملات کوانتومی مقاوم باشند.

این تفاوت در دامنه مهم است. QKD به‌خودی‌خود داده‌های کاربردی شما را رمزگذاری نمی‌کند؛ بلکه کلید توزیع می‌کند. در مقابل، PQC قرار است دقیقاً در همان جاهایی قرار بگیرد که رمزنگاری کلید عمومی همین حالا برای برقراری کلید و امضای دیجیتال استفاده می‌شود.

QKD در برابر چه چیزی محافظت می‌کند

QKD یک روش ارتباط امن مبتنی بر مکانیک کوانتومی است، از جمله اصل اختلال ناشی از اندازه‌گیری و قضیهٔ عدم‌همسانه‌سازی (no-cloning theorem). هدف آن این است که دو طرف یک کلید محرمانهٔ مشترک بسازند که فقط خودشان از آن اطلاع داشته باشند.

ویژگی امنیتی متمایز آن تشخیص استراق سمع است. به‌طور کلی، اندازه‌گیری یک سامانهٔ کوانتومی آن را دچار اختلال می‌کند. بنابراین اگر شخص ثالثی بخواهد با اندازه‌گیری حالت‌های کوانتومیِ ارسال‌شده، از کلید آگاه شود، این مداخله ناهنجاری‌هایی ایجاد می‌کند که طرف‌های مجاز می‌توانند آن‌ها را تشخیص دهند. اگر اختلال مشاهده‌شده پایین‌تر از یک آستانه باشد، ممکن است هنوز بتوانند یک کلید امن استخراج کنند؛ اگر بیش از حد زیاد باشد، فرایند را متوقف می‌کنند.

مقالهٔ Wikipedia دربارهٔ توزیع کلید کوانتومی توضیح می‌دهد که امنیت QKD بر فیزیک استوار است، نه بر سختیِ فرضیِ مسائل ریاضی. همچنین QKD را دارای امنیت اثبات‌پذیر بر پایهٔ نظریهٔ اطلاعات و فراهم‌کنندهٔ محرمانگی پیش‌رونده (forward secrecy) توصیف می‌کند.

با این حال، QKD بخش محدودتری از مسئله را پوشش می‌دهد، آن هم کمتر از چیزی که بسیاری تصور می‌کنند:

از فرایند توزیع کلید محافظت می‌کند.
دادهٔ پیام را مستقیماً ارسال نمی‌کند.
کلید حاصل همچنان باید با یک روش رمزگذاری مانند one-time pad یا یک الگوریتم متقارن مثل AES استفاده شود.

پس اگر پرسش این باشد که «QKD از چه چیزی دفاع می‌کند؟» پاسخ این است: از محرمانگیِ خودِ تبادل کلید، تحت فرض‌های پروتکل و پیاده‌سازی، با قابل‌تشخیص کردن استراق سمع روی کانال کوانتومی محافظت می‌کند.

QKD در سطحی کلی چگونه کار می‌کند

مقالهٔ Wikipedia دربارهٔ توزیع کلید کوانتومی دو خانوادهٔ کلی از پروتکل‌های QKD را شرح می‌دهد.

آماده‌سازی و اندازه‌گیری

در این مدل، یک طرف حالت‌های کوانتومی را آماده می‌کند و آن‌ها را از طریق یک کانال کوانتومیِ ناامن می‌فرستد. گیرنده آن‌ها را اندازه‌گیری می‌کند. سپس، از طریق یک کانال کلاسیکِ احراز هویت‌شده، دو طرف مقدار محدودی از اطلاعات را مقایسه می‌کنند تا بررسی کنند آیا اندازه‌گیری‌ها با یک انتقالِ بدون اختلال سازگار بوده‌اند یا نه.

اگر سازگار نباشند، احتمال استراق سمع یا نویز بیش‌ازحد را نتیجه می‌گیرند و ممکن است فرایند را متوقف کنند.

