Mật mã hậu lượng tử: các tiêu chuẩn của NIST và cách quá trình chuyển đổi diễn ra

Ba tiêu chuẩn hậu lượng tử đầu tiên của NIST kết nối với nhau như thế nào, vì sao phải bắt đầu chuyển đổi trước Q-Day, và những bước thực tế mà các tổ chức phải đối mặt ngay lúc này.

Trang này được dịch từ tiếng Anh. Tên công ty, sản phẩm và liên kết nguồn được giữ nguyên. Đọc bản gốc tiếng Anh

Mật mã hậu lượng tử là nỗ lực thay thế các hệ mật mã khóa công khai dễ bị tổn thương hiện nay bằng những lựa chọn được cho là có khả năng chống lại các cuộc tấn công từ máy tính lượng tử trong tương lai. Ba tiêu chuẩn hoàn thiện đầu tiên của NIST, được công bố vào năm 2024, cho thấy quá trình chuyển đổi đã đi từ nghiên cứu sang triển khai: các tổ chức giờ đây được kỳ vọng sẽ kiểm kê nơi các thuật toán dễ bị lộ đang được sử dụng, quyết định nên thay thế phần nào trước, và bắt đầu công việc chuyển đổi kéo dài nhiều năm.

Vì sao cần mật mã hậu lượng tử

Vấn đề không phải là máy tính lượng tử có thể phá vỡ mọi thứ. Mối lo ngại chính hẹp hơn nhưng quan trọng hơn: các hệ khóa công khai được sử dụng rộng rãi phụ thuộc vào những bài toán toán học như phân tích thừa số nguyên, logarit rời rạc và logarit rời rạc trên đường cong elliptic. Một máy tính lượng tử đủ mạnh chạy thuật toán Shor có thể giải các bài toán đó một cách hiệu quả, từ đó làm suy yếu những hệ thống như RSA, Diffie–Hellman trên trường hữu hạn và Diffie–Hellman trên đường cong elliptic.

Mối đe dọa đó vẫn mới chỉ là triển vọng trong tương lai. Tính đến năm 2026, máy tính lượng tử chưa có đủ năng lực xử lý để phá vỡ các hệ mật mã đang được triển khai rộng rãi, và các thử nghiệm thuật toán Shor trong phòng thí nghiệm mới chỉ hoạt động với những con số rất nhỏ. Rào cản thực tế không nằm ở khả năng lý thuyết mà ở quy mô kỹ thuật: Wikipedia lưu ý rằng để vượt qua các phương pháp cổ điển có thể cần tới những cỗ máy với hàng triệu qubit do chi phí sửa lỗi.

Dù vậy, chờ tới khi xuất hiện một máy tính lượng tử đủ năng lực sẽ là sai lầm. Việc chuyển đổi mất nhiều năm, và một số dữ liệu có vòng đời bảo mật rất dài. Đó là lý do khái niệm “thu thập ngay, giải mã sau” đã trở thành trọng tâm trong hoạch định. Đối thủ có thể thu thập lưu lượng đã mã hóa hoặc bản mã được lưu trữ ngay hôm nay rồi giữ lại cho tới khi những tiến bộ trong tương lai cho phép giải mã. Với kho lưu trữ email, dữ liệu y tế, sở hữu trí tuệ, hồ sơ chính phủ hoặc nhật ký hạ tầng trọng yếu, thiệt hại có thể xuất hiện rất lâu sau thời điểm dữ liệu bị chặn thu ban đầu.

Lượng tử thay đổi điều gì — và không thay đổi điều gì

Một hiểu lầm phổ biến là điện toán lượng tử sẽ khiến mọi hình thức mật mã trở nên lỗi thời.

Phần lớn mật mã đối xứng và hàm băm hiện nay vẫn được xem là tương đối an toàn trước các cuộc tấn công lượng tử. Thuật toán Grover có thể tăng tốc tìm kiếm vét cạn đối với mật mã đối xứng, nhưng trên thực tế có thể bù đắp tác động đó bằng cách dùng kích thước khóa lớn hơn, chẳng hạn gấp đôi độ dài khóa. Vì vậy, xáo trộn lớn nhất nằm ở mật mã khóa công khai, đặc biệt là:

thiết lập khóa và trao đổi khóa
mã hóa khóa công khai và cơ chế đóng gói khóa
chữ ký số

Đó là lý do chương trình PQC của NIST tập trung vào các cơ chế đóng gói khóa, hay KEM, và các thuật toán chữ ký số, thay vì thay toàn bộ ngăn xếp cùng một lúc.

