Післяквантова криптографія: стандарти NIST і як відбувається міграція

Як поєднуються перші післяквантові стандарти NIST, чому міграцію потрібно починати до Q-Day і з якими практичними кроками організації стикаються вже зараз.

Цю сторінку перекладено з англійської. Назви компаній і продуктів, а також посилання на джерела залишено без змін. Читати оригінал англійською

Післяквантова криптографія — це спроба замінити сьогоднішню вразливу криптографію з відкритим ключем на альтернативи, які, як вважається, стійкі до атак майбутніх квантових комп’ютерів. Поява перших трьох фіналізованих стандартів NIST, оприлюднених у 2024 році, означає, що перехід вийшов зі стадії досліджень і перейшов до впровадження: тепер від організацій очікують, що вони проведуть інвентаризацію використання вразливих алгоритмів, вирішать, що замінювати насамперед, і розпочнуть багаторічну міграцію.

Чому потрібна післяквантова криптографія

Проблема не в тому, що квантові комп’ютери можуть зламати все. Головне занепокоєння вужче, але важливіше: широко вживані системи з відкритим ключем спираються на математичні задачі, як-от факторизація цілих чисел, дискретні логарифми та дискретні логарифми на еліптичних кривих. Достатньо потужний квантовий комп’ютер, який виконує алгоритм Шора, міг би ефективно розв’язувати такі задачі, а отже підірвати стійкість таких систем, як RSA, Diffie–Hellman над скінченними полями та Diffie–Hellman на еліптичних кривих.

Поки що ця загроза є перспективною, а не реальною. Станом на 2026 рік квантові комп’ютери не мають обчислювальної потужності, щоб зламувати широко розгорнуті криптографічні системи, а лабораторні демонстрації алгоритму Шора працювали лише з дуже малими числами. Практична перешкода — не теоретична можливість, а масштаб інженерної реалізації: Wikipedia зазначає, що для перевершення класичних методів можуть знадобитися машини з мільйонами кубітів через накладні витрати на виправлення помилок.

Попри це, чекати на повністю здатний квантовий комп’ютер було б помилкою. Міграція займає роки, а деякі дані мають довгий строк конфіденційності. Саме тому концепція «зібрати зараз, розшифрувати пізніше» стала центральною для планування. Противник може вже сьогодні збирати зашифрований трафік або збережені шифротексти й зберігати їх доти, доки майбутній прогрес не зробить розшифрування можливим. Для архівів електронної пошти, медичних даних, інтелектуальної власності, державних реєстрів або журналів критичної інфраструктури наслідки можуть настати набагато пізніше, ніж дані було перехоплено вперше.

Що змінює квантова ера — і чого вона не змінює

Поширене хибне уявлення полягає в тому, що квантові обчислення роблять застарілою всю криптографію.

Більшість сучасної симетричної криптографії та геш-функцій вважаються відносно захищеними від квантових атак. Алгоритм Гровера може пришвидшити повний перебір проти симетричних шифрів, але на практиці цей ефект можна компенсувати використанням більших розмірів ключів, наприклад подвоєнням довжини ключа. Тож найбільший зсув стосується саме криптографії з відкритим ключем, зокрема:

встановлення ключів і обміну ключами
шифрування з відкритим ключем і інкапсуляції ключів
цифрових підписів

Саме тому програма NIST з PQC зосередилася на механізмах інкапсуляції ключів, або KEM, і алгоритмах цифрового підпису, а не на одночасній заміні всього криптографічного стеку.

Що NIST стандартизував насамперед

NIST розпочав формальний процес стандартизації наприкінці 2016 року після оголошення прийому пропозицій. Згідно з матеріалами стандартизації, до першого раунду потрапили 69 повних і належно оформлених заявок, а сім кандидатів вийшли до третього раунду, оголошеного в липні 2020 року. Після років оцінювання NIST фіналізував свої перші три стандарти 13 серпня 2024 року.

Це такі стандарти:

FIPS 203: ML-KEM, механізм інкапсуляції ключів на основі модульних ґраток, заснований на CRYSTALS-Kyber
FIPS 204: ML-DSA, алгоритм цифрового підпису на основі модульних ґраток, заснований на CRYSTALS-Dilithium
FIPS 205: SLH-DSA, безстановий алгоритм цифрового підпису на основі гешування, заснований на SPHINCS+

NIST описує ML-KEM як основний стандарт для загального шифрування, підкреслюючи його відносно невеликі ключі шифрування та швидкодію. ML-DSA є основним стандартом для цифрових підписів. SLH-DSA використовує іншу математичну основу й задуманий як резервний варіант на випадок, якщо ML-DSA згодом виявиться вразливим.