شناخته‌شده‌ترین نمونه BB84 است که Charles H. Bennett و Gilles Brassard در سال 1984 معرفی کردند. در BB84، فرستنده بیت‌های تصادفی را در یکی از دو پایهٔ ممکن کدگذاری می‌کند و گیرنده هر حالت کوانتومیِ ورودی را با پایه‌ای که به‌طور تصادفی انتخاب شده اندازه‌گیری می‌کند. پس از آن، آن‌ها انتخاب‌های مربوط به پایه را به‌صورت عمومی مقایسه می‌کنند و موقعیت‌هایی را که در آن از پایه‌های متفاوت استفاده کرده‌اند کنار می‌گذارند. سپس زیرمجموعه‌ای از بیت‌های باقی‌مانده را از نظر خطا آزمایش می‌کنند؛ زیاد بودن تعداد خطاها به این معناست که دیگر نمی‌توان امنیت را تضمین کرد.

مبتنی بر درهم‌تنیدگی

این پروتکل‌ها از حالت‌های درهم‌تنیده‌ای استفاده می‌کنند که بین دو طرف به اشتراک گذاشته شده‌اند. Wikipedia توضیح می‌دهد که اندازه‌گیری یک نیمه از یک جفت درهم‌تنیده بر کل سامانه اثر می‌گذارد، و رهگیری، هم‌بستگی‌ها را به‌گونه‌ای تغییر می‌دهد که قابل تشخیص است. یکی از نمونه‌های ذکرشده E91 است که Artur Ekert در سال 1991 پیشنهاد کرد.

برای یک غیرمتخصص، نکتهٔ مهم این است که هر دو خانواده می‌کوشند به یک هدف برسند: تولید یک کلید محرمانهٔ مشترک، به‌گونه‌ای که رهگیری قابل مشاهده باشد.

وابستگی پنهان QKD: احراز هویت

ویژگی شاخص QKD می‌تواند یک الزام حیاتی را پنهان کند. مقالهٔ Wikipedia دربارهٔ توزیع کلید کوانتومی می‌گوید QKD معمولاً به یک کانال کلاسیکِ احراز هویت‌شده متکی است. این همان چیزی است که باعث می‌شود دو طرف در مرحلهٔ گفت‌وگوی عمومی مطمئن باشند واقعاً با یکدیگر صحبت می‌کنند، نه با فردی که خودش را به‌جای یکی از آن‌ها جا زده است.

این موضوع یک محدودیت عملی مهم ایجاد می‌کند:

برای احراز هویت آن کانال کلاسیک، طرفین از قبل به یک مبنای رمزنگاریِ مورد اعتماد نیاز دارند؛ مانند یک کلید متقارن که قبلاً مبادله شده باشد یا کلیدهای عمومیِ به‌اندازهٔ کافی امن.

این یعنی QKD مسئلهٔ احراز هویت را حذف نمی‌کند. بلکه توزیع کلید را با این فرض حل می‌کند که احراز هویت از قبل در دسترس است.

مقالهٔ Wikipedia دربارهٔ پیامد این موضوع به‌شکلی کم‌سابقه صریح است: اگر از قبل آنچه برای احراز هویت امن لازم است را در اختیار دارید، در عمل ممکن است بتوانید بدون QKD و با استفاده از رمزنگاری متقارنِ متعارف به ارتباط امن برسید. حتی QKD را این‌گونه توصیف می‌کند که کار یک stream cipher را با هزینه‌ای بسیار بیشتر انجام می‌دهد.

این یکی از مصالحه‌های کلیدی در بحث QKD است. مدل امنیتی آن جذاب است، اما بار استقرار آن در سطح سامانه قابل توجه است.

PQC در برابر چه چیزی محافظت می‌کند

PQC یک سطح تهدید متفاوت را هدف می‌گیرد. PQC به توسعهٔ الگوریتم‌های رمزنگاری — معمولاً الگوریتم‌های کلید عمومی — گفته می‌شود که در حال حاضر تصور می‌شود در برابر حملات رایانه‌های کوانتومی امن باقی بمانند.