NIST đã tiêu chuẩn hóa gì trước tiên

NIST khởi động nỗ lực tiêu chuẩn hóa chính thức vào cuối năm 2016 sau lời kêu gọi đề xuất. Theo hồ sơ tiêu chuẩn hóa, có 69 hồ sơ đầy đủ và hợp lệ bước vào vòng đầu tiên, và 7 ứng viên vào tới vòng ba được công bố vào tháng 7 năm 2020. Sau nhiều năm đánh giá, NIST hoàn thiện ba tiêu chuẩn đầu tiên vào ngày 13 tháng 8 năm 2024.

Các tiêu chuẩn đó là:

FIPS 203: ML-KEM, cơ chế đóng gói khóa dựa trên lưới mô-đun, dựa trên CRYSTALS-Kyber
FIPS 204: ML-DSA, thuật toán chữ ký số dựa trên lưới mô-đun, dựa trên CRYSTALS-Dilithium
FIPS 205: SLH-DSA, thuật toán chữ ký số không trạng thái dựa trên hàm băm, dựa trên SPHINCS+

NIST mô tả ML-KEM là tiêu chuẩn chính cho mã hóa nói chung, nhấn mạnh khóa mã hóa tương đối nhỏ và tốc độ cao. ML-DSA là tiêu chuẩn chính cho chữ ký số. SLH-DSA sử dụng một nền tảng toán học khác và được dùng như phương án dự phòng trong trường hợp ML-DSA về sau bị phát hiện có lỗ hổng.

Hướng dẫn của chính NIST nêu rất rõ: ba tiêu chuẩn này đã sẵn sàng để sử dụng ngay và các tổ chức nên bắt đầu áp dụng từ bây giờ.

Vì sao có nhiều tiêu chuẩn thay vì chỉ một kẻ chiến thắng

Lĩnh vực hậu lượng tử không có một nền tảng toán học thống trị duy nhất. Mỗi họ thuật toán có điểm mạnh, đặc tính triển khai và hồ sơ rủi ro khác nhau. Các lựa chọn của NIST phản ánh tư duy danh mục.

Mật mã dựa trên lưới hiện đang gánh phần lớn khối lượng triển khai. Những thuật toán dựa trên lưới đầu tiên được NIST tiêu chuẩn hóa là ML-KEM và ML-DSA. Chúng hấp dẫn một phần nhờ hiệu năng và kích thước khóa ở mức chấp nhận được.

Nhưng đa dạng hóa là điều quan trọng. NIST chọn SLH-DSA, một sơ đồ chữ ký dựa trên hàm băm, làm phương án dự phòng cho chữ ký dựa trên lưới là lựa chọn chính. Sau đó, vào ngày 11 tháng 3 năm 2025, NIST chọn HQC làm KEM dự phòng cho mã hóa nói chung. HQC dựa trên mã, không dựa trên lưới, và NIST cho biết chính sự khác biệt trong cách tiếp cận toán học này là lý do để giữ nó như một phương án thay thế.

Thông điệp mang tính chiến lược là: đừng đặt cược tương lai của niềm tin số chỉ vào một giả định duy nhất.

Những tiêu chuẩn tiếp theo trong lộ trình

Công việc PQC của NIST không dừng lại ở đợt công bố năm 2024.

Trang dự án CSRC cho biết NIST tiếp tục tiêu chuẩn hóa:

Falcon, một thuật toán chữ ký số
HQC, một cơ chế đóng gói khóa

Hồ sơ tiêu chuẩn hóa cho biết tiêu chuẩn dựa trên Falcon sẽ có tên là FN-DSA trong FIPS 206. Tính đến giữa năm 2026, nó vẫn ở trạng thái dự thảo. Lý do được nêu ra cho tiến độ chậm hơn là độ phức tạp triển khai: FN-DSA dựa vào lấy mẫu Gaussian dấu chấm động trong quá trình ký, điều mà NIST cho là khó triển khai an toàn và theo thời gian hằng hơn so với ba tiêu chuẩn đã hoàn thiện.

Đối với HQC, NIST cho biết vào tháng 3 năm 2025 rằng một bản dự thảo tiêu chuẩn được kỳ vọng sẽ xuất hiện sau khoảng một năm, còn tiêu chuẩn hoàn chỉnh dự kiến vào năm 2027 sau giai đoạn lấy ý kiến công khai.

Lịch trình lệch pha đó có ý nghĩa về mặt vận hành. Các tổ chức không cần chờ mọi lựa chọn tương lai hoàn tất mới hành động. NIST kỳ vọng ML-KEM, ML-DSA và SLH-DSA sẽ tạo nền tảng cho phần lớn triển khai, và cho biết chúng nên được sử dụng ngay từ bây giờ.

