Dystrybucja klucza kwantowego a kryptografia postkwantowa: przed czym chroni każde z tych rozwiązań

Czym różnią się dystrybucja klucza kwantowego i kryptografia postkwantowa pod względem celów, założeń, kompromisów wdrożeniowych oraz zagrożeń, którym mają przeciwdziałać.

Ta strona została przetłumaczona z angielskiego. Nazwy firm i produktów oraz linki do źródeł pozostają bez zmian. Przeczytaj oryginał po angielsku

Dystrybucję klucza kwantowego i kryptografię postkwantową często wrzuca się do jednego worka jako technologie „odporne na zagrożenia kwantowe”, ale rozwiązują one różne problemy na różne sposoby. QKD to metoda tworzenia współdzielonych tajnych kluczy, której bezpieczeństwo jest powiązane z zachowaniem mechaniki kwantowej, natomiast PQC to rodzina głównie algorytmów klucza publicznego, których celem jest zabezpieczenie dzisiejszych systemów cyfrowych przed przyszłymi komputerami kwantowymi.

W praktyce wybór zazwyczaj nie sprowadza się do prostego „albo jedno, albo drugie”. QKD dotyczy uzgadniania klucza z możliwością wykrywania podsłuchu przy określonych założeniach fizycznych i sieciowych; PQC dotyczy zastępowania podatnych elementów kryptograficznych w istniejącej infrastrukturze. Zrozumienie, przed czym chroni każde z tych rozwiązań, zaczyna się właśnie od tego rozróżnienia.

Dwie różne odpowiedzi na zagrożenie kwantowe

Podstawowa obawa stojąca za obiema metodami jest taka, że komputery kwantowe zagrażają wielu powszechnie używanym systemom kryptografii klucza publicznego. Zgodnie z podsumowaniem kryptografii postkwantowej w Wikipedii, większość wdrożonych algorytmów klucza publicznego opiera się na faktoryzacji liczb całkowitych, logarytmach dyskretnych lub logarytmach dyskretnych na krzywych eliptycznych, a wystarczająco wydajny komputer kwantowy uruchamiający algorytm Shora mógłby efektywnie rozwiązywać te problemy.

To nie oznacza, że cała kryptografia załamie się naraz. Podsumowanie w Wikipedii mówi również, że współczesna kryptografia symetryczna i funkcje skrótu są uznawane za relatywnie bezpieczne wobec ataków kwantowych, choć algorytm Grovera może przyspieszyć wyszukiwanie siłowe, czemu w praktyce można przeciwdziałać przez podwojenie długości klucza.

W tym miejscu drogi QKD i PQC się rozchodzą:

QKD ma umożliwić dwóm stronom wygenerowanie wspólnego losowego tajnego klucza z użyciem stanów kwantowych.
PQC ma zastąpić podatne klasyczne algorytmy klucza publicznego nowymi, co do których obecnie uważa się — choć nie zostało to dowiedzione — że są odporne na ataki kwantowe.

Ta różnica zakresu ma znaczenie. QKD samo w sobie nie szyfruje danych aplikacyjnych; rozprowadza klucze. Z kolei PQC ma trafić w te miejsca, w których kryptografia klucza publicznego jest już dziś używana do uzgadniania kluczy i podpisów cyfrowych.

Przed czym chroni QKD

QKD to bezpieczna metoda komunikacji oparta na mechanice kwantowej, w tym na zasadzie zaburzenia wywołanego pomiarem i twierdzeniu o zakazie klonowania. Jej celem jest umożliwienie dwóm stronom utworzenia wspólnego tajnego klucza znanego wyłącznie im.

Jej charakterystyczną właściwością bezpieczeństwa jest wykrywanie podsłuchu. Co do zasady pomiar układu kwantowego go zaburza. Jeśli więc strona trzecia próbuje poznać klucz poprzez pomiar przesyłanych stanów kwantowych, taka ingerencja powoduje anomalie, które uprawnione strony mogą wykryć. Jeśli zaobserwowane zaburzenie mieści się poniżej określonego progu, mogą nadal wyprowadzić bezpieczny klucz; jeśli jest zbyt duże, przerywają procedurę.

Artykuł Wikipedii o dystrybucji klucza kwantowego opisuje bezpieczeństwo QKD jako oparte na fizyce, a nie na zakładanej trudności problemów matematycznych. Opisuje też QKD jako rozwiązanie o bezpieczeństwie dowodliwym w sensie teorii informacji oraz zapewniające utajnienie z wyprzedzeniem (forward secrecy).

