Постквантова криптографія (PQC) — сімейство криптографічних алгоритмів, які мають залишатися стійкими до атак як класичних комп’ютерів, так і майбутніх потужних квантових комп’ютерів.
Навіщо потрібна постквантова криптографія
Майже вся сучасна криптографія з відкритим ключем — RSA, підписи на еліптичних кривих і протокол Діффі — Геллмана — спирається на задачі факторизації чи дискретного логарифмування. У 1994 році Пітер Шор показав, що досить потужний квантовий комп’ютер розв’яже обидві задачі ефективно. Такої машини поки немає, але загроза актуальна вже зараз через стратегію «збери зараз, розшифруй потім» (harvest now, decrypt later): противник може записувати зашифрований трафік сьогодні й розшифрувати його, коли з’являться квантові комп’ютери. Симетричні алгоритми зачеплені значно менше: достатньо подвоїти довжину ключа, наприклад використовувати AES-256.
Як влаштовані постквантові алгоритми
Алгоритми PQC працюють на звичайних комп’ютерах, але ґрунтуються на математичних задачах, для яких невідомо ефективних квантових атак: ґратках, геш-функціях і кодах, що виправляють помилки. За підсумками відкритого конкурсу, розпочатого у 2016 році, NIST опублікував перші стандарти в серпні 2024 року:
- FIPS 203 (ML-KEM) — механізм інкапсуляції ключів на ґратках, похідний від CRYSTALS-Kyber;
- FIPS 204 (ML-DSA) — підписи на ґратках на основі CRYSTALS-Dilithium;
- FIPS 205 (SLH-DSA) — підписи на геш-функціях на основі SPHINCS+.
У 2025 році NIST також обрав HQC як резервний алгоритм інкапсуляції ключів. Конкурс показав, чому потрібна обережність: кандидата SIKE зламали у 2022 році приблизно за годину на звичайному комп’ютері рівня ноутбука.
Як впроваджується PQC
Зазвичай застосовують гібридні схеми, що поєднують класичний і постквантовий алгоритми: захист зберігається, доки не зламано хоча б один із них. Chrome, Firefox і Cloudflare підтримують у TLS гібридний обмін ключами X25519 + ML-KEM, Signal запровадив PQXDH у 2023 році, а Apple додала в iMessage протокол PQ3 у 2024 році. Організаціям радять провести інвентаризацію криптографії, насамперед захистити довготривалі секрети й закласти в системи криптографічну гнучкість, щоб алгоритми можна було замінювати без переробки архітектури.
