Квантовий розподіл ключів vs постквантова криптографія: від чого захищає кожен підхід

Чим квантовий розподіл ключів і постквантова криптографія відрізняються за цілями, припущеннями, компромісами під час розгортання та загрозами, на які вони відповідають.

Цю сторінку перекладено з англійської. Назви компаній і продуктів, а також посилання на джерела залишено без змін. Читати оригінал англійською

Квантовий розподіл ключів і постквантову криптографію часто об’єднують у категорію «квантово-стійких» технологій, але вони розв’язують різні завдання і роблять це по-різному. QKD — це метод створення спільних секретних ключів, чия безпека пов’язана з квантово-механічною поведінкою, тоді як PQC — це сімейство переважно алгоритмів із відкритим ключем, покликаних зберегти безпеку сучасних цифрових систем перед майбутніми квантовими комп’ютерами.

На практиці вибір зазвичай не зводиться до «або/або». QKD стосується встановлення ключа з виявленням прослуховування за конкретних фізичних і мережевих припущень; PQC — це заміна вразливих криптографічних будівельних блоків у наявній інфраструктурі. Щоб зрозуміти, від чого захищає кожен підхід, потрібно почати саме з цієї відмінності.

Дві різні відповіді на квантову загрозу

В основі обох підходів лежить спільне занепокоєння: квантові обчислення загрожують багатьом широко вживаним системам криптографії з відкритим ключем. Згідно з викладом у Wikipedia про постквантову криптографію, більшість розгорнутих алгоритмів із відкритим ключем спираються на факторизацію цілих чисел, дискретне логарифмування або дискретне логарифмування на еліптичних кривих, і достатньо потужний квантовий комп’ютер, що виконує алгоритм Шора, міг би ефективно розв’язувати ці задачі.

Це не означає, що вся криптографія зламається одночасно. У тому ж викладі Wikipedia зазначено, що сучасна симетрична криптографія та геш-функції вважаються відносно стійкими до квантових атак, хоча алгоритм Гровера може пришвидшити перебір, і на практиці цьому можна протидіяти, подвоївши розмір ключа.

На цьому етапі шляхи QKD і PQC розходяться:

QKD має на меті дати змогу двом сторонам згенерувати спільний випадковий секретний ключ за допомогою квантових станів.
PQC має на меті замінити вразливі класичні алгоритми з відкритим ключем новими, які нині вважаються, хоча й не доведено, стійкими до квантових атак.

Ця різниця в масштабі важлива. QKD сам по собі не шифрує дані вашого застосунку; він розподіляє ключі. PQC, натомість, призначена для вбудовування в ті місця, де криптографія з відкритим ключем уже використовується для встановлення ключів і цифрових підписів.

Від чого захищає QKD

QKD — це метод захищеного зв’язку, побудований на квантовій механіці, зокрема на принципі збурення під час вимірювання та теоремі про неможливість клонування. Його мета — дати змогу двом сторонам створити спільний секретний ключ, відомий лише їм.

Його характерна властивість безпеки — виявлення прослуховування. Загалом вимірювання квантової системи збурює її. Тож якщо третя сторона спробує дізнатися ключ, вимірюючи передані квантові стани, це втручання створить аномалії, які легітимні сторони зможуть виявити. Якщо зафіксоване збурення нижче за порогове значення, вони все ще можуть отримати захищений ключ; якщо воно надто велике, вони переривають процес.

У статті Wikipedia про квантовий розподіл ключів безпека QKD описується як така, що спирається на фізику, а не на припущення про складність математичних задач. Там також ідеться, що QKD має довідну безпеку на основі теорії інформації та забезпечує пряму секретність.

Втім, QKD захищає вужчий зріз проблеми, ніж багато хто припускає:

Він захищає процес розподілу ключа.
Він не передає безпосередньо дані повідомлення.
Отриманий ключ усе одно треба використовувати з методом шифрування, таким як одноразовий блокнот, або із симетричним алгоритмом на кшталт AES.

Тож якщо запитання звучить як «Що саме захищає QKD?», відповідь така: він захищає конфіденційність самого обміну ключами — за припущень протоколу та реалізації — роблячи прослуховування квантового каналу таким, що його можна виявити.

Як працює QKD на високому рівні

У статті Wikipedia про квантовий розподіл ключів описано дві широкі родини протоколів QKD.

Підготувати і виміряти

У цій моделі одна сторона готує квантові стани та надсилає їх незахищеним квантовим каналом. Одержувач їх вимірює. Пізніше, через автентифікований класичний канал, обидві сторони порівнюють обмежену інформацію, щоб перевірити, чи узгоджуються вимірювання з незбуреною передачею.

Якщо ні, вони роблять висновок про можливе прослуховування або надмірний шум і можуть перервати процес.

