Планирование перехода на постквантовые стандарты

Миграция криптографической инфраструктуры не является краткосрочным проектом. Крупным организациям требуется 10–15 лет, чтобы полностью обновить все системы. По оценкам NIST, квантовые компьютеры, способные взломать RSA-2048, могут появиться в течение следующих 10–30 лет. Учитывая угрозу «собрать сейчас — расшифровать позже» и длительные сроки миграции, организациям необходимо начинать планирование уже сегодня, даже если непосредственная квантовая угроза кажется далёкой.

Криптографическая гибкость означает проектирование систем таким образом, чтобы криптографические алгоритмы можно было заменять без перепроектирования всей архитектуры. Гибкая система централизует выбор алгоритма в конфигурации, использует абстрактные типы ключей и отделяет логику протокола от конкретных реализаций шифров. Системы, в логике протокола которых жёстко заданы RSA или ECDH, потребуют гораздо более затратной миграции, чем гибкие системы.

Первый шаг миграции — составить каталог всех криптографических примитивов в системе: где используются RSA, ECDH, ECDSA и симметричные алгоритмы, в каких контекстах (TLS, подписание кода, шифрование данных в состоянии покоя, токены аутентификации) и каковы сроки жизни этих данных. В NIST IR 8547 и рекомендациях CISA рекомендуется использовать средства автоматизированного обнаружения для поиска жёстко закодированных ключей и идентификаторов алгоритмов в кодовых базах и конфигурациях.

TLS 1.3 поддерживает гибридный обмен ключами, объединяющий X25519 и ML-KEM-768, описанный в документе IETF draft-ietf-tls-hybrid-design. Гибридная NamedGroup X25519MLKEM768 отправляет в ClientHello обе доли ключа — классическую и PQC. Общий секрет представляет собой хеш обоих результатов. Для серверов, поддерживающих новую NamedGroup, это не требует никаких изменений протокола и обратно совместимо с клиентами, которые её не поддерживают.

NIST IR 8413 (2022) содержит рекомендации по миграции к постквантовой криптографии. В нём системы разделены на три зоны: критические в ближайшей перспективе (долгоживущие секреты, которым угрожает риск «собрать сейчас — расшифровать позже»), среднесрочные (данные, которые должны оставаться конфиденциальными 5–10 лет) и низкоприоритетные (эфемерные данные или данные с коротким сроком жизни). NIST рекомендует в первую очередь заниматься PKI и инфраструктурой сертификатов, поскольку изменение корневых сертификатов влияет на всю цепочку доверия.

Угроза «собрать сейчас — расшифровать позже» (HNDL) — самая срочная причина немедленно внедрить постквантовое шифрование, даже до появления квантовых компьютеров. Злоумышленники (государства) записывают зашифрованный трафик уже сегодня в расчёте расшифровать его, когда появится квантовый компьютер. Данные, требующие долгосрочной защиты (медицинские записи, государственные тайны, финансовые данные, сохраняющие актуальность на протяжении нескольких десятилетий), уже сейчас находятся под непосредственной угрозой этой атаки.

С учётом угрозы HNDL высший приоритет при миграции к постквантовой криптографии имеет защита данных, для которых требуется длительная конфиденциальность. Эфемерный обмен ключами TLS (ECDHE) следует немедленно обновить до гибридной схемы X25519+ML-KEM. Долгоживущие закрытые ключи RSA (используемые для подписания сертификатов или хранящиеся вместе с зашифрованными данными) необходимо повторно зашифровать с использованием постквантовых схем. Эфемерные ключи сеансов для потокового видео имеют низкий приоритет, поскольку не представляют долгосрочной ценности.

Перед внедрением PQC организациям следует измерить влияние на производительность в своих конкретных рабочих нагрузках. ML-KEM работает быстро: генерация ключей и инкапсуляция занимают менее 20 микросекунд на современном оборудовании. Однако увеличенный размер ключей и шифротекстов (ML-KEM-768: 1184 + 1088 байта против X25519: 32 + 32 байта) увеличивает размер рукопожатий TLS. Для высокопроизводительных серверов TLS, обрабатывающих миллионы соединений в секунду, эти накладные расходы на пропускную способность необходимо измерить.

Проект Open Quantum Safe (OQS) предоставляет liboqs — библиотеку с открытым исходным кодом, реализующую алгоритмы PQC, включая все стандарты NIST. OQS также предоставляет форки OpenSSL и BoringSSL с поддержкой PQC, а также тестовый сервер по адресу test.openquantumsafe.org. Организации могут использовать liboqs для создания прототипов и тестирования интеграции PQC перед развёртыванием в рабочей среде, не дожидаясь поддержки в основных версиях библиотек.

Федеральные ведомства US и регулируемые отрасли должны использовать криптографические модули, прошедшие валидацию FIPS. NIST FIPS 203, 204 и 205 уже опубликованы, однако для появления прошедших валидацию реализаций (с сертификатами CMVP) требуется дополнительное время. NIST проводит ускоренную программу валидации PQC. Организациям в регулируемых сферах следует отслеживать статус валидации CMVP и планировать период, в течение которого в гибридных развёртываниях classical+PQC будут использоваться прошедшие валидацию FIPS классические алгоритмы наряду с прошедшими валидацию реализациями PQC.

Миграция PKI особенно сложна. Корневые сертификаты и промежуточные центры сертификации необходимо перевыпустить с использованием ML-DSA или гибридных ключей. Цепочки сертификатов становятся больше (сертификаты ML-DSA-65 занимают приблизительно 4 KB против 1 KB у RSA-2048). Необходимо обновить хранилища доверия браузеров, мобильных OS и встроенных устройств. Некоторые организации изучают сертификаты с двумя алгоритмами (гибридную PKI), чтобы сохранить обратную совместимость на время перехода.

Миграция PQC требует криптографической гибкости, полного инвентаря криптографических средств и расстановки приоритетов на основе срока жизни данных. Угроза «собрать сейчас — расшифровать позже» делает срочным немедленное внедрение гибридного TLS (X25519+ML-KEM-768) для долгоживущих секретов. Накладные расходы на производительность приемлемы для большинства рабочих нагрузок. liboqs позволяет проводить тестирование до появления поддержки в основных версиях библиотек. Для соответствия FIPS необходимо отслеживать статус валидации реализаций PQC в CMVP.