Квантовое распределение ключей и постквантовая криптография: от чего защищает каждый подход

Чем квантовое распределение ключей и постквантовая криптография отличаются по целям, допущениям, компромиссам при внедрении и типам угроз, на которые они нацелены.

Эта страница переведена с английского. Названия компаний и продуктов, а также ссылки на источники оставлены без изменений. Читать оригинал на английском

Квантовое распределение ключей и постквантовую криптографию часто объединяют под общим названием «квантово-устойчивые» технологии, но на деле они решают разные задачи и делают это по-разному. QKD — это метод создания общего секретного ключа, чья безопасность связана с поведением квантово-механических систем, тогда как PQC — это семейство преимущественно алгоритмов с открытым ключом, предназначенных для защиты современных цифровых систем от будущих квантовых компьютеров.

На практике выбор обычно не сводится к «или/или». QKD — это про установление ключа с возможностью обнаружения прослушивания при определённых физических и сетевых допущениях; PQC — это про замену уязвимых криптографических строительных блоков во всей существующей инфраструктуре. Чтобы понять, от чего защищает каждый подход, важно начать именно с этого различия.

Два разных ответа на квантовую угрозу

В основе обоих подходов лежит одна и та же проблема: квантовые вычисления угрожают многим широко используемым системам криптографии с открытым ключом. Согласно сводке Wikipedia о постквантовой криптографии, большинство развёрнутых алгоритмов с открытым ключом опираются на разложение целых чисел на множители, дискретное логарифмирование или задачу дискретного логарифмирования на эллиптических кривых, а достаточно мощный квантовый компьютер, выполняющий алгоритм Шора, сможет эффективно решать эти задачи.

Это не означает, что вся криптография ломается сразу. В той же сводке Wikipedia говорится, что современные симметричные криптосистемы и хеш-функции считаются относительно устойчивыми к квантовым атакам, хотя алгоритм Гровера может ускорить перебор, и на практике этому можно противостоять, удвоив размер ключа.

Дальше пути QKD и PQC расходятся:

QKD стремится дать двум сторонам возможность сгенерировать общий случайный секретный ключ с использованием квантовых состояний.
PQC стремится заменить уязвимые классические алгоритмы с открытым ключом новыми, которые сейчас считаются, хотя и не доказано, устойчивыми к квантовым атакам.

Эта разница в охвате принципиальна. QKD сам по себе не шифрует данные вашего приложения; он распределяет ключи. PQC, напротив, предназначена для встраивания туда, где криптография с открытым ключом уже используется для установления ключей и цифровых подписей.

От чего защищает QKD

QKD — это метод защищённой связи, основанный на квантовой механике, включая принцип возмущения при измерении и теорему о запрете клонирования. Его задача — позволить двум сторонам создать общий секретный ключ, известный только им.

Его ключевое свойство безопасности — обнаружение прослушивания. В общем случае измерение квантовой системы её возмущает. Поэтому если третья сторона попытается узнать ключ, измеряя передаваемые квантовые состояния, такое вмешательство создаст аномалии, которые законные участники смогут обнаружить. Если наблюдаемое возмущение ниже порогового значения, они всё ещё могут получить защищённый ключ; если оно слишком велико, они прерывают протокол.

В статье Wikipedia о квантовом распределении ключей говорится, что безопасность QKD опирается на физику, а не на предполагаемую трудность математических задач. Там же QKD описывается как подход с доказуемой безопасностью, основанной на теории информации, и как механизм, обеспечивающий прямую секретность.

При этом QKD защищает более узкую часть задачи, чем многие предполагают:

Он защищает процесс распределения ключа.
Он не передаёт напрямую данные сообщения.
Полученный ключ всё равно должен использоваться с методом шифрования, например одноразовым блокнотом или симметричным алгоритмом вроде AES.

Поэтому если вопрос звучит как «Что именно защищает QKD?», ответ таков: он защищает конфиденциальность самого обмена ключом — при выполнении допущений протокола и реализации — делая прослушивание квантового канала обнаруживаемым.

Как работает QKD на высоком уровне

В статье Wikipedia о квантовом распределении ключей описываются два широких семейства протоколов QKD.

Prepare-and-measure

В этой модели одна сторона подготавливает квантовые состояния и отправляет их по небезопасному квантовому каналу. Получатель их измеряет. Затем по аутентифицированному классическому каналу стороны сравнивают ограниченный объём информации, чтобы проверить, согласуются ли измерения с невозмущённой передачей.

Если нет, они делают вывод о возможном прослушивании или чрезмерном шуме и могут прервать протокол.