هدف اصلی آن از کار افتادنِ آیندهٔ سامانه‌های کلید عمومیِ امروز است. خلاصهٔ Wikipedia از رمزنگاری پساکوانتومی همچنین دو دلیل را برجسته می‌کند که نشان می‌دهد مهاجرت باید پیش از ظهور رایانه‌های کوانتومیِ بزرگ آغاز شود:

مهاجرت زمان می‌برد.
Harvest now, decrypt later یک نگرانی واقعی است: داده‌هایی که امروز جمع‌آوری می‌شوند، ممکن است سال‌ها بعد همچنان حساس باشند.

بنابراین PQC در برابر دو ریسک مرتبط محافظت می‌کند:

رمزگشاییِ آیندهٔ داده‌هایی که امروز با روش‌های کلید عمومیِ آسیب‌پذیر در برابر کوانتوم محافظت می‌شوند.
جعل یا از کار افتادنِ آیندهٔ سازوکارهای اصالت‌سنجی که به همان روش‌های آسیب‌پذیر متکی هستند.

برخلاف QKD، PQC بر سخت‌افزار ارتباطی کوانتومی متکی نیست. این یک گذار در رمزنگاری کلاسیک است: جایگزین کردن الگوریتم‌ها درون نرم‌افزار، سخت‌افزار، پروتکل‌ها و استانداردها.

PQC گسترده‌تر از یک خانوادهٔ الگوریتمی است

خلاصهٔ Wikipedia از رمزنگاری پساکوانتومی چندین مسیر پژوهشی در PQC را فهرست می‌کند، از جمله رمزنگاری مبتنی بر شبکه (lattice-based)، چندمتغیره (multivariate)، مبتنی بر هش (hash-based)، مبتنی بر کد (code-based) و مبتنی بر ایزوژنی (isogeny-based)، همراه با رویکردهای کلید متقارن با استفاده از کلیدهای به‌اندازهٔ کافی بزرگ.

یک ظرافت مهم این است که امنیت PQC به‌صورت کلی و فراگیر اثبات نشده است. Wikipedia بارها این سامانه‌ها را الگوریتم‌هایی توصیف می‌کند که در حال حاضر امن پنداشته می‌شوند، و اشاره می‌کند که برخی گزینه‌های پیشنهادی شکست خورده‌اند. یک نمونهٔ قابل‌توجه SIDH/SIKE است که در سال 2022 شکسته شد.

این مسئله کلیت PQC را زیر سؤال نمی‌برد، اما نشان می‌دهد که «مقاوم در برابر کوانتوم» یک برچسب دائمی نیست. این یک فرایند پژوهشی و استانداردسازی است که بر رمزتحلیلِ مداوم تکیه دارد.

بعضی خانواده‌ها نسبت به بقیه کاهش‌های صوریِ قوی‌تری دارند، و بعضی دیگر مصالحه‌های عملی مانند کلیدها، امضاها یا ciphertextهای بزرگ‌تر دارند. Wikipedia اشاره می‌کند که بسیاری از الگوریتم‌های PQC به اندازهٔ کلید بزرگ‌تری نسبت به سامانه‌های کلید عمومیِ پیشاکوانتومی نیاز دارند، و این می‌تواند در اندازهٔ انتقال و بهره‌وری محاسباتی مصالحه ایجاد کند.

واقعیت استانداردسازی و استقرار

شفاف‌ترین نشانه دربارهٔ وضعیت عملی PQC از سوی NIST می‌آید.

NIST می‌گوید استانداردهای اصلی PQC خود را در 2024 منتشر کرده و سازمان‌ها باید مهاجرت را از همین حالا آغاز کنند. استانداردهای فهرست‌شده عبارت‌اند از:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST همچنین می‌گوید این استانداردها باید مبنای بیشتر استقرارها باشند و استانداردهای بیشتری نیز در دست تدوین‌اند، از جمله Falcon و HQC. این نهاد همچنین بیان می‌کند که بر اساس جدول زمانی گذار در NIST IR 8547، الگوریتم‌های آسیب‌پذیر در برابر کوانتوم تا 2035 از استانداردهای NIST ابتدا منسوخ و در نهایت حذف خواهند شد، و سامانه‌های پرریسک‌تر زودتر مشمول این روند می‌شوند.

