Kryptografia postkwantowa: standardy NIST i jak wygląda migracja

Jak łączą się pierwsze standardy postkwantowe NIST, dlaczego migrację trzeba rozpocząć przed Q-Day i z jakimi praktycznymi krokami organizacje muszą zmierzyć się już teraz.

Ta strona została przetłumaczona z angielskiego. Nazwy firm i produktów oraz linki do źródeł pozostają bez zmian. Przeczytaj oryginał po angielsku

Kryptografia postkwantowa to próba zastąpienia dzisiejszej podatnej kryptografii klucza publicznego alternatywami, które — jak się uważa — będą odporne na ataki przyszłych komputerów kwantowych. Pierwsze trzy sfinalizowane standardy NIST, opublikowane w 2024 roku, oznaczają, że transformacja wyszła z fazy badań i weszła we wdrożenia: od organizacji oczekuje się dziś zinwentaryzowania miejsc, w których używane są podatne algorytmy, podjęcia decyzji, co wymienić w pierwszej kolejności, oraz rozpoczęcia wieloletnich prac migracyjnych.

Dlaczego kryptografia postkwantowa jest potrzebna

Problem nie polega na tym, że komputery kwantowe mogą złamać wszystko. Główna obawa jest węższa, ale ważniejsza: powszechnie stosowane systemy klucza publicznego opierają się na problemach matematycznych, takich jak rozkład liczb całkowitych na czynniki pierwsze, logarytmy dyskretne i logarytmy dyskretne na krzywych eliptycznych. Wystarczająco wydajny komputer kwantowy uruchamiający algorytm Shora mógłby efektywnie rozwiązywać te problemy, co podważyłoby bezpieczeństwo takich systemów jak RSA, Diffie–Hellman nad ciałami skończonymi i Diffie–Hellman na krzywych eliptycznych.

To zagrożenie wciąż ma charakter przyszły. Według stanu na 2026 rok komputery kwantowe nie mają mocy obliczeniowej potrzebnej do łamania szeroko wdrożonych systemów kryptograficznych, a laboratoryjne demonstracje algorytmu Shora działały jedynie dla bardzo małych liczb. Praktyczną przeszkodą nie jest możliwość teoretyczna, lecz skala inżynieryjna: Wikipedia zauważa, że przewyższenie metod klasycznych może wymagać maszyn z milionami kubitów ze względu na narzut związany z korekcją błędów.

Mimo to czekanie na w pełni zdolny komputer kwantowy byłoby błędem. Migracja trwa latami, a część danych ma długi okres poufności. Dlatego „pozyskaj teraz, odszyfruj później” stało się kluczowym pojęciem planistycznym. Przeciwnik może już dziś gromadzić zaszyfrowany ruch lub przechowywany szyfrogram i zachować go do czasu, aż przyszły postęp umożliwi deszyfrację. W przypadku archiwów e-mail, danych medycznych, własności intelektualnej, dokumentacji rządowej czy logów infrastruktury krytycznej szkoda może pojawić się długo po tym, jak dane zostały po raz pierwszy przechwycone.

Co zmienia technologia kwantowa — a czego nie zmienia

Częstym nieporozumieniem jest przekonanie, że obliczenia kwantowe czynią całą kryptografię przestarzałą.

Większość współczesnej kryptografii symetrycznej i funkcji skrótu jest uznawana za stosunkowo bezpieczną wobec ataków kwantowych. Algorytm Grovera może przyspieszyć wyszukiwanie metodą brute force przeciw szyfrom symetrycznym, ale w praktyce efekt ten można skompensować przez użycie większych rozmiarów kluczy, na przykład przez podwojenie długości klucza. Największe zakłócenie dotyczy więc kryptografii klucza publicznego, zwłaszcza:

ustanawiania kluczy i wymiany kluczy
szyfrowania z użyciem klucza publicznego i enkapsulacji klucza
podpisów cyfrowych

Dlatego program PQC NIST koncentrował się na mechanizmach enkapsulacji klucza, czyli KEM-ach, oraz algorytmach podpisu cyfrowego, zamiast od razu wymieniać wszystko w całym stosie technologicznym.

