Постквантовая криптография
Урок 21 из 23 курса «Квантум: курс с нуля». Бесплатно, с анимациями и тестом.
Новая математика на старом железе
Главное лекарство от Q-Day — не квантовое. Постквантовая криптография (PQC) — это новые алгоритмы для обычных компьютеров и телефонов. Они держатся на задачах, которые не решает ни алгоритм Шора, ни какой-либо другой известный квантовый алгоритм: поиск точек в многомерных решётках, свойства хешей и кодов с ошибками. Не путай с «квантовым шифрованием» по оптоволокну (QKD): там нужно специальное железо, а PQC — просто обновление софта.
Стандарты NIST
Американский институт стандартов NIST с 2016 года проводил открытый конкурс: криптографы всего мира предлагали алгоритмы и годами пытались взломать чужие. Часть кандидатов действительно пала. 13 августа 2024 года вышли три стандарта: FIPS 203 (ML-KEM) для обмена ключами, FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA) для подписей. В марте 2025 года добавили HQC — запасной вариант на другой математике, на случай если с решётками что-то найдут. Зачем запасной? Это урок истории: в 2022 году финалиста SIKE взломали примерно за час на одном ядре обычного компьютера.
Ты уже пользуешься PQC
Хорошая новость: переход уже идёт, и ты его даже не заметил. Signal добавил постквантовый обмен ключами PQXDH в 2023 году, Apple включила протокол PQ3 в iMessage в 2024-м, а Chrome с 2024 года по умолчанию использует ML-KEM при подключении к сайтам по HTTPS. Почти везде применяют гибрид: старый алгоритм и новый работают вместе. Чтобы взломать соединение, нужно сломать оба. Если в новом найдут дыру, старый всё ещё держит оборону, и наоборот.
Почему спешат: правило Моски
Если квантового взломщика ещё нет, зачем торопиться? Криптограф Мишель Моска предложил простую проверку. x — сколько лет твои данные должны оставаться тайной. y — сколько лет займёт переход на новые алгоритмы. z — через сколько лет появится квантовый взломщик. Если x + y больше z, ты уже опоздал: злоумышленник записывает зашифрованный трафик сегодня, а расшифрует его потом. Медицинские карты, госсекреты, переписка должны жить десятилетиями. А переход большой компании легко занимает 5–10 лет.
Дедлайны
Регуляторы уже назвали даты. NIST в проекте документа IR 8547 (ноябрь 2024) предлагает признать RSA и эллиптические кривые устаревшими после 2030 года и запретить после 2035-го. Агентство NSA по программе CNSA 2.0 требует постквантовой поддержки в новых системах с 2027 года и полного перехода всей защиты нацбезопасности к 2035-му. Евросоюз ждёт от стран национальных планов к концу 2026 года, защиты критической инфраструктуры к 2030-му и остального к 2035-му. Для бизнеса это значит одно: тот, кто умеет переводить системы на PQC, будет нарасхват.
Цена перехода
Бесплатно ничего не бывает. Постквантовые ключи и подписи заметно больше. Подпись Schnorr или ECDSA в биткоине весит около 64–72 байт, ML-DSA — 2420 байт, а самая осторожная схема на хешах SLH-DSA — почти 8 килобайт. Для сайта это незаметно, а для блокчейна болезненно: каждая подпись занимает место в блоке, а значит, растут комиссии или падает пропускная способность. Поэтому сообщества биткоина и Ethereum так долго спорят, какую схему брать. Вторая боль — инвентаризация: многие компании просто не знают, где у них используется старая криптография.
Проверь себя
- Что такое постквантовая криптография?
Правильный ответ: Новые алгоритмы для обычных компьютеров, стойкие к квантовым атакам. PQC — это софт: новая математика на тех же телефонах и серверах. Именно поэтому её можно развернуть массово. - Почему переходить на PQC нужно до появления квантового взломщика?
Правильный ответ: Данные крадут сейчас, а расшифруют потом, и сам переход занимает годы. Правило Моски: если x + y > z, ты уже опоздал. «Собери сейчас — расшифруй потом» делает угрозу реальной уже сегодня. - Почему для блокчейна постквантовые подписи — не бесплатное решение?
Правильный ответ: Подписи в десятки раз больше и занимают место в каждом блоке. ML-DSA весит 2420 байт против ~64–72 у Schnorr/ECDSA. Больше данных в блоке — выше комиссии или ниже пропускная способность.