Mimo to QKD chroni węższy wycinek problemu, niż wiele osób zakłada:

Chroni proces dystrybucji klucza.
Nie przesyła bezpośrednio danych wiadomości.
Uzyskany klucz nadal musi zostać użyty z metodą szyfrowania, taką jak szyfr Vernama (one-time pad) albo algorytm symetryczny, np. AES.

Jeśli więc pytanie brzmi „Czego broni QKD?”, odpowiedź jest następująca: chroni poufność samej wymiany klucza, przy założeniach danego protokołu i implementacji, sprawiając, że podsłuch na kanale kwantowym staje się wykrywalny.

Jak działa QKD na wysokim poziomie

Artykuł Wikipedii o dystrybucji klucza kwantowego opisuje dwie szerokie rodziny protokołów QKD.

Prepare-and-measure

W tym modelu jedna strona przygotowuje stany kwantowe i wysyła je przez niezabezpieczony kanał kwantowy. Odbiorca je mierzy. Później, przez uwierzytelniony kanał klasyczny, obie strony porównują ograniczony zakres informacji, aby sprawdzić, czy pomiary są zgodne z niezaburzonym przesyłem.

Jeśli nie, wnioskują o możliwym podsłuchu lub nadmiernym poziomie szumu i mogą przerwać procedurę.

Najbardziej znanym przykładem jest BB84, wprowadzony przez Charles H. Bennett i Gilles Brassard w 1984 roku. W BB84 nadawca koduje losowe bity w jednej z dwóch możliwych baz, a odbiorca mierzy każdy nadchodzący stan kwantowy, używając losowo wybranej bazy. Następnie publicznie porównują wybory baz i odrzucają pozycje, w których użyli różnych baz. Potem testują podzbiór pozostałych bitów pod kątem błędów; zbyt duża liczba błędów oznacza, że bezpieczeństwa nie da się zagwarantować.

Oparte na splątaniu

Protokoły te wykorzystują stany splątane współdzielone między dwiema stronami. Wikipedia wyjaśnia, że pomiar jednej połowy splątanej pary wpływa na cały układ, a przechwycenie zmienia korelacje w sposób wykrywalny. Jednym z przytoczonych przykładów jest E91, zaproponowany przez Artur Ekert w 1991 roku.

Dla niespecjalisty ważne jest to, że obie rodziny próbują osiągnąć ten sam cel: wygenerować tajny współdzielony klucz, jednocześnie czyniąc przechwycenie widocznym.

Ukryta zależność QKD: uwierzytelnianie

Najgłośniej eksponowana cecha QKD może przesłaniać kluczowy wymóg. Artykuł Wikipedii o dystrybucji klucza kwantowego stwierdza, że QKD zwykle opiera się na uwierzytelnionym kanale klasycznym. To dzięki temu obie strony wiedzą, że na etapie publicznej dyskusji rzeczywiście rozmawiają ze sobą, a nie z podszywającym się atakującym.

Tworzy to ważne praktyczne ograniczenie:

Aby uwierzytelnić ten kanał klasyczny, strony muszą już dysponować jakąś zaufaną podstawą kryptograficzną, taką jak wcześniej wymieniony klucz symetryczny albo wystarczająco bezpieczne klucze publiczne.

To oznacza, że QKD nie eliminuje problemu uwierzytelniania. Rozwiązuje dystrybucję klucza przy założeniu, że uwierzytelnianie jest już dostępne.

Artykuł Wikipedii wprost wskazuje konsekwencję: jeśli już dysponujesz tym, co jest potrzebne do bezpiecznego uwierzytelniania, to w praktyce możesz być w stanie osiągnąć bezpieczną komunikację bez QKD, używając konwencjonalnej kryptografii symetrycznej. Pada tam nawet stwierdzenie, że QKD realizuje zadanie szyfru strumieniowego przy znacznie wyższym koszcie.

To jeden z kluczowych kompromisów w debacie o QKD. Jego model bezpieczeństwa jest atrakcyjny, ale obciążenie wdrożeniowe na poziomie całego systemu jest znaczące.

