Квантова криптографія і постквантовий захист даних

Квантова криптографія використовує квантові явища для захисту каналів, а постквантова криптографія пропонує класичні алгоритми, стійкі до квантових атак. Щоб мінімізувати ризики, потрібні аудит активів, оновлення до стандартів NIST і поетапна міграція критичних сервісів на гібридні схеми з поступовим розгортанням PQC у виробництві.

Що таке квантова криптографія

основні принципи (квантова суперпозиція, невизначеність)

Квантова криптографія спирається на фізику мікросвіту: суперпозицію станів і принцип невизначеності Гейзенберга. Спроба виміряти квантовий стан змінює його, що дозволяє виявляти перехоплення. У криптообміні це означає: будь-яке втручання атакувальника залишає статистичні сліди в помилках бітів.

Ключова ідея — не «шифрувати фізикою», а безпечно розподіляти секретні ключі, використовуючи кванти світла (фотони) і випадкові базиси вимірювання. Після цього дані шифруються звичайними симетричними алгоритмами (наприклад, AES), але з ключами, отриманими з QKD.

практичні реалізації (QKD, квантові випадкові числа)

Найвідоміший протокол — QKD (Quantum Key Distribution). Він реалізується в оптичних волокнах або вільним простором і включає квантовий канал для фотонів і класичний автентифікований канал для обговорення базисів і виявлення помилок. Паралельно індустрія використовує квантові генератори випадкових чисел (QRNG) для підвищення ентропії ключів.

• QKD (BB84, E91) — як працює та які гарантії дає. BB84 кодує біти в поляризації фотонів у двох базисах; невідповідності базисів відкидаються, а рівень помилок (QBER) виявляє перехоплення. E91 використовує переплутані фотони і тести Белла для детекції підміни. Гарантія: інформаційно-теоретична безпека розподілу ключа за умови коректної фізичної моделі каналу та пристроїв.
• Переваги: інформаційна теоретична безпека проти перехоплення. Злом не потребує «нескінченної обчислювальної потужності» — атакувальник просто не може копіювати квантові стани (no-cloning) без детекції.
• Обмеження: відстань, інфраструктура, вразливість реалізацій (side-channels). Дальність волоконних ліній зазвичай до 100–200 км без довіри до повторювачів; вартість оптики й інтеграції висока; атаки на детектори (blinding), недосконалі джерела, потреба у стандартизованій автентифікації каналу.

Що таке постквантова криптографія (PQC)

категорії алгоритмів

Постквантова криптографія — це набір класичних (неквантових) алгоритмів шифрування, обміну ключами і цифрових підписів, спроєктованих так, щоб бути стійкими до атак квантових комп’ютерів (зокрема, до алгоритму Шора для факторизації та дискретного логарифмування і до алгоритму Гровера для прискореного перебору).

Основні сімейства:

• Lattice (решіткові): NTRU, CRYSTALS-Kyber (KEM), CRYSTALS-Dilithium (підпис), Falcon. Спираються на задачі типу Module-LWE/Module-SIS.
• Кодові: Classic McEliece (KEM). Використовують складність декодування випадкових лінійних кодів.
• Мультиваріантні: підписи на системах багатоваріантних поліномів (наприклад, Rainbow — нині не рекомендований через криптоаналіз).
• Hash-based: SPHINCS+. Підписи, що базуються на функціях гешування та деревоподібних структурах (Merkle).

рівні стійкості та стандарти NIST

У 2022 році NIST оголосив перші вибрані алгоритми, а у 2024–2025 роках опублікував фінальні FIPS для ключових схем:

• FIPS 203: ML-KEM (на основі Kyber) — для узгодження ключів/КЕМ.
• FIPS 204: ML-DSA (на основі Dilithium) — для цифрових підписів.
• FIPS 205: SLH-DSA (SPHINCS+) — для цифрових підписів на гешах.

Falcon і Classic McEliece залишаються на доріжці стандартизації; очікуються супровідні спецпублікації та профілі застосування у 2025–2026 роках. Рівні безпеки NIST PQC узгоджують еквівалент симетричної безпеки (наприклад, рівень 1 ~ 128-біт симетричний, рівень 3 ~ 192-біт, рівень 5 ~ 256-біт) з урахуванням квантових атак.

Які алгоритми стійкі до квантових атак

конкретні приклади та їх застосування

Станом на 2026 рік лідерами для масового інтернет-стека є CRYSTALS-Kyber (ML-KEM) для встановлення спільних секретів і CRYSTALS-Dilithium (ML-DSA) для підписів. Вони підходять для TLS 1.3, QUIC, IPsec, WireGuard, SSH, S/MIME, а також для заміни RSA/ECDSA в PKI.

