kryptografia postkwantowa

Kryptografia postkwantowa (post-quantum cryptography, PQC) to algorytmy klucza publicznego zaprojektowane tak, by opierały się atakom z użyciem komputera kwantowego. NIST opisuje przejście na nie jako odejście od algorytmów podatnych na ataki kwantowe w podpisach cyfrowych i w uzgadnianiu kluczy ^[3]. Pierwsze trzy standardy, FIPS 203, 204 i 205, NIST opublikował 13 sierpnia 2024 roku ^[1]. Migrację zaczyna się już dziś, bo zaszyfrowany ruch przechwycony teraz może zostać odszyfrowany w przyszłości ^[3].

Jak działa

Dzisiejsza kryptografia asymetryczna opiera się na problemach, które komputer kwantowy mógłby rozwiązać. W projekcie wytycznych NIST IR 8547 jako podatne wymienione są RSA, ECDSA, EdDSA oraz uzgadnianie kluczy Diffiego-Hellmana, także na krzywych eliptycznych ^[3]. Algorytmy postkwantowe opierają się na innych problemach matematycznych. Na przykład bezpieczeństwo ML-KEM wynika z trudności problemu Module Learning with Errors, uznawanego za odporny także na przeciwnika z komputerem kwantowym ^[2].

ML-KEM jest mechanizmem enkapsulacji klucza (KEM). FIPS 203 definiuje KEM jako zestaw algorytmów, którym dwie strony mogą uzgodnić wspólny tajny klucz przez kanał publiczny ^[2]. Tym kluczem szyfruje się potem dane zwykłym szyfrem symetrycznym. Standard ma trzy zestawy parametrów: ML-KEM-512, ML-KEM-768 i ML-KEM-1024, od najszybszego do najsilniejszego ^[2].

Pilność wynika z zagrożenia „harvest now, decrypt later”. NIST opisuje je tak: przeciwnik gromadzi zaszyfrowane dane już teraz, aby odszyfrować je, gdy technologia kwantowa dojrzeje ^[3]. Mechanizm pokazuje schemat poniżej.

RYS. 1Harvest now, decrypt later

Z tego powodu NIST stawia na pierwszym miejscu migrację uzgadniania kluczy, zwłaszcza w protokołach interaktywnych, takich jak TLS ^[3]. Inaczej jest z uwierzytelnianiem: podpis pozostaje bezpieczny, jeśli algorytm był bezpieczny w chwili uwierzytelnienia ^[3].

Odmiany

NIST wybierał algorytmy od 2016 roku i ocenił 82 propozycje z 25 krajów ^[1]. Standardy i kandydaci zestawia tabela.

HQC wybrano w marcu 2025 roku, bo opiera się na kodach korekcyjnych, a nie na kratach jak ML-KEM ^[4]. Gdyby w matematyce krat znaleziono słabość, istnieje alternatywa o innej podstawie ^[4].

W okresie przejściowym stosuje się rozwiązania hybrydowe, które łączą algorytm klasyczny z postkwantowym, na przykład X25519 z ML-KEM ^[5]. NIST zaznacza, że takie połączenia projektuje się tak, by pozostały bezpieczne, jeśli bezpieczny jest choć jeden ze składników ^[3]. Traktuje je jednak jako rozwiązanie przejściowe, które dodaje złożoności ^[3].

W WordPressie

Na typowej stronie WordPress kryptografię postkwantową dostarcza warstwa pod aplikacją, a nie sam WordPress. Połączenie HTTPS zestawia serwer WWW, reverse proxy albo CDN. To one negocjują uzgadnianie klucza w TLS z przeglądarką odwiedzającego. Biblioteka OpenSSL w wersji 3.5.0 z 8 kwietnia 2025 roku obsługuje ML-KEM, ML-DSA i SLH-DSA, a domyślnie proponuje w TLS hybrydę X25519MLKEM768 obok klasycznego X25519 ^[6]. Serwer z nową wersją biblioteki i przeglądarka z obsługą hybrydy uzgodnią więc klucz odporny na ataki kwantowe bez zmian w WordPressie. Na hostingu współdzielonym zależy to od dostawcy.

Sam WordPress używa kryptografii klucza publicznego do podpisywania aktualizacji. Od wersji 5.2 sprawdza podpisy paczek, liczone algorytmem Ed25519 ze skrótu SHA-384 pliku ^[7]. Ed25519 to odmiana EdDSA, którą projekt NIST IR 8547 przewiduje wycofać po 2035 roku ^[3]. Dla aktualizacji rdzenia ważny jest jednak wspomniany wyżej wniosek NIST: podpis chroni, jeśli jest bezpieczny w chwili weryfikacji ^[3].

Znaczenie

Projekt NIST IR 8547 z listopada 2024 roku podaje harmonogram. Algorytmy RSA, ECDSA i uzgadnianie kluczy Diffiego-Hellmana o sile 112 bitów mają być wycofywane po 2030 roku, a wszystkie algorytmy podatne na ataki kwantowe, w tym silniejsze warianty i EdDSA, niedozwolone po 2035 roku ^[3]. Dokument powołuje się na amerykańskie memorandum NSM-10, które wyznacza 2035 rok jako główny cel migracji systemów federalnych ^[3].

NIST nie czekał z zaleceniami na kolejne standardy. Przy publikacji pierwszych trzech zachęcił administratorów, by zaczęli je wdrażać natychmiast, bo pełna integracja potrwa ^[1]. Część ekspertów, na których powołuje się NIST, spodziewa się komputera zdolnego złamać obecne szyfrowanie w ciągu dekady ^[1].

Dla danych, które mają pozostać poufne przez wiele lat, ryzyko istnieje już dziś. NIST wskazuje jako przykład tajemnice państwowe i dokumentację medyczną ^[3]. forward secrecy nie chroni przed tym zagrożeniem, bo komputer kwantowy łamie samo uzgodnienie klucza sesji; NIST omawia forward secrecy właśnie przy tym zagrożeniu ^[3].

Jak się bronić

• Zinwentaryzować, gdzie używana jest kryptografia klucza publicznego: TLS, certyfikaty, SSH, podpisy kodu, VPN. Sekurak podkreśla, że migracja może być długa i skomplikowana, więc inwentaryzację warto zacząć od razu ^[5].
• Aktualizować biblioteki kryptograficzne i serwery; nowe wersje OpenSSL włączają hybrydowe uzgadnianie klucza domyślnie ^[6].
• W pierwszej kolejności przenosić uzgadnianie kluczy, zwłaszcza w TLS ^[3].
• Projektować systemy tak, by algorytm dało się wymienić bez przebudowy, bo standardy jeszcze się zmieniają ^[4].
• Nie zastępować przetestowanych bibliotek własną implementacją nowych algorytmów.

Historia i przykłady

Sekurak opisuje wdrożenia hybrydowe u dużych dostawców. Google wprowadził w Chrome od 2023 roku uzgadnianie klucza łączące X25519 z Kyber, czyli pierwowzorem ML-KEM ^[5]. Apple zmienił w 2024 roku protokół iMessage na PQ3, a Signal przeszedł na protokół PQXDH, oba w modelu hybrydowym ^[5]. W lipcu 2026 roku Sekurak opisał przyspieszenie programu Microsoftu, który wyznaczył 2029 rok jako nowy termin migracji ^[5].