Przed czym chroni PQC

PQC dotyczy innej powierzchni zagrożeń. To rozwój algorytmów kryptograficznych, zwykle algorytmów klucza publicznego, o których obecnie sądzi się, że pozostaną bezpieczne wobec ataków z użyciem komputerów kwantowych.

Jego głównym celem jest przyszła awaria dzisiejszych systemów klucza publicznego. Podsumowanie kryptografii postkwantowej w Wikipedii wskazuje również dwa powody, dla których migracja jest pilna jeszcze przed pojawieniem się dużych komputerów kwantowych:

Migracja wymaga czasu.
Harvest now, decrypt later to realny problem: dane zebrane dziś mogą wciąż być wrażliwe za kilka lat.

PQC chroni więc przed dwoma powiązanymi ryzykami:

Przyszłym odszyfrowaniem danych chronionych dziś metodami klucza publicznego podatnymi na ataki kwantowe.
Przyszłym fałszowaniem lub zawodnością mechanizmów autentyczności opartych na tych samych podatnych metodach.

W odróżnieniu od QKD, PQC nie opiera się na sprzęcie do komunikacji kwantowej. To klasyczna transformacja kryptograficzna: zastępowanie algorytmów wewnątrz oprogramowania, sprzętu, protokołów i standardów.

PQC to więcej niż jedna rodzina algorytmów

Podsumowanie kryptografii postkwantowej w Wikipedii wymienia kilka kierunków badań w PQC, w tym kryptografię opartą na kratach, wielomianach wielowymiarowych, funkcjach skrótu, kodach oraz izogeniach, a także podejścia oparte na kluczach symetrycznych o odpowiednio dużym rozmiarze.

Kluczowy niuans polega na tym, że bezpieczeństwo PQC nie jest dowiedzione w sposób ogólny. Wikipedia wielokrotnie opisuje te systemy jako obecnie uznawane za bezpieczne i zauważa, że niektórzy kandydaci zawiedli. Uderzającym przykładem jest SIDH/SIKE, który został złamany w 2022 roku.

Nie podważa to PQC jako całości, ale pokazuje, że „odporność na ataki kwantowe” nie jest etykietą nadaną raz na zawsze. To proces badawczy i normalizacyjny oparty na ciągłej kryptoanalizie.

Niektóre rodziny mają silniejsze formalne redukcje bezpieczeństwa niż inne, a niektóre wiążą się z praktycznymi kompromisami, takimi jak większe klucze, podpisy lub szyfrogramy. Wikipedia zauważa, że wiele algorytmów PQC wymaga większych rozmiarów kluczy niż systemy klucza publicznego sprzed ery postkwantowej, co może prowadzić do kompromisów w zakresie rozmiaru transmisji i efektywności obliczeniowej.

Normalizacja i realia wdrożeń

Najwyraźniejszy sygnał co do praktycznego statusu PQC pochodzi od NIST.

NIST informuje, że opublikował swoje główne standardy PQC w 2024 roku i że organizacje powinny rozpocząć migrację już teraz. Wymienione standardy to:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST podaje również, że standardy te powinny stanowić podstawę większości wdrożeń, a kolejne standardy są w przygotowaniu, w tym Falcon i HQC. Dodaje też, że zgodnie z harmonogramem przejściowym w NIST IR 8547 algorytmy podatne na ataki kwantowe będą wycofywane, a ostatecznie usuwane ze standardów NIST do 2035 roku, przy czym systemy wyższego ryzyka mają przechodzić ten proces wcześniej.

To ważny kontrast wobec QKD. Niezależnie od opinii o długoterminowych zaletach każdego z tych podejść, PQC już dziś podąża ścieżką migracji opartej na standardach, ukierunkowanej na szerokie wdrożenie w zwykłej infrastrukturze cyfrowej.

Zestawienie: przed czym chroni każde z rozwiązań

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	Create a shared secret key	Replace vulnerable public-key algorithms
Security basis	Quantum mechanics and detectable disturbance	Classical algorithms believed resistant to quantum attacks
What it directly protects	The confidentiality of key distribution	Key establishment, signatures, and other public-key functions in digital systems
Eavesdropping detection	Yes, as a built-in protocol property	No equivalent physical detection property
Hardware requirement	Requires a quantum channel plus classical channel	Runs on classical digital infrastructure
Authentication need	Requires an authenticated classical channel	Provides authentication mechanisms itself through signature/KEM standards
Deployment model	Specialized links and protocol setup	Software, hardware, and protocol migration across existing systems
Main trade-off in evidence	High cost and dependence on prior authentication	Larger keys/signatures and ongoing algorithm-evaluation risk

Które z nich chroni więc „bardziej”?

