У серпні 2024 року Національний інститут стандартів і технологій США (NIST) затвердив перші три офіційні стандарти постквантової криптографії — ML-KEM (FIPS 203), ML-DSA (FIPS 204) та SLH-DSA (FIPS 205) — після восьмирічного відбору серед 82 кандидатів-алгоритмів з усього світу. Це формально завершило етап дослідження і відкрило етап, який виявився значно складнішим: реальне впровадження нових алгоритмів у мільярди систем, що досі покладаються на RSA та еліптичні криві.

За даними MIT Tech Review, саме перехід від паперових стандартів до практичної міграції зараз є найгострішою проблемою галузі кібербезпеки. Компанії, регулятори й постачальники PKI-інфраструктури мають узгодити, коли і як замінювати криптографію, яка лежить в основі TLS-з'єднань, цифрових підписів, VPN та апаратних модулів безпеки.

Проблема не гіпотетична: атака типу «harvest now, decrypt later» вже триває — сьогодні дані шифрують і зберігають, щоб розшифрувати пізніше, коли з'явиться достатньо потужний квантовий комп'ютер. Для даних із довгим терміном цінності (медичні записи, державні секрети, ваги пропрієтарних моделей) це означає, що вікно для міграції закривається задовго до появи самого «Q-Day».

Чому це стало практичним питанням, а не теорією?

Тому що регулятори вже поставили дедлайни. Агентство національної безпеки США (NSA) у програмі CNSA 2.0 вимагає від постачальників оборонних систем повністю перейти на постквантові алгоритми до 2033 року, а нові закупівлі мають підтримувати їх уже зараз. Паралельно провідні браузери (Chrome, Firefox) та хмарні провайдери від 2024 року за замовчуванням використовують гібридний обмін ключами X25519MLKEM768 у TLS — комбінацію класичного та постквантового алгоритму, яка захищає навіть якщо один з них виявиться зламаним.

Прогрес самого квантового заліза теж додає терміновості. Чіп Willow від Google (грудень 2024) і плани IBM щодо систем з тисячами кубітів до кінця десятиліття не означають, що криптографічно значущий квантовий комп'ютер з'явиться завтра — оцінки експертів усе ще розходяться між 2030 і 2040 роками. Але саме ця невизначеність, а не конкретна дата, змушує організації діяти вже зараз: міграція PKI-інфраструктури у великій компанії історично займає 5-10 років.

Що конкретно заважає компаніям мігрувати швидко?

Головна перешкода — не сам алгоритм, а вся інфраструктура навколо нього. Постквантові ключі й підписи суттєво більші за класичні (публічний ключ ML-KEM-768 займає близько 1184 байт проти 32 байт у X25519), що ламає припущення, зашиті в старі протоколи, апаратні токени й embedded-пристрої з обмеженою пам'яттю.

Саме тому практичні рекомендації зводяться не до «зламайте перемикач», а до поетапного підходу: спершу інвентаризація криптографічних активів, потім гібридні схеми (класика + постквантовий алгоритм одночасно), і лише згодом — повна заміна там, де це можливо.

Що з цим робити AI-командам просто зараз?

Для AI-білдерів це не абстрактна проблема відділу безпеки. Ваги моделей, API-ключі інференс-сервісів, ембединги користувацьких даних і треновані на приватних корпусах моделі — усе це довгостроково цінні активи, які варто захищати вже сьогодні за принципом «harvest now, decrypt later». Якщо ваш стек покладається на TLS-термінацію в керованому хмарному сервісі (AWS, Cloudflare, Google Cloud), гібридний постквантовий обмін ключами вже, ймовірно, доступний як опція — це найдешевший перший крок.

Для власної інфраструктури має сенс:

Висновок AiiN

Постквантова криптографія — рідкісний випадок, коли галузь має стандарт, дедлайн регулятора і технічний шлях наперед, але все одно рухається повільно, бо міграція криптографії ніколи не буває «просто оновленням бібліотеки» — вона зачіпає кожен сертифікат, кожен HSM і кожного партнера в ланцюжку довіри. Наша теза: організації, які відкладають перехід до появи «криптографічно значущого» квантового комп'ютера, вже програли — бо загроза для довгострокових даних настає не в момент злому, а в момент запису на диск. Для AI-компаній, чия цінність часто закодована саме в довгоживучих активах (ваги, датасети, історія розмов користувачів), гібридна постквантова криптографія варта того, щоб стати пунктом у чеклісті безпеки вже цього кварталу, а не наступного бюджетного циклу.

Чи означає поява постквантових стандартів, що RSA вже небезпечний?

Ні. Жоден із існуючих квантових комп'ютерів не має достатньо стабільних кубітів, щоб зламати RSA-2048 чи інші класичні алгоритми — за оцінками дослідників, для цього потрібні мільйони фізичних кубітів з корекцією помилок. Ризик стосується даних, які мають лишатися конфіденційними роками наперед і які можуть бути перехоплені та збережені вже сьогодні.

Коли варто починати міграцію, якщо у компанії немає державних дедлайнів?

Якомога раніше для даних з довгим «терміном придатності» секретності, і поетапно для решти. Практики радять почати з гібридних схем (класичний + постквантовий алгоритм одночасно), які не ламають сумісність, поки решта екосистеми — від браузерів до партнерів — наздоганяє стандарт.