این یک تفاوت مهم با QKD است. فارغ از این‌که کسی دربارهٔ مزیت‌های بلندمدت هر رویکرد چه نظری داشته باشد، PQC همین حالا وارد یک مسیر مهاجرت مبتنی بر استاندارد شده که هدف آن استقرار گسترده در زیرساخت دیجیتال عادی است.

مقایسهٔ کنار هم: هرکدام در برابر چه چیزی محافظت می‌کنند

جنبه	توزیع کلید کوانتومی	رمزنگاری پساکوانتومی
هدف اصلی	ایجاد یک کلید محرمانهٔ مشترک	جایگزینی الگوریتم‌های کلید عمومیِ آسیب‌پذیر
مبنای امنیت	مکانیک کوانتومی و اختلالِ قابل تشخیص	الگوریتم‌های کلاسیکی که مقاوم در برابر حملات کوانتومی پنداشته می‌شوند
چیزی که مستقیماً محافظت می‌کند	محرمانگیِ توزیع کلید	برقراری کلید، امضاها و دیگر کارکردهای کلید عمومی در سامانه‌های دیجیتال
تشخیص استراق سمع	بله، به‌عنوان یک ویژگی ذاتی پروتکل	فاقد ویژگی فیزیکیِ معادل برای تشخیص
نیازمندی سخت‌افزاری	نیازمند یک کانال کوانتومی به‌علاوهٔ کانال کلاسیک	قابل اجرا روی زیرساخت دیجیتال کلاسیک
نیاز به احراز هویت	نیازمند یک کانال کلاسیکِ احراز هویت‌شده	خود از طریق استانداردهای امضا/KEM سازوکارهای احراز هویت ارائه می‌کند
مدل استقرار	لینک‌های تخصصی و راه‌اندازی پروتکل	مهاجرت نرم‌افزار، سخت‌افزار و پروتکل در سراسر سامانه‌های موجود
اصلی‌ترین مصالحهٔ مبتنی بر شواهد	هزینهٔ بالا و وابستگی به احراز هویتِ قبلی	کلیدها/امضاهای بزرگ‌تر و ریسکِ مداومِ ارزیابی الگوریتم

پس کدام‌یک «بیشتر» محافظت می‌کند؟

هیچ‌کدام به‌صورت جهان‌شمول محافظت بیشتری ارائه نمی‌کنند؛ آن‌ها به شکل‌های متفاوتی محافظت می‌کنند.

QKD برای توزیع کلید یک ادعای امنیتیِ متمایز ارائه می‌دهد: تلاش برای رهگیری روی کانال کوانتومی، در اصل، قابل تشخیص است. برای کاربردهایی که این ویژگی در آن‌ها تعیین‌کننده است، QKD می‌تواند جذاب باشد. اما این رویکرد با فرض‌های سخت‌گیرانه همراه است، به‌ویژه نیاز به یک کانال کلاسیکِ احراز هویت‌شده و زیرساخت ارتباطیِ تخصصی.

PQC مسئلهٔ گسترده‌تر و فوری‌تر سامانه‌ها را هدف می‌گیرد: جایگزین کردن رمزنگاری کلید عمومی‌ای که یک رایانهٔ کوانتومیِ آینده می‌تواند آن را بشکند. این رویکرد ویژگی تشخیص استراق سمعِ مبتنی بر فیزیکِ QKD را ارائه نمی‌دهد، اما برای ایمن‌سازی همان کارکردهای رمزنگاری طراحی شده که شبکه‌های مدرن واقعاً در مقیاس وسیع به آن‌ها متکی هستند.