Власні рекомендації NIST недвозначні: ці три стандарти готові до негайного використання, і організації мають почати застосовувати їх уже зараз.

Чому стандартів кілька, а не один переможець

У післяквантовій галузі немає єдиної домінантної математичної основи. Різні сімейства мають різні сильні сторони, характеристики реалізації та профілі ризику. Вибір NIST відображає портфельний підхід.

Криптографія на ґратках нині несе основне навантаження впровадження. Першими стандартизованими NIST алгоритмами цього типу стали ML-KEM і ML-DSA. Вони привабливі, зокрема, завдяки продуктивності та прийнятним розмірам ключів.

Але диверсифікація має значення. NIST обрав SLH-DSA, схему підпису на основі гешування, як резерв до основного підпису на ґратках. Потім, 11 березня 2025 року, NIST обрав HQC як резервний KEM для загального шифрування. HQC базується на кодах, а не на ґратках, і NIST заявив, що саме ця відмінність математичного підходу є причиною зберігати його як запасний варіант.

Посил тут стратегічний: не варто ставити майбутнє цифрової довіри лише на одне припущення.

Наступні стандарти в розробці

Робота NIST над PQC не завершилася релізом 2024 року.

Сторінка проєкту CSRC повідомляє, що NIST продовжує стандартизацію таких рішень:

Falcon, алгоритм цифрового підпису
HQC, механізм інкапсуляції ключів

Матеріали стандартизації зазначають, що стандарт на основі Falcon матиме назву FN-DSA у FIPS 206. Станом на середину 2026 року він залишався у статусі чернетки. Наведена причина повільніших строків — складність реалізації: FN-DSA покладається на гаусову вибірку з плаваючою комою під час процесу підпису, а NIST вважає, що це складніше безпечно реалізувати й виконувати в сталий час, ніж у трьох уже фіналізованих стандартах.

Щодо HQC, NIST у березні 2025 року повідомив, що приблизно за рік очікується проєкт стандарту, а фінальний стандарт — у 2027 році після громадського обговорення.

Такий поетапний графік важливий з операційного погляду. Організаціям не потрібно чекати на кожен майбутній варіант, перш ніж діяти. NIST очікує, що ML-KEM, ML-DSA і SLH-DSA стануть основою більшості впроваджень, і зазначає, що їх уже слід використовувати.

Коротка карта перших стандартів

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Встановлення ключів / підтримка загального шифрування	На основі ґраток	Основний стандарт для загального шифрування
FIPS 204	ML-DSA	Цифрові підписи	На основі ґраток	Основний стандарт для підписів
FIPS 205	SLH-DSA	Цифрові підписи	На основі гешування	Резервний метод підпису
Forthcoming	FN-DSA	Цифрові підписи	На основі NTRU-ґраток	Додатковий стандарт підпису в розробці
Forthcoming	HQC	Встановлення ключів / підтримка загального шифрування	На основі кодів	Резервний KEM для ML-KEM

Як насправді відбувається міграція

Міграція — це не стільки заміна однієї бібліотеки, скільки перероблення криптографічних залежностей у всіх системах.

Рекомендації NIST щодо міграції кажуть, що організаціям потрібно визначити, де використовуються вразливі алгоритми, і спланувати оновлення або заміну продуктів, сервісів і протоколів. Це означає пошук криптографії там, де вона часто задокументована погано:

термінація TLS і внутрішні зв’язки між сервісами
VPN і системи віддаленого доступу
PKI і процеси роботи з сертифікатами
підписування коду та документів
апаратні модулі безпеки й системи оновлення прошивок
інструменти керування ідентичностями, доступом і ключами
вбудовані пристрої та операційні технології
довготривало збережені дані, захищені старими схемами встановлення ключів

Перший крок зазвичай — криптографічна інвентаризація: де використовуються RSA, Diffie–Hellman або механізми на еліптичних кривих — безпосередньо чи через продукти сторонніх постачальників? Другий — пріоритизація: які системи мають високий ризик, бо працюють із довгоживучими секретами або їх складно оновлювати? Третій — виконання: тестування, забезпечення сумісності, поетапне розгортання та зміни політик.

Часова шкала NIST додає терміновості. Згідно з графіком переходу, на який посилається сторінка CSRC, NIST планує оголосити квантово-вразливі алгоритми застарілими, а згодом повністю прибрати їх зі своїх стандартів до 2035 року, причому системи з підвищеним ризиком мають перейти значно раніше.