Żadne nie zapewnia uniwersalnie większej ochrony; chronią w różny sposób.

QKD oferuje charakterystyczne twierdzenie bezpieczeństwa w zakresie dystrybucji klucza: próba przechwycenia na kanale kwantowym jest co do zasady wykrywalna. W zastosowaniach, w których ta właściwość ma decydujące znaczenie, QKD może być atrakcyjne. Wiąże się jednak z wymagającymi założeniami, zwłaszcza koniecznością posiadania uwierzytelnionego kanału klasycznego i wyspecjalizowanej infrastruktury komunikacyjnej.

PQC odpowiada na szerszy i bardziej bezpośredni problem systemowy: zastąpienie kryptografii klucza publicznego, którą przyszły komputer kwantowy mógłby złamać. Nie oferuje wykrywania podsłuchu opartego na fizyce, jak w QKD, ale zostało zaprojektowane po to, by zabezpieczyć funkcje kryptograficzne, od których współczesne sieci rzeczywiście zależą na dużą skalę.

Można to ująć jeszcze inaczej:

Jeśli Twoim problemem jest to, jak dwa punkty końcowe uzgadniają klucze przez kanał obserwowalny kwantowo, właściwym narzędziem jest QKD.
Jeśli Twoim problemem jest to, jak internet, łańcuchy dostaw oprogramowania, systemy tożsamości i długowieczne zaszyfrowane dane przetrwają nadejście ataków kwantowych, centralną odpowiedzią jest PQC.

Otwarte pytania i kompromisy

Zrównoważone spojrzenie powinno uwzględniać kilka niepewności.

W przypadku QKD:

Jego model bezpieczeństwa jest silny w teorii, ale zależy od poprawnej implementacji.
Nie eliminuje potrzeby uwierzytelniania.
Wikipedia wprost stawia praktyczne pytanie, czy dodatkowy koszt jest uzasadniony, skoro klasyczne szyfrowanie uwierzytelnione może już spełniać dane potrzeby.

W przypadku PQC:

Uważa się, a nie dowodzi, że algorytmy te są bezpieczne wobec ataków kwantowych.
Niektóre rodziny kandydatów lub konkretne schematy przegrały z kryptoanalizą.
Praktyczne wdrożenie może oznaczać większe klucze i inne kompromisy wydajnościowe.

Mimo to NIST wskazuje na obecny konsensus operacyjny: należy już teraz migrować w kierunku standaryzowanego PQC, ponieważ czekanie na w pełni dojrzałe komputery kwantowe może pozostawić zbyt mało czasu na ochronę długoterminowej poufności i autentyczności.

Najważniejsze wnioski

QKD i PQC nie są prostymi zamiennikami. QKD dystrybuuje tajne klucze; PQC zastępuje podatną kryptografię klucza publicznego.
Najważniejszą cechą QKD jest wykrywalność podsłuchu na kanale kwantowym, wynikająca z zaburzenia wywołanego pomiarem kwantowym.
QKD samo nie szyfruje wiadomości i zwykle wymaga uwierzytelnionego kanału klasycznego, co oznacza, że jakaś podstawa zaufania musi już istnieć.
PQC jest ukierunkowane na szerszy problem migracji wywołany przez zagrożenia kwantowe dla obecnych systemów klucza publicznego.
Współczesna kryptografia symetryczna jest mniej zaburzana przez komputery kwantowe niż współczesna kryptografia klucza publicznego, choć większe rozmiary kluczy mogą być rozsądnym środkiem ostrożności.
PQC już trafia do głównego nurtu standardów. NIST opublikował FIPS 203, 204 i 205 w 2024 roku i twierdzi, że organizacje powinny rozpocząć migrację już teraz.
Żadna z tych ścieżek nie jest darmowa. QKD oznacza obciążenia infrastrukturalne i wymagania związane z uwierzytelnianiem; PQC oznacza niepewność algorytmiczną i kompromisy wydajnościowe, takie jak większe klucze.
Dla większości organizacji PQC jest podstawową odpowiedzią krótkoterminową na ryzyko kwantowe, podczas gdy QKD adresuje węższy i bardziej wyspecjalizowany cel bezpieczeństwa.