Самый известный пример — BB84, предложенный Charles H. Bennett и Gilles Brassard в 1984 году. В BB84 отправитель кодирует случайные биты в одном из двух возможных базисов, а получатель измеряет каждое входящее квантовое состояние, используя случайно выбранный базис. После этого они публично сравнивают выбор базисов и отбрасывают позиции, где использовали разные базисы. Затем они проверяют подмножество оставшихся битов на ошибки; слишком большое число ошибок означает, что безопасность гарантировать нельзя.

Entanglement-based

В этих протоколах используются запутанные состояния, разделённые между двумя сторонами. Wikipedia поясняет, что измерение одной половины запутанной пары влияет на систему в целом, а перехват изменяет корреляции таким образом, что это можно обнаружить. Один из приведённых примеров — E91, предложенный Artur Ekert в 1991 году.

Для неспециалиста важно следующее: оба семейства преследуют одну и ту же цель — сгенерировать общий секретный ключ и при этом сделать перехват заметным.

Скрытая зависимость QKD: аутентификация

Главная особенность QKD может скрывать критически важное требование. В статье Wikipedia о квантовом распределении ключей говорится, что QKD обычно опирается на аутентифицированный классический канал. Именно так две стороны понимают, что во время публичного этапа обсуждения они действительно общаются друг с другом, а не с самозванцем.

Это создаёт важное практическое ограничение:

Чтобы аутентифицировать этот классический канал, сторонам уже нужна некая доверенная криптографическая основа, например заранее обменённый симметричный ключ или достаточно надёжные открытые ключи.

Это означает, что QKD не устраняет проблему аутентификации. Он решает задачу распределения ключей при допущении, что аутентификация уже обеспечена.

Wikipedia необычно прямо формулирует следствие: если у вас уже есть всё необходимое для надёжной аутентификации, то на практике вы, возможно, сможете обеспечить защищённую связь и без QKD, используя обычную симметричную криптографию. Там даже говорится, что QKD выполняет работу потокового шифра при значительно более высокой стоимости.

Это один из ключевых компромиссов в дискуссии вокруг QKD. Его модель безопасности привлекательна, но системная нагрузка при внедрении существенна.

От чего защищает PQC

PQC охватывает другую поверхность угроз. Это разработка криптографических алгоритмов, обычно алгоритмов с открытым ключом, которые в настоящее время считаются способными сохранять устойчивость к атакам квантовых компьютеров.

Её главная цель — предотвратить будущий отказ современных систем с открытым ключом. В сводке Wikipedia о постквантовой криптографии также выделяются две причины, по которым миграция необходима ещё до появления больших квантовых компьютеров:

Миграция занимает время.
Собери сейчас, расшифруй позже — это реальная угроза: данные, собранные сегодня, могут оставаться чувствительными ещё многие годы.

Поэтому PQC защищает от двух связанных рисков:

Будущей расшифровки данных, которые сегодня защищены методами с открытым ключом, уязвимыми для квантовых атак.
Будущей подделки или отказа механизмов аутентичности, которые опираются на те же уязвимые методы.

В отличие от QKD, PQC не основана на аппаратуре квантовой связи. Это классический криптографический переход: замена алгоритмов внутри программного обеспечения, аппаратуры, протоколов и стандартов.

PQC шире, чем одно семейство алгоритмов

В сводке Wikipedia о постквантовой криптографии перечисляется несколько направлений исследований в PQC, включая криптографию на решётках, многомерную криптографию, криптографию на основе хеш-функций, кодовую криптографию и криптографию на основе изогений, а также симметричные подходы с достаточно большими ключами.

Важный нюанс в том, что безопасность PQC не доказана в общем виде. Wikipedia неоднократно описывает эти системы как такие, которые в настоящий момент считаются безопасными, и отмечает, что некоторые кандидаты не выдержали проверки. Показательный пример — SIDH/SIKE, взломанный в 2022 году.

Это не подрывает PQC в целом, но показывает, что «устойчивость к квантовым атакам» — не постоянный ярлык. Это исследовательский и стандартизационный процесс, опирающийся на продолжающийся криптоанализ.

У одних семейств формальные редукции сильнее, чем у других, а у некоторых есть практические компромиссы, например более крупные ключи, подписи или шифртексты. Wikipedia отмечает, что многим алгоритмам PQC требуются большие размеры ключей по сравнению с доквантовыми системами с открытым ключом, и это может приводить к компромиссам по размеру передаваемых данных и вычислительной эффективности.

Стандартизация и реальность внедрения

Самый ясный сигнал о практическом статусе PQC исходит от NIST.

NIST сообщает, что выпустил свои основные стандарты PQC в 2024 году и что организациям следует начинать миграцию уже сейчас. Перечислены следующие стандарты:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST также говорит, что эти стандарты должны стать основой для большинства внедрений, и что работа над дополнительными стандартами продолжается, включая Falcon и HQC. Кроме того, ведомство заявляет, что согласно графику перехода в NIST IR 8547 алгоритмы, уязвимые для квантовых атак, будут выведены из употребления, а затем полностью удалены из стандартов NIST к 2035 году, причём системы с более высоким риском начнут переход раньше.