Найбільші інженерні компроміси

Післяквантова міграція — це не просто вправа на відповідність вимогам. Вона передбачає реальні технічні компроміси.

Один із широких компромісів — це розмір проти ефективності. Матеріали NIST про PQC зазначають, що багато алгоритмів PQC використовують більші ключі, ніж доквантові системи з відкритим ключем. Вони також описують компроміси між розміром ключа, обчислювальною ефективністю та розміром шифротексту або підпису. Для інтернет-орієнтованих протоколів і обмежених пристроїв ці відмінності можуть впливати на пропускну здатність, затримку, пам’ять і складність реалізації.

Інший компроміс — зрілість проти різноманіття. Системи на ґратках наразі домінують серед перших стандартів, оскільки за результатами оцінювання NIST вони показали достатньо хороші результати, щоб стати основними варіантами. Але ризик концентрації реальний, саме тому розробляються резервні стандарти на іншій математиці.

Третє питання — безпека реалізації. Матеріали стандартизації згадують побічні канали для Falcon і зазначають, що можливі заходи пом’якшення можуть впливати на продуктивність. Загальніше кажучи, криптографічна конструкція може виглядати сильною на папері, але при цьому виявитися складною для безпечної реалізації на практиці.

Чого стандарти не вирішують

Сам факт існування стандарту не доводить вічної безпеки. Вважається, а не доведено, що післяквантові алгоритми стійкі до квантових атак. Це застереження закладене в самій природі галузі.

Процес NIST також дав певні уроки. Деякі кандидати були зламані під час оцінювання. Wikipedia наводить два особливо помітні приклади: Rainbow був зламаний на класичному комп’ютері під час третього раунду, а SIKE — у четвертому. Ці провали не спростовують PQC загалом; вони показують, чому публічний криптоаналіз і консервативна стандартизація потребують часу.

Відкритими залишаються питання щодо:

довгострокової впевненості в обраних математичних задачах
якості реалізації у постачальників і в стеку open-source
стійкості до побічних каналів у реальному апаратному й програмному забезпеченні
сумісності в протоколах і екосистемах сертифікатів
того, наскільки агресивно організаціям слід диверсифікуватися між різними сімействами алгоритмів

Практичний спосіб думати про «коли переходити»

Для більшості організацій правильне формулювання питання — не «Чи настане Q-Day вже наступного року?», а «Скільки часу займе наша міграція і як довго наші дані мають залишатися захищеними?»

Якщо ваші системи глибоко вбудовані, регульовані, глобально розподілені або залежать від постачальників, перехід може бути повільним. Якщо ваші дані залишатимуться чутливими ще багато років, ризик моделі «зібрати зараз, розшифрувати пізніше» робить зволікання дорожчим. Саме ця логіка пояснює, чому NIST закликає до негайного впровадження стандартів 2024 року, хоча квантові комп’ютери ще не досягли потрібного масштабу.

Коротко кажучи, міграція на PQC — це класичний інфраструктурний перехід: починати треба до настання надзвичайної ситуації, бо коли вона стане очевидною, рухатися плавно буде вже запізно.

Ключові висновки

Післяквантова криптографія головним чином стосується заміни вразливих систем з відкритим ключем, а не відмови від усієї наявної криптографії.
Достатньо потужний квантовий комп’ютер, що виконує алгоритм Шора, міг би зламати RSA, Diffie–Hellman і Diffie–Hellman на еліптичних кривих.
NIST фіналізував свої перші три стандарти PQC 13 серпня 2024 року: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) і FIPS 205 (SLH-DSA).
NIST заявляє, що ці стандарти вже готові, і організаціям слід починати міграцію негайно.
ML-KEM — основний стандарт для встановлення ключів, пов’язаного із загальним шифруванням; ML-DSA — основний стандарт підпису; SLH-DSA — резервний метод підпису.
У березні 2025 року NIST обрав HQC як резервний KEM, заснований на іншій математиці, ніж ML-KEM.
Міграція починається з виявлення місць використання вразливих алгоритмів, потім переходить до пріоритизації систем із високим ризиком і планування поетапної заміни.
До важливих компромісів належать більший обсяг ключового матеріалу, витрати на продуктивність і пропускну здатність, складність реалізації та цінність математичної диверсифікації.
Стандарти PQC зменшують майбутній ризик, але не усувають невизначеність; подальший криптоаналіз, аудит реалізацій і операційне тестування залишаються критично важливими.
Основна терміновість зумовлена тривалим перехідним періодом і можливістю атак за моделлю harvest now, decrypt later на дані, які мають залишатися конфіденційними роками.