Sơ đồ nhanh về các tiêu chuẩn đầu tiên

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Thiết lập khóa / hỗ trợ mã hóa nói chung	Dựa trên lưới	Tiêu chuẩn chính cho mã hóa nói chung
FIPS 204	ML-DSA	Chữ ký số	Dựa trên lưới	Tiêu chuẩn chính cho chữ ký
FIPS 205	SLH-DSA	Chữ ký số	Dựa trên hàm băm	Phương pháp chữ ký dự phòng
Forthcoming	FN-DSA	Chữ ký số	Dựa trên lưới NTRU	Tiêu chuẩn chữ ký bổ sung đang được phát triển
Forthcoming	HQC	Thiết lập khóa / hỗ trợ mã hóa nói chung	Dựa trên mã	KEM dự phòng cho ML-KEM

Quá trình chuyển đổi thực sự diễn ra như thế nào

Chuyển đổi không chỉ là thay một thư viện mà là thiết kế lại các phụ thuộc mật mã trên toàn bộ hệ thống.

Hướng dẫn chuyển đổi của NIST cho biết các tổ chức cần xác định nơi các thuật toán dễ bị tổn thương đang được sử dụng và lập kế hoạch cập nhật hoặc thay thế cho sản phẩm, dịch vụ và giao thức. Điều đó đồng nghĩa phải tìm ra mật mã ở những nơi thường được ghi chép rất sơ sài:

điểm kết cuối TLS và các liên kết dịch vụ-nối-dịch-vụ nội bộ
VPN và hệ thống truy cập từ xa
PKI và quy trình chứng chỉ
ký mã nguồn và ký tài liệu
mô-đun bảo mật phần cứng và hệ thống cập nhật firmware
công cụ quản lý danh tính, truy cập và khóa
thiết bị nhúng và công nghệ vận hành
dữ liệu lưu trữ lâu dài vẫn được bảo vệ bằng các sơ đồ thiết lập khóa cũ

Bước đầu tiên thường là kiểm kê mật mã: RSA, Diffie–Hellman hoặc các cơ chế đường cong elliptic đang được dùng ở đâu, trực tiếp hay thông qua sản phẩm của bên thứ ba? Bước thứ hai là ưu tiên: hệ thống nào có rủi ro cao vì xử lý bí mật tồn tại lâu dài hoặc khó nâng cấp? Bước thứ ba là triển khai thực hiện: thử nghiệm, xử lý khả năng tương tác, triển khai theo giai đoạn và thay đổi chính sách.

Mốc thời gian của NIST làm tăng tính cấp bách. Theo lộ trình chuyển đổi được dẫn chiếu trên trang CSRC, NIST có kế hoạch ngừng khuyến nghị rồi cuối cùng loại bỏ các thuật toán dễ bị tấn công bởi lượng tử khỏi các tiêu chuẩn của mình vào năm 2035, với các hệ thống rủi ro cao hơn phải chuyển sớm hơn nhiều.

Những đánh đổi kỹ thuật lớn nhất

Chuyển đổi sang hậu lượng tử không chỉ là một bài tập tuân thủ. Nó kéo theo những đánh đổi kỹ thuật thực sự.

Một đánh đổi lớn là kích thước so với hiệu quả. Tài liệu PQC của NIST lưu ý rằng nhiều thuật toán PQC dùng khóa lớn hơn các hệ khóa công khai tiền lượng tử. Tài liệu cũng mô tả các đánh đổi giữa kích thước khóa, hiệu quả tính toán và kích thước bản mã hoặc chữ ký. Với các giao thức hướng internet và thiết bị bị ràng buộc tài nguyên, những khác biệt này có thể ảnh hưởng tới băng thông, độ trễ, bộ nhớ và độ phức tạp triển khai.

Một đánh đổi khác là độ trưởng thành so với tính đa dạng. Các hệ dựa trên lưới hiện chiếm ưu thế trong những tiêu chuẩn đầu tiên vì chúng có hiệu năng đủ tốt trong các đánh giá của NIST để trở thành lựa chọn chính. Nhưng rủi ro tập trung là có thật, đó là lý do các tiêu chuẩn dự phòng dựa trên nền toán học khác đang được phát triển.

Bảo mật triển khai là vấn đề thứ ba. Hồ sơ tiêu chuẩn hóa đề cập tới các lo ngại về kênh kề đối với Falcon và lưu ý rằng các biện pháp giảm thiểu khả dĩ có thể ảnh hưởng đến hiệu năng. Nói rộng hơn, một thiết kế mật mã có thể trông rất mạnh trên lý thuyết nhưng vẫn khó triển khai an toàn trong thực tế.