Найвідоміший приклад — BB84, запропонований Charles H. Bennett і Gilles Brassard у 1984 році. У BB84 відправник кодує випадкові біти в одній із двох можливих баз, а одержувач вимірює кожний вхідний квантовий стан, використовуючи випадково обрану базу. Після цього вони публічно порівнюють вибір баз і відкидають позиції, де використовували різні бази. Потім вони перевіряють підмножину решти бітів на помилки; якщо помилок забагато, безпеку не можна гарантувати.

На основі заплутаності

У цих протоколах використовуються заплутані стани, спільні для двох сторін. Wikipedia пояснює, що вимірювання однієї половини заплутаної пари впливає на систему загалом, а перехоплення змінює кореляції у спосіб, який можна виявити. Один із наведених прикладів — E91, запропонований Artur Ekert у 1991 році.

Для нефахівця важливо ось що: обидві родини намагаються досягти однієї мети — згенерувати спільний секретний ключ так, щоб перехоплення було помітним.

Прихована залежність QKD: автентифікація

Найпомітніша властивість QKD може приховувати критично важливу вимогу. У статті Wikipedia про квантовий розподіл ключів сказано, що QKD зазвичай покладається на автентифікований класичний канал. Саме так дві сторони знають, що під час публічного етапу обговорення вони справді спілкуються одна з одною, а не з тим, хто видає себе за іншу сторону.

Це створює важливе практичне обмеження:

Щоб автентифікувати цей класичний канал, сторони вже мають мати певну довірену криптографічну основу, наприклад, заздалегідь обміняний симетричний ключ або достатньо захищені відкриті ключі.

Тобто QKD не усуває проблему автентифікації. Він розв’язує задачу розподілу ключів за умови, що автентифікація вже доступна.

У статті Wikipedia наслідок сформульовано незвично прямо: якщо у вас уже є все необхідне для надійної автентифікації, то на практиці ви, можливо, можете досягти захищеного зв’язку й без QKD, використовуючи звичайну симетричну криптографію. Там навіть характеризують QKD як виконання роботи потокового шифру за значно вищої вартості.

Це один із ключових компромісів у дискусії про QKD. Його модель безпеки приваблива, але тягар розгортання на рівні системи є суттєвим.

Від чого захищає PQC

PQC працює з іншою поверхнею загроз. Це розробка криптографічних алгоритмів, зазвичай алгоритмів із відкритим ключем, які нині вважаються такими, що залишаться стійкими до атак квантових комп’ютерів.

Її головна ціль — майбутній збій сучасних систем криптографії з відкритим ключем. У викладі Wikipedia про постквантову криптографію також наголошується на двох причинах, чому міграцію потрібно починати до появи великих квантових комп’ютерів:

Міграція потребує часу.
Збирай зараз, розшифруй потім — це реальна загроза: дані, зібрані сьогодні, можуть залишатися чутливими ще багато років.

Отже, PQC захищає від двох пов’язаних ризиків:

Майбутнього розшифрування даних, які сьогодні захищені квантово-вразливими методами криптографії з відкритим ключем.
Майбутнього підроблення або відмови механізмів автентичності, що спираються на ті самі вразливі методи.

На відміну від QKD, PQC не базується на квантовому комунікаційному обладнанні. Це класичний криптографічний перехід: заміна алгоритмів у програмному забезпеченні, апаратурі, протоколах і стандартах.

PQC ширша за одну родину алгоритмів

У викладі Wikipedia про постквантову криптографію наведено кілька напрямів досліджень у PQC, зокрема криптографію на решітках, багатовимірну криптографію, криптографію на основі гешів, кодову криптографію та криптографію на основі ізогеній, а також підходи із симетричним ключем із достатньо великими ключами.

Важливий нюанс полягає в тому, що безпека PQC не доведена в загальному сенсі. Wikipedia неодноразово описує ці системи як такі, що нині вважаються захищеними, і зазначає, що деякі кандидати не витримали перевірки. Яскравий приклад — SIDH/SIKE, зламаний у 2022 році.

Це не підриває PQC як таку, але показує, що «квантово-стійка» — не остаточна етикетка. Це процес досліджень і стандартизації, побудований на безперервному криптоаналізі.

Деякі родини мають сильніші формальні зведення, ніж інші, а деякі мають практичні компроміси, як-от більші ключі, підписи чи шифротексти. Wikipedia зазначає, що багато алгоритмів PQC потребують більших розмірів ключів, ніж доквантові системи криптографії з відкритим ключем, і це може створювати компроміси в розмірі переданих даних і обчислювальній ефективності.

Стандартизація та реальність розгортання

Найчіткіший сигнал про практичний статус PQC надходить від NIST.

