Миграция на постквантовую криптографию: что меняется на практике

От редакции NodeTimes.

Постквантовая миграция начинается с криптографической гибкости (crypto agility), а не с выбора алгоритма: пока примитив нельзя заменить конфигурацией вместо выпуска новой версии, схема, которую вы выберете, устареет вместе с системой. Узким местом является не математика, а инфраструктура доверия вокруг неё, потому что сертификаты, корневые ключи подписи и прошивка устройств движутся по своим часам. Поэтому практический вопрос заключается не в том, какой алгоритм принять, а в каком порядке компоненты могут быть изменены.

Что должно измениться и в каком порядке

Четыре класса примитивов движутся по разным часам, и только один из них представляет собой чисто программное изменение: установление ключа (key establishment), которое активируется гибридным рукопожатием через конфигурацию, тогда как подписи, сертификаты и оборудование, хранящее ключи, тянут за собой новый корень, нового клиента или новое устройство.

Постквантовая криптография (PQC): семейство алгоритмов, созданных для сохранения безопасности перед лицом злоумышленника, обладающего криптографически значимым квантовым компьютером, стандартизированных NIST как FIPS 203, FIPS 204 и FIPS 205. Установление ключа (также называемое обменом ключами): часть рукопожатия, в которой согласуется общий секрет. Цифровые подписи: механизм, доказывающий авторство и целостность. Криптографическая гибкость – это способность заменять один примитив другим через конфигурацию, а не через изменение кода; постквантовый глоссарий содержит остальную лексику, на которой строится эта тема.

Порядок действий не является вопросом предпочтения: инвентаризация, затем гибкость, затем гибридная фаза, затем вывод из эксплуатации.

Срочность обусловлена установлением ключа, а не подписями. Подпись проверяется в момент её использования, поэтому поддельная подпись должна быть создана именно в этот момент, и то, что ломается в этой схеме, и то, что должно её заменить, описано в материале о том, как квантовые компьютеры ломают ECDSA; обмен ключами, записанный сейчас, может быть расшифрован позже, что является проблемой собери сейчас, расшифруй позже и причиной того, что трафик с длительным сроком конфиденциальности перемещается первым.

Криптографическая гибкость прежде всего

Гибкость предшествует алгоритму, потому что стек, который не может заменить примитив, привязывается к тому алгоритму, который он примет первым, и может изменить своё решение только через выпуск новой версии.

На практике гибкость – это небольшой набор инженерных решений, а не продукт. Идентификатор алгоритма должен согласовываться во время выполнения, а не быть жёстко закодированным, ключевой материал должен храниться как непрозрачные байты, а не как столбцы фиксированной ширины, а система должна иметь возможность одновременно поддерживать две схемы без миграции данных. Тест прост: можете ли вы включить новый примитив для одного процента трафика и отключить его снова, не касаясь кода приложения?

• Жёстко заданные имена кривых, длины ключей или идентификаторы хеш-функций в конфигурации, которая поставляется с бинарным файлом.
• Столбцы базы данных, рассчитанные на публичный ключ размером 32 байта, которые молча обрезают более крупный ключ.
• Библиотеки, привязанные к одной версии, где само обновление является проектом.
• Формат сертификата или ключа, который кодирует алгоритм внутри идентификатора, так что обе стороны должны перейти на него в один день.

Это же свойство определяет скорость последующих шагов. Постквантовые подписи больше, чем эллиптические кривые, которые они заменяют, поэтому везде, где размер просачивался в поле протокола, ширину столбца или ограничение скорости, размер становится самостоятельной задачей миграции.

Гибридный режим: классические и постквантовые алгоритмы вместе

Гибридный режим запускает классический и постквантовый примитив в одном рукопожатии, что сохраняет безопасность соединения, пока не сломана ни одна из частей; он не суммирует их сильные стороны.

Конструкция намеренно консервативна: если постквантовая половина окажется сломанной классическим криптоанализом, классическая половина всё ещё защищает сеанс, а если квантная угроза наступит раньше ожидаемого срока, постквантовая половина удержит позицию. Гибридный обмен ключами – это то, к чему обращаются развертывания в первую очередь, потому что ему не нужен новый якорь доверия: сертификаты в гибридном рукопожатии всё ещё могут быть классическими, в то время как согласование ключа уже устойчиво к квантовым атакам.

Для подписей расчёт иной, потому что гибридная подпись проверяется тем, кто её потребляет, и этот потребитель должен понимать обе схемы. Гибридные подписи являются переходным устройством для систем, которыми вы управляете с обеих сторон; для всего, что обращено к открытому интернету, они представляют собой налог на совместимость, платимый дважды.

• Обязательно там, где трафик записывается сегодня и читается позже: долговременные сеансы, VPN, резервные копии в пути.
• Целесообразно там, где обе стороны ваши, и вы можете вывести гибридную форму из эксплуатации по графику.
• Избегаемо там, где пир всё ещё работает на стеке, который нельзя обновить, и единственным честным вариантом является изоляция этого пира.

Стоимость измеряется в байтах. Доля ключа классического X25519 составляет 32 байта; инкапсулирующий ключ ML-KEM-768 – 1184 байта, а его шифротекст – 1088 байт, поэтому гибридная доля примерно в тридцать восемь раз больше классической. Арифметика не улучшается значительно при переходе между наборами параметров: постквантовая доля велика в каждом из них, поэтому её размер становится инженерной задачей, шириной поля или бюджетом фрагментации задолго до того, как станет криптографической. Алгебра, лежащая в основе этого обмена ключами, изложена в материале о криптографии на решетках.