Những điều các tiêu chuẩn chưa giải quyết dứt điểm

Sự tồn tại của một tiêu chuẩn không chứng minh được tính an toàn vĩnh viễn. Các thuật toán hậu lượng tử được tin là có khả năng chống tấn công lượng tử, chứ không phải đã được chứng minh. Sự dè dặt đó vốn là một phần của chính lĩnh vực này.

Cũng có những bài học từ quy trình của NIST. Một số ứng viên đã bị phá trong quá trình đánh giá. Wikipedia nêu bật hai ví dụ đặc biệt đáng chú ý: Rainbow bị phá bằng máy tính cổ điển ở vòng ba, và SIKE bị phá ở vòng bốn. Những thất bại đó không phủ nhận toàn bộ PQC; chúng cho thấy vì sao phản biện mật mã công khai và quá trình tiêu chuẩn hóa thận trọng cần thời gian.

Vẫn còn những câu hỏi mở quanh:

mức độ tin cậy dài hạn vào các bài toán toán học được lựa chọn
chất lượng triển khai giữa các nhà cung cấp và các ngăn xếp mã nguồn mở
khả năng chống kênh kề trên phần cứng và phần mềm thực tế
khả năng tương tác trong các giao thức và hệ sinh thái chứng chỉ
các tổ chức nên đa dạng hóa giữa các họ thuật toán mạnh đến mức nào

Cách thực tế để nghĩ về câu hỏi “khi nào nên chuyển”

Với hầu hết tổ chức, cách đặt vấn đề đúng không phải là “Q-Day có diễn ra vào năm sau không?” mà là “Quá trình chuyển đổi của chúng ta sẽ mất bao lâu, và dữ liệu của chúng ta cần an toàn trong bao lâu?”

Nếu hệ thống của bạn được nhúng sâu, chịu quản lý chặt chẽ, phân tán toàn cầu hoặc phụ thuộc vào nhà cung cấp, quá trình chuyển đổi có thể chậm. Nếu dữ liệu của bạn vẫn còn nhạy cảm sau nhiều năm nữa, rủi ro thu thập ngay, giải mã sau khiến việc trì hoãn trở nên tốn kém hơn. Logic đó giải thích vì sao NIST thúc giục áp dụng ngay các tiêu chuẩn năm 2024 dù máy tính lượng tử vẫn chưa đạt tới quy mô cần thiết.

Nói ngắn gọn, chuyển đổi PQC là một quá trình chuyển đổi hạ tầng điển hình: hãy bắt đầu trước khi khẩn cấp, vì tới khi tình trạng khẩn cấp trở nên hiển nhiên thì đã quá muộn để chuyển đổi một cách suôn sẻ.

Những điểm chính cần nhớ

Mật mã hậu lượng tử chủ yếu là thay thế các hệ khóa công khai dễ bị tổn thương, chứ không phải loại bỏ toàn bộ mật mã hiện có.
Một máy tính lượng tử đủ mạnh chạy thuật toán Shor có thể phá RSA, Diffie–Hellman và Diffie–Hellman trên đường cong elliptic.
NIST đã hoàn thiện ba tiêu chuẩn PQC đầu tiên vào ngày 13 tháng 8 năm 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) và FIPS 205 (SLH-DSA).
NIST cho biết các tiêu chuẩn này đã sẵn sàng ngay bây giờ và các tổ chức nên bắt đầu chuyển đổi ngay lập tức.
ML-KEM là tiêu chuẩn chính cho thiết lập khóa liên quan đến mã hóa nói chung; ML-DSA là tiêu chuẩn chữ ký chính; SLH-DSA là phương pháp chữ ký dự phòng.
Vào tháng 3 năm 2025, NIST chọn HQC làm KEM dự phòng dựa trên nền toán học khác với ML-KEM.
Chuyển đổi bắt đầu bằng việc xác định nơi các thuật toán dễ bị tổn thương đang được sử dụng, sau đó ưu tiên các hệ thống rủi ro cao và lên kế hoạch thay thế theo từng giai đoạn.
Những đánh đổi quan trọng bao gồm vật liệu khóa lớn hơn, chi phí hiệu năng và băng thông, độ phức tạp triển khai và giá trị của sự đa dạng toán học.
Các tiêu chuẩn PQC làm giảm rủi ro trong tương lai, nhưng không loại bỏ bất định; phản biện mật mã liên tục, rà soát triển khai và thử nghiệm vận hành vẫn là điều thiết yếu.
Tính cấp bách cốt lõi đến từ thời gian chuyển đổi dài và khả năng xảy ra các cuộc tấn công thu thập ngay, giải mã sau nhằm vào dữ liệu cần được giữ bí mật trong nhiều năm.