Постквантовая криптография: стандарты NIST и как проходит миграция

Как устроены первые стандарты постквантовой криптографии NIST, почему переход нужно начинать до Q-Day и с какими практическими шагами организациям приходится сталкиваться уже сейчас.

Эта страница переведена с английского. Названия компаний и продуктов, а также ссылки на источники оставлены без изменений. Читать оригинал на английском

Постквантовая криптография — это переход от используемой сегодня уязвимой криптографии с открытым ключом к альтернативам, которые, как считается, смогут выдержать атаки будущих квантовых компьютеров. Появление в 2024 году первых трех финализированных стандартов NIST означает, что переход вышел из стадии исследований и перешел к внедрению: теперь от организаций ожидают, что они проведут инвентаризацию мест использования уязвимых алгоритмов, решат, что заменять в первую очередь, и начнут многолетнюю миграцию.

Почему нужна постквантовая криптография

Проблема не в том, что квантовые компьютеры способны взломать всё. Главная угроза уже и гораздо важнее: широко распространенные системы с открытым ключом опираются на математические задачи вроде факторизации целых чисел, дискретного логарифмирования и дискретного логарифмирования на эллиптических кривых. Достаточно мощный квантовый компьютер, запускающий алгоритм Шора, смог бы эффективно решать такие задачи, а значит — подорвать безопасность систем вроде RSA, Diffie–Hellman в конечных полях и Diffie–Hellman на эллиптических кривых.

Пока эта угроза остается потенциальной. По состоянию на 2026 год квантовые компьютеры не обладают вычислительной мощностью, достаточной для взлома широко используемых криптосистем, а лабораторные демонстрации алгоритма Шора работали только на очень малых числах. Практическое препятствие связано не с теоретической возможностью, а с инженерным масштабом: Wikipedia отмечает, что для превосходства над классическими методами могут понадобиться машины с миллионами кубитов из-за накладных расходов на коррекцию ошибок.

Тем не менее ждать появления полностью пригодного квантового компьютера было бы ошибкой. Миграция занимает годы, а у некоторых данных очень долгий срок конфиденциальности. Именно поэтому концепция «собери сейчас, расшифруй позже» (harvest now, decrypt later) стала центральной для планирования. Злоумышленник может уже сегодня собирать зашифрованный трафик или сохраненный шифртекст и хранить его до тех пор, пока будущий прогресс не сделает расшифровку возможной. Для архивов электронной почты, медицинских данных, интеллектуальной собственности, государственных реестров или журналов критической инфраструктуры ущерб может проявиться спустя долгое время после первого перехвата данных.

Что меняет квантовая эра — и что не меняет

Распространенное заблуждение состоит в том, что квантовые вычисления делают всю криптографию устаревшей.

Большинство современных симметричных криптосистем и хеш-функций считаются относительно устойчивыми к квантовым атакам. Алгоритм Гровера может ускорить перебор для симметричных шифров, но на практике этот эффект можно компенсировать увеличением длины ключа, например ее удвоением. Поэтому наибольший удар приходится по криптографии с открытым ключом, особенно по:

установлению и обмену ключами
шифрованию с открытым ключом и инкапсуляции ключей
цифровым подписям

Именно поэтому программа NIST по PQC сосредоточилась на механизмах инкапсуляции ключей (KEM) и алгоритмах цифровой подписи, а не на одновременной замене всего криптографического стека.

Что NIST стандартизировал в первую очередь

NIST начал формальный процесс стандартизации в конце 2016 года после объявления конкурса предложений. Согласно материалам по стандартизации, в первый раунд вошли 69 полных и корректных заявок, а до третьего раунда, объявленного в июле 2020 года, дошли семь кандидатов. После нескольких лет оценки NIST финализировал свои первые три стандарта 13 августа 2024 года.

Вот эти стандарты:

FIPS 203: ML-KEM, механизм инкапсуляции ключей на основе модульных решеток (Module-Lattice-Based Key-Encapsulation Mechanism), основанный на CRYSTALS-Kyber
FIPS 204: ML-DSA, алгоритм цифровой подписи на основе модульных решеток (Module-Lattice-Based Digital Signature Algorithm), основанный на CRYSTALS-Dilithium
FIPS 205: SLH-DSA, бессостоянный алгоритм цифровой подписи на основе хешей (Stateless Hash-Based Digital Signature Algorithm), основанный на SPHINCS+

NIST описывает ML-KEM как основной стандарт для общего шифрования, отмечая его сравнительно небольшие ключи шифрования и высокую скорость. ML-DSA — основной стандарт для цифровых подписей. SLH-DSA использует иную математическую основу и предназначен как резервный вариант на случай, если ML-DSA позже окажется уязвимым.