Co NIST ustandaryzował najpierw

NIST rozpoczął formalne prace standaryzacyjne pod koniec 2016 roku po ogłoszeniu naboru propozycji. Zgodnie z dokumentacją standaryzacyjną do pierwszej rundy trafiło 69 kompletnych i poprawnych zgłoszeń, a siedmiu kandydatów dotarło do trzeciej rundy ogłoszonej w lipcu 2020 roku. Po latach oceny NIST sfinalizował swoje pierwsze trzy standardy 13 sierpnia 2024 roku.

Tymi standardami są:

FIPS 203: ML-KEM, Module-Lattice-Based Key-Encapsulation Mechanism, oparty na CRYSTALS-Kyber
FIPS 204: ML-DSA, Module-Lattice-Based Digital Signature Algorithm, oparty na CRYSTALS-Dilithium
FIPS 205: SLH-DSA, Stateless Hash-Based Digital Signature Algorithm, oparty na SPHINCS+

NIST opisuje ML-KEM jako podstawowy standard dla szyfrowania ogólnego zastosowania, podkreślając jego stosunkowo małe klucze szyfrujące i szybkość działania. ML-DSA jest podstawowym standardem dla podpisów cyfrowych. SLH-DSA wykorzystuje inną podstawę matematyczną i ma pełnić rolę rozwiązania zapasowego na wypadek, gdyby ML-DSA okazał się później podatny.

Wytyczne samego NIST są jednoznaczne: te trzy standardy są gotowe do natychmiastowego użycia i organizacje powinny zacząć je stosować już teraz.

Dlaczego standardów jest kilka, a nie jeden zwycięzca

Dziedzina postkwantowa nie ma jednego dominującego fundamentu matematycznego. Różne rodziny rozwiązań mają odmienne mocne strony, cechy implementacyjne i profile ryzyka. Wybory NIST odzwierciedlają podejście portfelowe.

Kryptografia oparta na sieciach kratowych bierze dziś na siebie dużą część ciężaru wdrożeń. Pierwsze ustandaryzowane przez NIST algorytmy kratowe to ML-KEM i ML-DSA. Są atrakcyjne między innymi ze względu na wydajność i rozsądne rozmiary kluczy.

Jednak dywersyfikacja ma znaczenie. NIST wybrał SLH-DSA, schemat podpisu oparty na funkcjach skrótu, jako rozwiązanie zapasowe wobec podstawowego podpisu opartego na kratach. Następnie 11 marca 2025 roku NIST wybrał HQC jako zapasowy KEM do szyfrowania ogólnego zastosowania. HQC jest oparty na kodach, a nie na kratach, i NIST stwierdził, że właśnie ta różnica w podejściu matematycznym jest powodem utrzymywania go jako opcji rezerwowej.

Przekaz jest strategiczny: nie należy opierać przyszłości cyfrowego zaufania na jednym tylko założeniu.

Kolejne standardy w przygotowaniu

Prace NIST nad PQC nie zakończyły się wraz z publikacją z 2024 roku.

Strona projektu CSRC podaje, że NIST kontynuuje prace standaryzacyjne nad:

Falcon, algorytmem podpisu cyfrowego
HQC, mechanizmem enkapsulacji klucza

Dokumentacja standaryzacyjna mówi, że standard oparty na Falcon będzie nosił nazwę FN-DSA w FIPS 206. Według stanu na połowę 2026 roku pozostawał on w statusie projektu. Podawanym powodem wolniejszego harmonogramu jest złożoność implementacyjna: FN-DSA opiera się w procesie podpisywania na gaussowskim próbkowaniu zmiennoprzecinkowym, które — jak wskazuje NIST — jest trudniejsze do bezpiecznej implementacji i realizacji w czasie stałym niż trzy już sfinalizowane standardy.

W przypadku HQC NIST poinformował w marcu 2025 roku, że projekt standardu jest spodziewany za około rok, a finalny standard ma pojawić się w 2027 roku po konsultacjach publicznych.

Ten rozłożony w czasie harmonogram ma znaczenie operacyjne. Organizacje nie muszą czekać na każdą przyszłą opcję, zanim zaczną działać. NIST oczekuje, że ML-KEM, ML-DSA i SLH-DSA będą stanowiły podstawę większości wdrożeń, i twierdzi, że powinny być już używane.