راه دیگری برای بیان این تفاوت:

اگر دغدغهٔ شما این است که دو نقطهٔ انتهایی چگونه روی یک کانال قابل‌مشاهدهٔ کوانتومی کلید برقرار کنند، ابزار مرتبط QKD است.
اگر دغدغهٔ شما این است که اینترنت، زنجیره‌های تأمین نرم‌افزار، سامانه‌های هویت و داده‌های رمزگذاری‌شدهٔ بلندعمر چگونه از ورود حملات کوانتومی جان سالم به در ببرند، پاسخ اصلی PQC است.

پرسش‌های باز و مصالحه‌ها

یک نگاه متوازن باید چند عدم‌قطعیت را در نظر داشته باشد.

برای QKD:

روایت امنیتی آن در نظریه قوی است، اما به پیاده‌سازیِ درست وابسته است.
نیاز به احراز هویت را از بین نمی‌برد.
Wikipedia به‌صراحت این پرسش عملی را مطرح می‌کند که آیا وقتی رمزگذاری احراز هویت‌شدهٔ کلاسیک ممکن است از قبل نیاز را برآورده کند، هزینهٔ اضافه توجیه‌پذیر است یا نه.

برای PQC:

این الگوریتم‌ها در برابر حملات کوانتومی امن پنداشته می‌شوند، نه این‌که امنیتشان اثبات شده باشد.
بعضی خانواده‌ها یا طرح‌های پیشنهادی زیر فشار رمزتحلیل شکست خورده‌اند.
استقرار عملی می‌تواند شامل کلیدهای بزرگ‌تر و سایر مصالحه‌های عملکردی باشد.

با این حال، NIST به یک اجماع عملیاتیِ کنونی اشاره می‌کند: از همین حالا به‌سمت PQC استانداردشده مهاجرت کنید، زیرا صبر کردن تا زمان بلوغ کامل رایانه‌های کوانتومی ممکن است زمان کافی برای حفاظت از محرمانگی و اصالتِ بلندمدت باقی نگذارد.

نکات کلیدی

QKD و PQC به معنای ساده، جایگزین یکدیگر نیستند. QKD کلیدهای محرمانه را توزیع می‌کند؛ PQC رمزنگاری کلید عمومیِ آسیب‌پذیر را جایگزین می‌کند.
ویژگی برجستهٔ QKD، تشخیص‌پذیری استراق سمع روی کانال کوانتومی است که ریشه در اختلال ناشی از اندازه‌گیری کوانتومی دارد.
QKD به‌تنهایی پیام‌ها را رمزگذاری نمی‌کند و معمولاً به یک کانال کلاسیکِ احراز هویت‌شده نیاز دارد؛ یعنی باید از قبل نوعی مبنای اعتماد وجود داشته باشد.
PQC مسئلهٔ گسترده‌تر مهاجرت ناشی از تهدیدات کوانتومی علیه سامانه‌های کنونیِ کلید عمومی را هدف می‌گیرد.
رمزنگاری متقارنِ فعلی کمتر از رمزنگاری کلید عمومیِ فعلی از رایانش کوانتومی آسیب می‌بیند، هرچند اندازهٔ بزرگ‌تر کلیدها ممکن است تصمیمی محتاطانه باشد.
PQC همین حالا وارد استانداردهای جریان اصلی شده است. NIST در سال 2024 استانداردهای FIPS 203، 204 و 205 را منتشر کرد و می‌گوید سازمان‌ها باید مهاجرت را از همین حالا آغاز کنند.
هیچ‌یک از این دو مسیر بدون هزینه نیست. QKD بارِ زیرساخت و احراز هویت را به همراه می‌آورد؛ PQC عدم‌قطعیت الگوریتمی و مصالحه‌های عملکردی مانند کلیدهای بزرگ‌تر را.
برای بیشتر سازمان‌ها، PQC پاسخ اصلی کوتاه‌مدت به ریسک کوانتومی است، در حالی که QKD یک هدف امنیتی محدودتر و تخصصی‌تر را پوشش می‌دهد.