Переход на PQC: гибридные подходы

Переход от классической криптографии к постквантовой — крупнейшая криптографическая миграция в истории, более сложная, чем обновление RSA до 2048 бит или отказ от SHA-1. Она требует одновременного обновления протоколов, библиотек, HSM, сертификатов и кода.

Гибридный KEM = классический KEM + PQC KEM. Общий секрет = KDF(classical_secret || pqc_secret). Для нарушения безопасности необходимо взломать оба компонента. Квантовый злоумышленник взламывает ECDH, но не Kyber. Классический злоумышленник не взламывает ни один из них. Это обеспечивает эшелонированную защиту в переходный период.

Google Chrome и Cloudflare внедрили X25519Kyber768 (сочетание ECDH X25519 и Kyber-768) в TLS 1.3 в 2023 году. Черновик IETF draft-ietf-tls-hybrid-design определяет формат обмена. Обе стороны согласуют объединённый ключевой материал в существующем расширении TLS ClientHello.

Сертификаты X.509 в настоящее время используют открытые ключи RSA или ECDSA. Путь перехода: (1) выпускать сертификаты с двумя алгоритмами (классическим и постквантовым); (2) использовать постквантовые ключи в промежуточных CA; (3) последними переводить корневые CA. CA/Browser Forum разрабатывает профили сертификатов PQC.

Многие HSM нельзя обновить по прошивке для поддержки алгоритмов PQC. Циклы обновления оборудования занимают 5–10 лет. Организациям необходимо проверить планы развития прошивок HSM, запланировать замену оборудования и на время перехода рассмотреть программные мосты PQC для устаревших HSM.

Шаг 1: проведите инвентаризацию криптографии. Определите: каждый ключ и сертификат RSA/ECC, каждый обмен ключами DH и каждую версию протокола. Используйте сканеры наборов шифров, средства инвентаризации сертификатов и статический анализ кода для вызовов криптографических функций. Задокументируйте сроки службы всех активов.

Наивысшая срочность: данные с длительным сроком хранения (секретные материалы, медицинские записи) — уже сегодня уязвимы для атаки «собрать сейчас, расшифровать потом». Далее: обмен ключами в протоколах (TLS, SSH, VPN) — сначала выполните миграцию с гибридными KEM. Наименьшая срочность: подписи данных с коротким сроком хранения (токены сеансов).

Python: используйте pyca/cryptography с серверной частью liboqs для ML-KEM. Java: модуль PQC BouncyCastle. Rust: пакеты pqcrypto. Замените: rsa.generate_private_key() → генерация ключей ML-KEM; ecdh_key_agreement() → инкапсуляция и декапсуляция ML-KEM. Абстрагируйте эти операции с помощью слоя криптографической гибкости.

Криптографическая гибкость — это проектирование систем так, чтобы менять алгоритмы без изменений кода. Используйте поля идентификаторов алгоритмов, реестры типов ключей и подключаемые серверные модули. Не встраивайте имена алгоритмов в форматы сериализации. Это позволило перейти с SHA-1 на SHA-256 и позволит перейти с RSA на PQC.

Проверяйте реализацию с помощью эталонных тестовых векторов из эталонных реализаций NIST PQC. Выполняйте проверку с помощью набора тестов на совместимость OQS-OpenSSL. Тестируйте гибридный TLS с oqs-provider для OpenSSL. Следите за страницами с исправлениями к FIPS 203/204/205/206 от NIST, чтобы своевременно получать обновления рекомендаций по реализации.

Рекомендации NIST/NSA: (1) уже сейчас прекратите развёртывание новых систем RSA/ECC. (2) Разверните гибридный обмен ключами в TLS и VPN к 2025–2026 годам. (3) Переведите сертификаты на PQC к 2028–2030 годам. (4) Завершите полную миграцию (включая аппаратные модули защиты) к 2035 году, прежде чем проявится риск CRQC.

Почему данные, зашифрованные сегодня (с использованием RSA/ECDH), уже находятся под угрозой, даже пока квантовых компьютеров не существует?

При миграции на PQC в переходный период используются гибридные KEM (классические алгоритмы + PQC). В первую очередь следует защищать данные с длительным сроком хранения и обмен ключами. Проведите инвентаризацию криптографии, обновите оборудование и обеспечьте криптографическую гибкость. NIST рекомендует завершить полную миграцию к 2035 году. Далее: криптография блокчейна — деревья Меркла и PoW.