Migracja do PQC: podejścia hybrydowe

Przejście z kryptografii klasycznej na postkwantową to największa migracja kryptograficzna w historii — bardziej złożona niż aktualizacja kluczy RSA o długości 2048 bitów lub wycofanie SHA-1. Wymaga jednoczesnej aktualizacji protokołów, bibliotek, HSM-ów, certyfikatów i kodu.

Hybrydowy KEM = klasyczny KEM + KEM PQC. Wspólny sekret = KDF(classical_secret || pqc_secret). Bezpieczeństwo wymaga złamania obu mechanizmów. Przeciwnik kwantowy łamie ECDH, ale nie Kybera. Przeciwnik klasyczny nie łamie żadnego z nich. Zapewnia to obronę warstwową w okresie przejściowym.

Google Chrome i Cloudflare wdrożyły X25519Kyber768 (połączenie ECDH X25519 i Kyber-768) w TLS 1.3 w 2023 roku. Dokument roboczy draft-ietf-tls-hybrid-design definiuje sposób opakowania. Obie strony negocjują połączony udział kluczowy w istniejącym rozszerzeniu TLS ClientHello.

Certyfikaty X.509 obecnie używają kluczy publicznych RSA lub ECDSA. Ścieżka migracji: (1) wystawiać certyfikaty z dwoma algorytmami (klasycznym i PQC), (2) stosować klucze PQC w pośrednich urzędach certyfikacji, (3) na końcu przełączyć główne urzędy certyfikacji. CA/Browser Forum opracowuje profile certyfikatów PQC.

Wielu urządzeń HSM nie można zaktualizować sprzętowo ani za pomocą oprogramowania układowego tak, aby obsługiwały algorytmy PQC. Cykle wymiany sprzętu trwają 5–10 lat. Organizacje muszą przeprowadzić audyt planów rozwoju oprogramowania układowego HSM, zaplanować wymianę sprzętu oraz rozważyć programowe mosty PQC dla starszych urządzeń HSM w okresie przejściowym.

Krok 1: należy przeprowadzić inwentaryzację kryptograficzną. Należy zidentyfikować: każdy klucz i certyfikat RSA/ECC, każdą wymianę kluczy DH oraz każdą wersję protokołu. Narzędzia: skanery zestawów szyfrów, narzędzia do inwentaryzacji certyfikatów, statyczna analiza kodu pod kątem wywołań kryptograficznych. Należy udokumentować czas życia wszystkich zasobów.

Najwyższy priorytet: dane przechowywane przez długi czas (dane niejawne, dokumentacja medyczna) — już dziś są narażone na ataki typu „zbierz teraz, odszyfruj później”. Następnie: wymiana kluczy w protokołach (TLS, SSH, VPN) — należy rozpocząć migrację od hybrydowych KEM-ów. Najniższy priorytet: podpisy danych krótkotrwałych (tokeny sesji).

Python: użyj pyca/cryptography z backendem liboqs dla ML-KEM. Java: moduł BouncyCastle PQC. Rust: crate'y pqcrypto. Zastąp: rsa.generate_private_key() → generowanie kluczy ML-KEM; ecdh_key_agreement() → enkapsulacja/dekapsulacja ML-KEM. Zastosuj abstrakcję za pomocą warstwy crypto agility.

Agility kryptograficzna: projektuj systemy tak, aby można było wymieniać algorytmy bez zmian w kodzie. Używaj pól identyfikatorów algorytmów, rejestrów typów kluczy i wymiennych backendów. Unikaj wpisywania nazw algorytmów na stałe w formatach serializacji. Umożliwiło to migrację z SHA-1 do SHA-256 i umożliwi migrację z RSA do PQC.

Testuj za pomocą wektorów testów znanych odpowiedzi z implementacji referencyjnych NIST PQC. Przeprowadzaj walidację z użyciem zestawu testów interoperacyjności OQS-OpenSSL. Testuj hybrydowy TLS z oqs-provider dla OpenSSL. Monitoruj strony z erratami NIST FIPS 203/204/205/206 pod kątem aktualizacji wskazówek dotyczących implementacji.

Zalecenia NIST/NSA: (1) już teraz wstrzymaj wdrażanie nowych systemów RSA/ECC. (2) Wdróż hybrydową wymianę kluczy w TLS i VPN-ach do lat 2025–2026. (3) Przeprowadź migrację certyfikatów do PQC do lat 2028–2030. (4) Zakończ pełną migrację (w tym HSM-ów) do 2035 roku, zanim zmaterializuje się ryzyko CRQC.

Dlaczego dane zaszyfrowane dzisiaj (z użyciem RSA/ECDH) są zagrożone, mimo że komputery kwantowe jeszcze nie istnieją?

Migracja do PQC wykorzystuje hybrydowe KEM-y (klasyczne + PQC) w okresie przejściowym. Nadaj priorytet danym przechowywanym przez długi czas i wymianie kluczy. Przeprowadź inwentaryzację kryptografii, zaktualizuj sprzęt i wymuś stosowanie crypto agility. NIST zaleca zakończenie pełnej migracji do 2035 roku. Następny temat: kryptografia blockchainów — drzewa Merkle'a i PoW.