Это важное отличие от QKD. Как бы ни оценивать долгосрочные достоинства каждого подхода, PQC уже движется по пути стандартизированной миграции, рассчитанной на широкое внедрение в обычной цифровой инфраструктуре.

Сравнение: от чего защищает каждый подход

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	Создание общего секретного ключа	Замена уязвимых алгоритмов с открытым ключом
Security basis	Квантовая механика и обнаруживаемое возмущение	Классические алгоритмы, предположительно устойчивые к квантовым атакам
What it directly protects	Конфиденциальность распределения ключа	Установление ключей, подписи и другие функции криптографии с открытым ключом в цифровых системах
Eavesdropping detection	Да, как встроенное свойство протокола	Нет эквивалентного физического свойства обнаружения
Hardware requirement	Требуется квантовый канал плюс классический канал	Работает на классической цифровой инфраструктуре
Authentication need	Требуется аутентифицированный классический канал	Само предоставляет механизмы аутентификации через стандарты подписи/KEM
Deployment model	Специализированные каналы и настройка протоколов	Миграция программного обеспечения, аппаратуры и протоколов в существующих системах
Main trade-off in evidence	Высокая стоимость и зависимость от предварительной аутентификации	Более крупные ключи/подписи и сохраняющийся риск переоценки алгоритмов

Так какой подход защищает «больше»?

Ни один не обеспечивает универсально более широкую защиту; они защищают по-разному.

QKD предлагает уникальное свойство безопасности для распределения ключей: попытка перехвата в квантовом канале, в принципе, может быть обнаружена. Для приложений, где это свойство является решающим, QKD может быть привлекательным. Но за это приходится платить жёсткими допущениями, прежде всего необходимостью аутентифицированного классического канала и специализированной коммуникационной инфраструктуры.

PQC решает более широкую и более актуальную системную задачу: замену криптографии с открытым ключом, которую будущий квантовый компьютер сможет взломать. Она не даёт физически обоснованного обнаружения прослушивания, как QKD, но предназначена для защиты тех криптографических функций, от которых в действительности зависят современные сети в больших масштабах.

Можно сформулировать и так:

Если вас волнует то, как две конечные точки устанавливают ключи через канал, наблюдаемый с квантовой точки зрения, то релевантным инструментом будет QKD.
Если вас волнует то, как интернет, цепочки поставок ПО, системы идентификации и долгоживущие зашифрованные данные переживут появление квантовых атак, то центральным ответом является PQC.

Открытые вопросы и компромиссы

Сбалансированный взгляд должен учитывать несколько неопределённостей.

Для QKD:

Его модель безопасности сильна в теории, но зависит от корректной реализации.
Он не устраняет необходимость аутентификации.
Wikipedia прямо ставит практический вопрос: оправданы ли дополнительные затраты, если классическое аутентифицированное шифрование уже может решать эту задачу.

Для PQC:

Эти алгоритмы считаются, а не доказаны, устойчивыми к квантовым атакам.
Некоторые семейства или схемы-кандидаты не выдержали криптоанализа.
Практическое внедрение может требовать более крупных ключей и влечь другие компромиссы по производительности.

Тем не менее NIST указывает на текущий операционный консенсус: переходить к стандартизированной PQC нужно уже сейчас, потому что ожидание появления полностью зрелых квантовых компьютеров может оставить слишком мало времени для защиты долгосрочной конфиденциальности и аутентичности.

Ключевые выводы

QKD и PQC не являются взаимозаменяемыми в простом смысле. QKD распределяет секретные ключи; PQC заменяет уязвимую криптографию с открытым ключом.
Главная особенность QKD — обнаруживаемое прослушивание в квантовом канале, основанное на возмущении при квантовом измерении.
QKD сам по себе не шифрует сообщения и обычно требует аутентифицированного классического канала, а значит, некая основа доверия уже должна существовать.
PQC нацелена на более широкую задачу миграции, вызванную квантовой угрозой для нынешних систем с открытым ключом.
Современная симметричная криптография страдает от квантовых вычислений меньше, чем современная криптография с открытым ключом, хотя увеличение размера ключей может быть разумной мерой.
PQC уже входит в основные стандарты. NIST выпустил FIPS 203, 204 и 205 в 2024 году и заявляет, что организациям следует начинать миграцию уже сейчас.
Ни один путь не обходится без издержек. QKD несёт инфраструктурную и аутентификационную нагрузку; PQC — алгоритмическую неопределённость и компромиссы по производительности, такие как более крупные ключи.
Для большинства организаций PQC — основной краткосрочный ответ на квантовые риски, тогда как QKD решает более узкую и специализированную задачу безопасности.