Постквантовая криптография (PQC) — семейство криптографических алгоритмов, которые должны оставаться стойкими к атакам как классических компьютеров, так и будущих мощных квантовых компьютеров.
Зачем нужна постквантовая криптография
Почти вся используемая сегодня криптография с открытым ключом — RSA, подписи на эллиптических кривых и протокол Диффи — Хеллмана — опирается на задачи факторизации или дискретного логарифмирования. В 1994 году Питер Шор показал, что достаточно мощный квантовый компьютер решит обе задачи эффективно. Такой машины пока нет, но угроза актуальна уже сейчас из-за стратегии «собери сейчас, расшифруй потом» (harvest now, decrypt later): противник может записывать зашифрованный трафик сегодня и расшифровать его, когда квантовые компьютеры появятся. Симметричные алгоритмы затронуты гораздо меньше: достаточно удвоить длину ключа, например использовать AES-256.
Как устроены постквантовые алгоритмы
Алгоритмы PQC работают на обычных компьютерах, но основаны на математических задачах, для которых не известно эффективных квантовых атак: решётках, хеш-функциях и кодах, исправляющих ошибки. По итогам открытого конкурса, начатого в 2016 году, NIST опубликовал первые стандарты в августе 2024 года:
- FIPS 203 (ML-KEM) — механизм инкапсуляции ключей на решётках, производный от CRYSTALS-Kyber;
- FIPS 204 (ML-DSA) — подписи на решётках на основе CRYSTALS-Dilithium;
- FIPS 205 (SLH-DSA) — подписи на хеш-функциях на основе SPHINCS+.
В 2025 году NIST также выбрал HQC как резервный алгоритм инкапсуляции ключей. Конкурс показал, почему нужна осторожность: кандидат SIKE был взломан в 2022 году примерно за час на обычном компьютере уровня ноутбука.
Как внедряется PQC
Обычно используют гибридные схемы, сочетающие классический и постквантовый алгоритмы: защита сохраняется, пока не взломан хотя бы один из них. Chrome, Firefox и Cloudflare поддерживают в TLS гибридный обмен ключами X25519 + ML-KEM, Signal внедрил PQXDH в 2023 году, а Apple добавила в iMessage протокол PQ3 в 2024 году. Организациям рекомендуют провести инвентаризацию криптографии, в первую очередь защитить долгоживущие секреты и заложить в системы криптографическую гибкость, чтобы алгоритмы можно было заменять без переделки архитектуры.