Позиция самого NIST сформулирована прямо: эти три стандарта готовы к немедленному использованию, и организации должны начать применять их уже сейчас.

Почему стандартов несколько, а не один победитель

У постквантовой криптографии нет единственной доминирующей математической основы. У разных семейств разные сильные стороны, особенности реализации и профили риска. Выбор NIST отражает портфельный подход.

Криптография на решетках сейчас берет на себя значительную часть будущего внедрения. Первые стандартизированные NIST алгоритмы на решетках — это ML-KEM и ML-DSA. Они привлекательны в том числе благодаря производительности и приемлемым размерам ключей.

Но диверсификация тоже важна. NIST выбрал SLH-DSA, схему подписи на основе хешей, как резерв к основной подписи на решетках. Затем 11 марта 2025 года NIST выбрал HQC как резервный KEM для общего шифрования. HQC основан не на решетках, а на кодах, и NIST заявил, что именно это различие в математическом подходе делает его полезным в качестве запасного варианта.

Посыл стратегический: не стоит ставить будущее цифрового доверия на одну-единственную гипотезу.

Следующие стандарты в разработке

Работа NIST по PQC не закончилась релизом 2024 года.

На странице проекта CSRC сказано, что NIST продолжает стандартизацию:

Falcon, алгоритма цифровой подписи
HQC, механизма инкапсуляции ключей

Согласно материалам по стандартизации, стандарт на основе Falcon будет называться FN-DSA в FIPS 206. По состоянию на середину 2026 года он оставался в статусе проекта. Указанная причина более медленных сроков — сложность реализации: FN-DSA опирается на гауссову выборку с плавающей точкой в процессе подписи, и, как отмечает NIST, реализовать это безопасно и с постоянным временем выполнения сложнее, чем в трех уже финализированных стандартах.

Что касается HQC, в марте 2025 года NIST заявил, что проект стандарта ожидается примерно через год, а окончательный стандарт — в 2027 году после публичного обсуждения.

Такой поэтапный график важен с операционной точки зрения. Организациям не нужно ждать появления всех будущих вариантов, прежде чем начинать действовать. NIST ожидает, что ML-KEM, ML-DSA и SLH-DSA станут основой для большинства внедрений, и говорит, что использовать их следует уже сейчас.

Краткая карта первых стандартов

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Установление ключей / поддержка общего шифрования	На основе решеток	Основной стандарт для общего шифрования
FIPS 204	ML-DSA	Цифровые подписи	На основе решеток	Основной стандарт для подписей
FIPS 205	SLH-DSA	Цифровые подписи	На основе хешей	Резервный метод подписи
Forthcoming	FN-DSA	Цифровые подписи	На основе NTRU-решеток	Дополнительный стандарт подписи в разработке
Forthcoming	HQC	Установление ключей / поддержка общего шифрования	На основе кодов	Резервный KEM для ML-KEM

Как на практике проходит миграция

Миграция — это в меньшей степени замена одной библиотеки и в большей степени переработка криптографических зависимостей во всех системах.

В рекомендациях NIST по миграции сказано, что организациям нужно определить, где используются уязвимые алгоритмы, и спланировать обновления или замены для продуктов, сервисов и протоколов. Это означает поиск криптографии в местах, где она часто плохо задокументирована:

TLS-терминация и внутренние связи между сервисами
VPN и системы удаленного доступа
PKI и процессы работы с сертификатами
подпись кода и подпись документов
аппаратные модули безопасности и системы обновления прошивок
инструменты управления идентификацией, доступом и ключами
встраиваемые устройства и операционные технологии
долговременно хранимые данные, защищенные старыми схемами установления ключей

Первый шаг обычно — инвентаризация криптографии: где используются RSA, Diffie–Hellman или механизмы на эллиптических кривых — напрямую или через продукты сторонних поставщиков? Второй — приоритизация: какие системы несут повышенный риск, потому что работают с долгоживущими секретами или их трудно обновить? Третий — исполнение: тестирование, работа над совместимостью, поэтапное развертывание и изменение политик.

Сроки NIST добавляют срочности. Согласно графику перехода, на который ссылается страница CSRC, NIST планирует вывести из употребления, а затем полностью удалить из своих стандартов квантово-уязвимые алгоритмы к 2035 году, причем для систем повышенного риска движение начнется значительно раньше.