NIST повідомляє, що випустив свої основні стандарти PQC у 2024 році й що організаціям слід починати міграцію вже зараз. Перелік стандартів такий:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST також зазначає, що ці стандарти мають стати основою для більшості розгортань, а додаткові стандарти ще розробляються, зокрема Falcon і HQC. Далі вказано, що згідно з графіком переходу в NIST IR 8547, квантово-вразливі алгоритми буде виведено з ужитку, а зрештою й вилучено зі стандартів NIST до 2035 року, причому системи з вищим ризиком рухатимуться раніше.

Це важливий контраст із QKD. Незалежно від поглядів на довгострокові переваги будь-якого з підходів, PQC вже рухається шляхом стандартизованої міграції, орієнтованої на широке розгортання у звичайній цифровій інфраструктурі.

Поруч: від чого захищає кожен підхід

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	Create a shared secret key	Replace vulnerable public-key algorithms
Security basis	Quantum mechanics and detectable disturbance	Classical algorithms believed resistant to quantum attacks
What it directly protects	The confidentiality of key distribution	Key establishment, signatures, and other public-key functions in digital systems
Eavesdropping detection	Yes, as a built-in protocol property	No equivalent physical detection property
Hardware requirement	Requires a quantum channel plus classical channel	Runs on classical digital infrastructure
Authentication need	Requires an authenticated classical channel	Provides authentication mechanisms itself through signature/KEM standards
Deployment model	Specialized links and protocol setup	Software, hardware, and protocol migration across existing systems
Main trade-off in evidence	High cost and dependence on prior authentication	Larger keys/signatures and ongoing algorithm-evaluation risk

То який із них захищає «більше»?

Жоден не захищає більше універсально; вони захищають по-різному.

QKD пропонує характерну безпекову властивість для розподілу ключів: спробу перехоплення на квантовому каналі, у принципі, можна виявити. Для застосувань, де ця властивість є вирішальною, QKD може бути привабливим. Але він супроводжується жорсткими припущеннями, особливо щодо потреби в автентифікованому класичному каналі та спеціалізованій комунікаційній інфраструктурі.

PQC розв’язує ширшу й більш нагальну системну проблему: заміну криптографії з відкритим ключем, яку майбутній квантовий комп’ютер міг би зламати. Вона не пропонує фізично обґрунтованого виявлення прослуховування, як у QKD, але призначена для захисту тих криптографічних функцій, від яких сучасні мережі реально залежать у великому масштабі.

Інакше кажучи:

Якщо вас турбує те, як дві кінцеві точки встановлюють ключі через канал, який можна спостерігати квантовими засобами, тоді релевантний інструмент — QKD.
Якщо вас турбує те, як інтернет, ланцюги постачання ПЗ, системи ідентифікації та довготривало зашифровані дані переживуть появу квантових атак, тоді центральною відповіддю є PQC.

Відкриті питання та компроміси

Збалансований погляд має враховувати кілька невизначеностей.

Для QKD:

Його безпекова модель сильна в теорії, але залежить від правильної реалізації.
Він не усуває потреби в автентифікації.
Wikipedia прямо порушує практичне питання: чи виправдані додаткові витрати, якщо класичне автентифіковане шифрування вже може задовольнити потребу.

Для PQC:

Вважається, а не доведено, що ці алгоритми стійкі до квантових атак.
Деякі родини кандидатів або конкретні схеми не витримали криптоаналізу.
Практичне розгортання може передбачати більші ключі та інші компроміси продуктивності.

Утім, NIST вказує на поточний операційний консенсус: рухатися до стандартизованої PQC вже зараз, тому що очікування повністю зрілих квантових комп’ютерів може залишити надто мало часу для захисту довготривалої конфіденційності й автентичності.

Ключові висновки

QKD і PQC не є простими замінниками одне одного. QKD розподіляє секретні ключі; PQC замінює вразливу криптографію з відкритим ключем.
Головна особливість QKD — виявлюване прослуховування на квантовому каналі, що ґрунтується на збуренні під час квантового вимірювання.
QKD сам по собі не шифрує повідомлення і зазвичай потребує автентифікованого класичного каналу, тобто певна основа довіри вже має існувати.
PQC націлена на ширшу проблему міграції, спричинену квантовими загрозами для нинішніх систем криптографії з відкритим ключем.
Сучасна симетрична криптографія менше страждає від квантових обчислень, ніж сучасна криптографія з відкритим ключем, хоча більші розміри ключів можуть бути доцільними.
PQC вже входить до основних стандартів. NIST випустив FIPS 203, 204 і 205 у 2024 році та каже, що організаціям слід починати міграцію вже зараз.
Жоден шлях не є безкоштовним. QKD приносить інфраструктурний тягар і тягар автентифікації; PQC — алгоритмічну невизначеність і компроміси продуктивності, наприклад більші ключі.
Для більшості організацій PQC є головною короткостроковою відповіддю на квантовий ризик, тоді як QKD розв’язує вужчу й більш спеціалізовану безпекову задачу.