Szybka mapa pierwszych standardów

Standard	Nazwa algorytmu	Główne zadanie	Rodzina matematyczna	Opis roli według NIST
FIPS 203	ML-KEM	Ustanawianie kluczy / wsparcie dla szyfrowania ogólnego zastosowania	Oparty na kratach	Podstawowy standard dla szyfrowania ogólnego zastosowania
FIPS 204	ML-DSA	Podpisy cyfrowe	Oparty na kratach	Podstawowy standard dla podpisów
FIPS 205	SLH-DSA	Podpisy cyfrowe	Oparty na funkcjach skrótu	Zapasowa metoda podpisu
Nadchodzący	FN-DSA	Podpisy cyfrowe	Oparty na kratach NTRU	Dodatkowy standard podpisu w przygotowaniu
Nadchodzący	HQC	Ustanawianie kluczy / wsparcie dla szyfrowania ogólnego zastosowania	Oparty na kodach	Zapasowy KEM dla ML-KEM

Jak naprawdę wygląda migracja

Migracja mniej przypomina podmianę biblioteki, a bardziej przeprojektowanie zależności kryptograficznych w całych systemach.

Wytyczne migracyjne NIST mówią, że organizacje muszą zidentyfikować, gdzie używane są podatne algorytmy, oraz zaplanować aktualizacje lub wymianę produktów, usług i protokołów. Oznacza to odnajdywanie kryptografii w miejscach, gdzie często jest ona słabo udokumentowana:

terminacja TLS i wewnętrzne połączenia między usługami
VPN-y i systemy dostępu zdalnego
PKI i obiegi certyfikatów
podpisywanie kodu i podpisywanie dokumentów
sprzętowe moduły bezpieczeństwa i systemy aktualizacji firmware
narzędzia do zarządzania tożsamością, dostępem i kluczami
urządzenia wbudowane i technologia operacyjna
długo przechowywane dane chronione starszymi schematami ustanawiania kluczy

Pierwszym krokiem jest zwykle inwentaryzacja kryptograficzna: gdzie używane są RSA, Diffie–Hellman lub mechanizmy oparte na krzywych eliptycznych — bezpośrednio albo za pośrednictwem produktów firm trzecich? Drugim jest priorytetyzacja: które systemy są obarczone wysokim ryzykiem, ponieważ przetwarzają długo żyjące tajemnice albo są trudne do aktualizacji? Trzecim jest realizacja: testy, prace nad interoperacyjnością, etapowe wdrożenie i zmiany polityk.

Harmonogram NIST zwiększa presję czasową. Zgodnie z harmonogramem transformacji przywoływanym na stronie CSRC NIST planuje wycofać, a ostatecznie usunąć ze swoich standardów algorytmy podatne na ataki kwantowe do 2035 roku, przy czym systemy o wyższym ryzyku mają przechodzić zmiany znacznie wcześniej.

Największe kompromisy inżynieryjne

Migracja do kryptografii postkwantowej to nie tylko ćwiczenie zgodności regulacyjnej. Wiąże się z realnymi kompromisami technicznymi.

Jednym z szerokich kompromisów jest relacja między rozmiarem a wydajnością. Materiały NIST dotyczące PQC wskazują, że wiele algorytmów PQC używa większych kluczy niż przedkwantowe systemy klucza publicznego. Opisują też kompromisy między rozmiarem klucza, wydajnością obliczeniową oraz rozmiarem szyfrogramu lub podpisu. W przypadku protokołów internetowych i urządzeń o ograniczonych zasobach różnice te mogą wpływać na przepustowość, opóźnienia, pamięć i złożoność implementacji.

Kolejnym kompromisem jest dojrzałość kontra różnorodność. Systemy oparte na kratach dominują obecnie w pierwszych standardach, ponieważ w ocenach NIST wypadły na tyle dobrze, by stać się podstawowymi wyborami. Jednak ryzyko koncentracji jest realne, dlatego rozwijane są standardy zapasowe oparte na innej matematyce.