Что ломается в рукопожатии

Рукопожатие ломается сначала из-за размера, а не из-за безопасности: большая доля ключа и большая подпись могут вывести первый полёт клиента за пределы бюджета пакетов и добавить круговой переход.

TLS 1.3 ClientHello несет доли ключей, и когда это сообщение превышает начальное окно перегрузки TCP-соединения, оно должно быть фрагментировано на несколько пакетов. Сама по себе фрагментация переживаемая; цена – второй круговой переход, прежде чем сервер сможет ответить, а второй круговой переход – это именно то, что наиболее заметно для соединения с высокой задержкой.

Размеры подписей имеют значение в другом месте. В рукопожатии TLS подпись сервера находится в сообщении CertificateVerify, и подпись ML-DSA-65 составляет 3309 байт против 64 байт для подписи Ed25519, с публичным ключом 1952 байта против 32. Полёт всё ещё помещается, но каждый мидлбокс, который парсит внутри слоя записи, теперь имеет более длинную структуру для обработки, а старый код парсинга – это место, где случаются сюрпризы.

Сертификаты и цепочки доверия – настоящая задержка

Срок миграции определяется цепочкой сертификатов, а не алгоритмом, потому что новый ключ бесполезен, пока клиент на другой стороне не сможет его проверить.

Сертификат – это не один файл. Это лист, один или несколько промежуточных звеньев и корень, живущий в магазине доверия, которым вы не управляете: браузер, операционная система, хранилище Java, образ прошивки. Перевыпуск собственного листа с постквантовой подписью – это работа на один день; ожидание, пока каждый клиент примет эту подпись, – это фактический график. Периоды действия сертификатов работают в обе стороны: короткий цикл требует перевыпуска, чего хочет миграция, тогда как корень и промежуточное звено, закрепляющие лист, живут в магазинах доверия, которыми вы не управляете, и переживают ваш собственный график.

• Сетевые устройства, завершающие TLS и не подлежащие патчингу, только замене.
• Промышленные и медицинские устройства с путем обновления прошивки, требующим визита сервисного инженера.
• Смарт-карты и защищенные элементы, где алгоритм фиксирован в кремнии.
• Долговечные корни подписи кода, замена которых аннулирует каждый артефакт, подписанный под ними.

Долгосрочная конфиденциальность – это то место, где цепочка болит сильнее всего. Сеанс, записанный сейчас, не может ждать, пока клиент будет обновлен позже, поэтому транспортный слой перемещается до того, как слой сертификатов будет готов, и гибридный режим – это то, что связывает два уровня.

Поэтапный план миграции

Пять шагов покрывают путь от инвентаризации до постквантового значения по умолчанию, и каждый имеет тест завершения, который можно запустить, а не обсуждать.

1. Инвентаризация: список каждого примитива, ключа, сертификата и устройства, с владельцем и путем обновления для каждого. Завершено, когда ни одна операция с открытым ключом не осталась без именованного владельца.
2. Гибкость: алгоритм становится значением конфигурации. Завершено, когда вы можете переключить один примитив на другой в продакшене и откатить его.
3. Гибрид: постквантовый примитив работает рядом с классическим. Завершено, когда оба видны в рукопожатии, и отказ любого из них протестирован.
4. Вывод из эксплуатации: классический примитив отключен. Завершено, когда полное население клиентов завершает рукопожатие без него.
5. Проверка: запланированная проверка, что инвентаризация все еще соответствует реальности. Завершено, когда новая служба не может достичь производства с неприведенным примитивом.

Органы стандартизации дают горизонт, который делает это срочным, а не теоретическим: NIST IR 8547 планирует алгоритмы, уязвимые для квантовых атак, на уровне безопасности 112 бит как устаревшие после 2030 года и запрещенные после 2035 года, а более сильные наборы параметров как запрещенные в том же году, без этапа устаревания перед этим.

Порядок легко получить обратно наизнанку: алгоритм подписи – это видимая часть работы, тогда как инвентаризация – это шаг с самой длинной цепочкой зависимостей позади нее. Отгрузка инвентаризации – это единственный шаг, который делает остальную часть плана оцениваемой.

Частые вопросы

Нужно ли нам заменять всю криптографию сразу?

Нет. Миграция выполняется компонент за компонентом, и первым компонентом, который изменяется, является тот, который может принять новую схему без архитектурных изменений.

Обычно это установление ключа в транспорте, потому что гибридный обмен ключами не требует нового сертификата и нового якоря доверия.

Что такое криптографическая гибкость и почему начинать с нее?

Криптографическая гибкость – это способность заменять криптографический примитив через конфигурацию, а не через выпуск, и без нее любой выбранный вами алгоритм устареет вместе с окружающей его системой.

Это также свойство, которое превращает многолетний проект в последовательность развертываемых шагов.

Является ли гибридный режим вдвое сильнее?

Нет. Гибридный режим сохраняет соединение безопасным, пока не сломана ни одна из его двух половин, и он не объединяет их сильные стороны в одну большую.

Точка второй половины в том, что она переживает отказ первой, а не в том, что она добавляет к ней.

Почему сертификаты устанавливают дедлайн?

Потому что график следует за цепочкой доверия, а не за алгоритмом: пока клиент не может принять новую подпись, замена ключа сама по себе ничего не меняет.

Листовые сертификаты – это быстрая часть; промежуточные звенья, корни и прошивка – медленная часть.

Что можно сделать сейчас, до урегулирования стандартов?

Начните с инвентаризации: списка примитивов, устройств и сертификатов, график обновления которых вы не контролируете.

Инвентаризация – это также единственный результат, который остается полезным, если набор параметров или временная шкала пересмотрены, потому что она описывает ваши системы, а не стандарт.