• Kyber (KEM) та Dilithium/CRYSTALS (підписи) — лідери для TLS і PKI. Хороший баланс продуктивності та розміру артефактів; відкритий код і референсні імплементації доступні в популярних бібліотеках.
• NTRU, Falcon, Sphincs+ — коротка характеристика. NTRU — зріла решіткова схема з довгою історією; Falcon — дуже компактні підписи і ключі, але складніша реалізація з чутливістю до чисельної стабільності; SPHINCS+ — високий рівень консервативної безпеки, але великі розміри підписів і повільніші операції.
• Поради: гібридні схеми (PQC + класика) для плавного переходу. Комбінуйте, наприклад, X25519+Kyber для KEM або ECDSA+Dilithium для підписів, щоб зберегти сумісність і отримати подвійний захист на час міграції.

Ризики для існуючих PKI і блокчейнів

сценарії атак та часові вікна ризику

Найпрактичніша загроза сьогодні — «збирай-зараз, дешифруй-потім» (harvest-and-decrypt). Зловмисники перехоплюють і зберігають зашифрований трафік, очікуючи появи достатньо потужних квантових машин для дешифрування історичних даних, особливо коли застосовується RSA або ECDH без форвард-секретності.

• PKI: загроза підробки сертифікатів при використанні RSA/ECC. Коли великий квантовий комп’ютер стане доступним, підписи RSA/ECDSA можуть бути зламані, що дозволить підмінювати сертифікати, виконувати MitM і випускати фальшиві CRL/OCSP.
• Блокчейн: ризик відновлення приватних ключів і реорганізації ланцюга; проблеми backward compatibility. Адреси, що розкривають відкриті ключі при витратах (наприклад, в UTXO-моделях), можуть стати вразливими. Потенційні наслідки: крадіжка коштів, перепідписання історичних транзакцій, атаки на консенсус через швидке створення альтернативних гілок.
• Часові вікна ризику. Секретність даних з довгим терміном чутливості (5–30 років: медичні записи, інтелектуальна власність, держтаємниця) вже під загрозою через можливу майбутню дешифровку нині перехопленого трафіку.

Порада: усе, що має «тривалу цінність секретності», потрібно захищати вже сьогодні гібридними схемами та зменшеним терміном життя ключів, навіть якщо у вас ще немає повної підтримки PQC у продакшені.

Як підготувати інфраструктуру сьогодні

стратегія планування та пріоритети

План переходу має бути ризик-орієнтованим: спершу сервіси з довгостроковою чутливістю даних і широким поверхом атаки (TLS фронти, VPN, e-mail, бекапи, сховища), далі — внутрішні сервіси та машинні інтеграції. Паралельно — оновлення політик і навчання команд.

• Провести аудит криптографічних активів і класифікацію даних за критичністю. Інвентаризуйте протоколи (TLS, SSH, IPsec), бібліотеки (OpenSSL, BoringSSL, WolfSSL), розміри ключів, сертифікати, HSM, TPM, KMS і місця, де застосовуються RSA/ECC.
• Впровадити гібридні схеми в TLS, VPN, S/MIME; тестувати PQC-реалізації в стейджі. Для вебу — активуйте експериментальні KEX на базі Kyber у поєднанні з X25519; для електронної пошти — гібридні підписи; для сховищ — гібридні KEM для обміну ключами шифрування даних.
• Оновити політики зберігання ключів, backup та ретеншн з урахуванням майбутньої дешифровки. Скоротіть TTL сертифікатів, запровадьте форвард-секретність всюди, шифруйте бекапи з гібридним KEM і перегляньте періоди зберігання архівів.

Як підготувати інфраструктуру: покроково

1. Зберіть інвентар. Витягніть зі схем мережі і CMDB всі точки, де використовується криптографія: протоколи, бібліотеки, апаратні модулі, формати ключів і сертифікатів.
2. Класифікуйте дані. Позначте системи з довгим горизонтом конфіденційності (5+ років) і критичною доступністю; визначте цільові рівні безпеки NIST.
3. Оцініть сумісність. Перевірте підтримку PQC/гібридів у TLS-стеках, HSM, проксі, балансувальниках, брокерах повідомлень і клієнтському ПЗ.
4. Спроєктуйте гібриди. Визначте комбінації (наприклад, X25519+Kyber, ECDSA+Dilithium), узгодьте формати сертифікатів і профілі PKI.
5. Пілотуйте. Розгорніть стенд з liboqs/OpenQuantumSafe, зберіть метрики затримок, навантаження CPU, розміри сертифікатів/рукостискань.
6. Оновіть політики. Додайте вимоги PQC до стандартів розробки, рев’ю, ротації ключів, журналювання і відновлення після інцидентів.
7. Міграція поетапно. Почніть з зовнішніх периметрів (CDN/edge, фронти API), далі — внутрішні сервіси й машинні канали інтеграції.
8. Моніторинг і відкат. Визначте сигнали деградації (latency SLA, помилки рукопотискань), підготуйте механізми швидкого повернення до стабільних конфігів.
9. Освіта і комунікація. Навчіть SRE/DevOps/SecOps, проінформуйте клієнтів і партнерів про зміну криптопрофілів.
10. Періодичний перегляд. Раз на пів року звіряйтеся з оновленнями NIST/ETSI/IETF і актуалізуйте дорожню карту.