Trzecią kwestią jest bezpieczeństwo implementacyjne. Dokumentacja standaryzacyjna wspomina o problemach związanych z kanałami bocznymi w przypadku Falcon i zauważa, że możliwe środki zaradcze mogą wpływać na wydajność. Szerzej rzecz ujmując, projekt kryptograficzny może wyglądać na silny na papierze, a mimo to być trudny do bezpiecznego wdrożenia w praktyce.

Czego standardy nie rozstrzygają

Samo istnienie standardu nie dowodzi wieczystego bezpieczeństwa. Uważa się, a nie dowodzi, że algorytmy postkwantowe są odporne na ataki kwantowe. To zastrzeżenie jest wpisane w samą naturę tej dziedziny.

Są też wnioski z procesu NIST. Część kandydatów została złamana w trakcie oceny. Wikipedia wskazuje dwa szczególnie widoczne przykłady: Rainbow został złamany na klasycznym komputerze podczas trzeciej rundy, a SIKE został złamany w rundzie czwartej. Te porażki nie unieważniają PQC jako całości; pokazują, dlaczego publiczna kryptoanaliza i ostrożna standaryzacja wymagają czasu.

Otwarte pozostają pytania dotyczące:

długoterminowego zaufania do wybranych problemów matematycznych
jakości implementacji u dostawców i w stosach open source
odporności na kanały boczne w rzeczywistym sprzęcie i oprogramowaniu
interoperacyjności w protokołach i ekosystemach certyfikatów
tego, jak agresywnie organizacje powinny dywersyfikować się między rodzinami algorytmów

Praktyczny sposób myślenia o tym, „kiedy się ruszyć”

Dla większości organizacji właściwe pytanie nie brzmi: „Czy Q-Day nastąpi w przyszłym roku?”, lecz: „Jak długo potrwa nasza migracja i jak długo nasze dane muszą pozostać bezpieczne?”

Jeśli wasze systemy są głęboko osadzone, regulowane, globalnie rozproszone albo zależne od dostawców, transformacja może postępować wolno. Jeśli wasze dane nadal będą wrażliwe za kilka lat, ryzyko typu harvest-now sprawia, że odkładanie działań staje się bardziej kosztowne. Ta logika wyjaśnia, dlaczego NIST nalega na natychmiastowe wdrażanie standardów z 2024 roku, mimo że komputery kwantowe nie osiągnęły jeszcze potrzebnej skali.

Krótko mówiąc, migracja do PQC to klasyczna transformacja infrastrukturalna: trzeba zacząć przed kryzysem, ponieważ kiedy kryzys stanie się oczywisty, na płynną zmianę będzie już za późno.

Kluczowe wnioski

Kryptografia postkwantowa dotyczy przede wszystkim zastąpienia podatnych systemów klucza publicznego, a nie porzucenia całej istniejącej kryptografii.
Wystarczająco wydajny komputer kwantowy uruchamiający algorytm Shora mógłby złamać RSA, Diffie–Hellman i Diffie–Hellman na krzywych eliptycznych.
NIST sfinalizował swoje pierwsze trzy standardy PQC 13 sierpnia 2024 roku: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) i FIPS 205 (SLH-DSA).
NIST twierdzi, że te standardy są gotowe już teraz i organizacje powinny natychmiast rozpocząć migrację.
ML-KEM jest podstawowym standardem dla ustanawiania kluczy związanego z szyfrowaniem ogólnego zastosowania; ML-DSA jest podstawowym standardem podpisu; SLH-DSA jest zapasową metodą podpisu.
W marcu 2025 roku NIST wybrał HQC jako zapasowy KEM oparty na innej matematyce niż ML-KEM.
Migracja zaczyna się od ustalenia, gdzie używane są podatne algorytmy, a następnie od nadania priorytetu systemom wysokiego ryzyka i zaplanowania etapowej wymiany.
Istotne kompromisy obejmują większy materiał kluczowy, koszty wydajnościowe i przepustowości, złożoność implementacji oraz wartość różnorodności matematycznej.
Standardy PQC ograniczają przyszłe ryzyko, ale nie eliminują niepewności; dalsza kryptoanaliza, przegląd implementacji i testy operacyjne pozostają niezbędne.
Główna presja czasowa wynika z długiego czasu transformacji i możliwości ataków typu harvest now, decrypt later na dane, które muszą pozostać poufne przez wiele lat.