Главные инженерные компромиссы

Переход к постквантовой криптографии — это не просто упражнение на соответствие требованиям. Он связан с реальными техническими компромиссами.

Один из основных компромиссов — размер против эффективности. В материалах NIST по PQC отмечается, что многие алгоритмы PQC используют более крупные ключи, чем доквантовые системы с открытым ключом. Там же описываются компромиссы между размером ключа, вычислительной эффективностью и размером шифртекста или подписи. Для интернет-протоколов и устройств с ограниченными ресурсами эти различия могут влиять на пропускную способность, задержку, память и сложность реализации.

Еще один компромисс — зрелость против разнообразия. Системы на решетках сейчас доминируют в первых стандартах, потому что по итогам оценок NIST они показали себя достаточно хорошо, чтобы стать основным выбором. Но риск концентрации реален, поэтому и разрабатываются резервные стандарты, основанные на другой математике.

Третий вопрос — безопасность реализации. В материалах по стандартизации упоминаются опасения по поводу атак по побочным каналам для Falcon, а также отмечается, что возможные меры смягчения могут сказаться на производительности. В более общем смысле криптографическая конструкция может выглядеть надежной на бумаге, но при этом быть сложной для безопасной реализации на практике.

Чего стандарты не решают

Наличие стандарта не доказывает вечную безопасность. Считается, но не доказано, что постквантовые алгоритмы устойчивы к квантовым атакам. Эта оговорка заложена в саму природу направления.

Процесс NIST дал и другие уроки. Некоторые кандидаты были взломаны в ходе оценки. Wikipedia выделяет два особенно заметных примера: Rainbow был взломан на классическом компьютере в третьем раунде, а SIKE — в четвертом. Эти провалы не опровергают PQC в целом; они показывают, почему публичный криптоанализ и консервативная стандартизация требуют времени.

Открытыми остаются вопросы о:

долгосрочной уверенности в выбранных математических задачах
качестве реализации у поставщиков и в open-source-стеке
устойчивости к атакам по побочным каналам в реальном аппаратном и программном обеспечении
совместимости в протоколах и экосистемах сертификатов
том, насколько активно организациям следует диверсифицироваться между разными семействами алгоритмов

Практичный взгляд на вопрос «когда переходить»

Для большинства организаций правильная постановка вопроса звучит не как «Наступит ли Q-Day уже в следующем году?», а как «Сколько времени займет наша миграция и как долго наши данные должны оставаться защищенными?»

Если ваши системы глубоко встроены, регулируются, глобально распределены или зависят от поставщиков, переход может идти медленно. Если ваши данные останутся чувствительными еще много лет, риск harvest now, decrypt later делает промедление более дорогим. Именно эта логика объясняет, почему NIST призывает немедленно внедрять стандарты 2024 года, хотя квантовые компьютеры еще не достигли необходимого масштаба.

Иными словами, миграция на PQC — это классический инфраструктурный переход: начинать нужно до чрезвычайной ситуации, потому что когда чрезвычайная ситуация станет очевидной, переходить спокойно будет уже поздно.

Ключевые выводы

Постквантовая криптография в первую очередь связана с заменой уязвимых систем с открытым ключом, а не с отказом от всей существующей криптографии.
Достаточно мощный квантовый компьютер с алгоритмом Шора сможет взломать RSA, Diffie–Hellman и Diffie–Hellman на эллиптических кривых.
NIST финализировал свои первые три стандарта PQC 13 августа 2024 года: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA).
NIST заявляет, что эти стандарты уже готовы, и организациям следует немедленно начинать миграцию.
ML-KEM — основной стандарт для связанного с общим шифрованием установления ключей; ML-DSA — основной стандарт подписи; SLH-DSA — резервный метод подписи.
В марте 2025 года NIST выбрал HQC как резервный KEM, основанный на иной математике, чем ML-KEM.
Миграция начинается с выявления мест использования уязвимых алгоритмов, затем идет приоритизация систем высокого риска и планирование поэтапной замены.
Важные компромиссы включают более крупный ключевой материал, издержки по производительности и пропускной способности, сложность реализации и ценность математического разнообразия.
Стандарты PQC снижают будущий риск, но не устраняют неопределенность; необходимы дальнейший криптоанализ, проверка реализаций и эксплуатационное тестирование.
Основная срочность связана с долгими сроками перехода и возможностью атак типа harvest now, decrypt later на данные, которые должны оставаться конфиденциальными годами.