Як перевірити сумісність систем з постквантовими стандартами

інструменти, тести та критерії сумісності

Почніть із відтворення референсних тестів і інтеграції відкритих бібліотек у лабораторії. Далі — енд-ту-енд тести реальних протоколів з вимірюванням продуктивності та сумісності клієнтів.

• Використати тестові вектори NIST та відкриті бібліотеки (OpenQuantumSafe, liboqs). Вони надають реалізації ML-KEM/ML-DSA/SLH-DSA і патчі для OpenSSL/BoringSSL/OpenSSH.
• Проводити інтеграційні тести для TLS, SSH, JWT і PKI; перевірити розміри ключів і продуктивність. Важливо протестувати рукопотискання з гібридними KEX, валідацію ланцюжків сертифікатів і CRL/OCSP.
• Метрики: затримка, пропускна здатність, розмір сертифікатів, сумісність клієнтів. Додавайте до SLO граничні значення для handshake time, CPU per conn, bytes-on-wire і відсоток клієнтів, що успішно встановили захищене з’єднання.

Порівняння технологій захисту

Деталі практичного застосування

TLS/QUIC і веб

Для інтернет-сервісів доцільні гібридні KEM: X25519+ML-KEM (Kyber) у TLS 1.3/QUIC. Це зберігає зворотну сумісність і забезпечує forward secrecy. Переконайтеся, що CDN, балансувальники та WAF підтримують нові розширення. Розміри рукостискання зростуть, тож оптимізуйте MTU і раннє зменшення вікна конгестії.

VPN і корпоративні мережі

IPsec, IKEv2 та WireGuard отримують вигоду від гібридних обмінів ключами й короткого TTL SA. Додайте періодичну переключку ключів і перевірте продуктивність на апаратних прискорювачах. Для віддаленого доступу тестуйте клієнти на різних ОС і мобільних мережах.

Електронна пошта та сховища

Для S/MIME і PGP комбінуйте PQC-підписи з класикою, накладаючи подвійні підписи на повідомлення. Для сховищ використовуйте гібридний KEM для обміну ключами шифрування файлів/об’єктів; замініть довгострокові RSA-ключі на короткоживучі симетричні з частою ротацією.

PKI і сертифікація

Заплануйте паралельну PKI: профілі сертифікатів із подвійними SubjectPublicKeyInfo (або альтернативні ланцюжки), оновіть політики видачі, CRL/OCSP і журналювання прозорості (CT) з урахуванням більших об’ємів. Перегляньте довіру до кореневих центрів і HSM-сумісність.

Вектор атак і способи пом’якшення

Імплементаційні ризики

Навіть стійкий алгоритм можна скомпрометувати поганою реалізацією. Ризики: побічні канали (час, енергоспоживання, EM), неконстантний час виконання, відсутність перевірок на помилки декодування, генератори випадкових чисел низької якості. Обов’язково проведіть сторонній аудит і використовуйте перевірені бібліотеки.

Операційні ризики

Переналаштування сертифікатів, збільшення розмірів ключів і підписів вплинуть на SLA. Інколи доведеться переробити протоколи, які мають жорсткі ліміти розмірів повідомлень (наприклад, деякі токени або протоколи IoT). Плануйте бюджет продуктивності та ретельно тестуйте на краях мереж.

Метрики, які варто відстежувати

• Затримка рукопотискання (P50/P95/P99) та CPU per connection/session.
• Bytes-on-wire: збільшення розміру рукостискання і сертифікатів.
• Сумісність клієнтів: частка клієнтів, що завершили гібридне рукостискання.
• Помилки криптографії: частота невдалих KEM/verify, причини відмов.
• Стабільність: час відновлення при відкаті конфігурацій.

Оновлення політик безпеки і життєвого циклу ключів

Переробіть політики під нові реалії: коротші терміни дії сертифікатів (90–180 днів), сувора ротація симетричних ключів, мінімізація зберігання чутливих бекапів у незашифрованому вигляді, запровадження HSM/KMS з підтримкою PQC або проксі-обчислень. Перенесіть секрети в секрет-менеджери, що вміють працювати з великими ключами й артефактами.

Дорожня карта 2026+

Очікується ширша підтримка PQC у основних бібліотеках, браузерах і ОС, формалізація гібридів в IETF, а також зростання пропозицій керованих сервісів PKI з PQC. Для QKD — поява міських квантових мереж і комерційних сервісів «QKD-as-a-Service» у критичній інфраструктурі, але з обмеженою географією та високою вартістю.

Висновок

Багаторівневий захист формується поєднанням квантових каналів (де це виправдано) і постквантових алгоритмів у масових протоколах. Починайте сьогодні: аудит криптоактивів, пілоти гібридних KEM/підписів, оновлення політик і план поетапної міграції. Так ви зменшите ризик harvest-now-decrypt-later і збережете конфіденційність на роки вперед.