Квантовая гонка с двойным эффектом: почему миграцию с RSA нужно начинать до Q-Day

Квантовые вычисления одновременно обещают научный прорыв и создают конкретную задачу для информационной безопасности. В будущем они могут помочь моделировать квантовую химию и новые материалы, решать отдельные задачи оптимизации и участвовать в некоторых сценариях применения искусственного интеллекта. Но эти преимущества пока зависят от области применения и остаются перспективными.

Киберугроза устроена иначе: к ней уже можно готовиться. Достаточно мощный отказоустойчивый квантовый компьютер сможет подорвать безопасность широко используемых систем с открытым ключом, хотя криптографически значимых квантовых компьютеров (CRQC) сегодня не существует. 52

Главный практический вывод: организациям не стоит ждать «дня Q» — Q-Day, когда квантовая машина станет способна взламывать актуальную криптографию. Инвентаризацию и замену уязвимых зависимостей нужно начинать заранее: конфиденциальность некоторых данных должна сохраняться дольше, чем может занять сама миграция.

Почему алгоритм Шора угрожает RSA и эллиптическим кривым

Безопасность RSA опирается на сложность разложения больших чисел на множители. Системы Диффи — Хеллмана и эллиптической криптографии используют сложность задачи дискретного логарифмирования. На достаточно мощном отказоустойчивом квантовом оборудовании алгоритм Шора позволил бы решать эти задачи принципиально быстрее, чем классические компьютеры.

Речь идет не только о перехвате зашифрованных сообщений. Уязвимые квантовой атаке алгоритмы с открытым ключом применяются для:

• установления ключей и шифрования;
• аутентификации и цифровых сертификатов;
• инфраструктуры открытых ключей (PKI);
• подписи программного обеспечения и прошивок;
• цепочек безопасной загрузки;
• проверки подлинности документов, транзакций и архивных записей.

Поэтому будущая атака может ударить не только по конфиденциальности, но и по доверию к происхождению и подлинности цифровых объектов.

Это не означает, что вся криптография перестанет работать одновременно. Прямая угроза сосредоточена прежде всего на алгоритмах с открытым ключом — RSA, Диффи — Хеллмане и эллиптической криптографии. Симметрические алгоритмы алгоритм Шора таким же непосредственным образом не разрушает, однако организациям все равно необходимо оценить стойкость и реализацию каждого криптографического компонента.

«Собрать сейчас, расшифровать потом»: почему сегодняшние данные уже важны

Атака harvest now, decrypt later («собрать сейчас, расшифровать потом») не требует немедленной расшифровки трафика. Злоумышленник может перехватить зашифрованные сообщения или получить доступ к архивам, сохранить их, а затем попытаться расшифровать, когда появится CRQC. 51

Срок, к которому нужно подготовиться, определяется двумя факторами:

• сколько времени организации потребуется для перехода на новые алгоритмы;
• как долго защищаемая информация должна оставаться секретной.

Особенно уязвимы данные с длительным сроком конфиденциальности: государственные и дипломатические документы, оборонные и инженерные разработки, медицинская и геномная информация, персональные и идентификационные данные, финансовые и юридические материалы, коммерческие тайны, сведения об инфраструктуре и результаты закрытых исследований.

Есть и отдельная проблема долгоживущих цифровых подписей. Если используемый алгоритм станет уязвимым, в будущем может оказаться сложнее подтверждать подлинность программ, сертификатов, архивных документов, записей и подписанных транзакций.

Само наличие такого сценария не доказывает, что каждый зашифрованный архив уже собирается или что квантовая атака неизбежна в ближайшее время. Но ожидание точного сигнала о наступлении Q-Day может оказаться слишком поздним для информации, которую перехватывают сегодня.

Когда появится квантовый компьютер, способный взламывать шифрование

Оценки сроков сильно различаются. Немецкие специалисты отмечают, что CRQC пока не существует, а прогнозы его появления остаются неопределенными. 52 Некоторые оценки относят существенный риск к 2030-м годам, но это именно прогнозы, а не подтвержденная дата. 5356

Поэтому разумная стратегия не должна строиться вокруг попытки угадать один Q-Day. Гораздо полезнее ранжировать информацию по чувствительности и сроку хранения, а затем учитывать годы, необходимые для поиска зависимостей, тестирования замен, обновления продуктов поставщиков и вывода из эксплуатации систем, которые нельзя модернизировать.

В проекте переходной модели NIST предлагалось вывести уязвимые алгоритмы из обращения поэтапно: RSA-2048 и ECC-256 — прекратить рекомендовать после 2030 года и запретить после 2035 года. Поскольку IR 8547 был переходным предложением, организациям следует проверять финальные требования, применимые к их отрасли, а не воспринимать эти даты как универсальные юридические дедлайны. 2035

При этом направление государственной политики США уже определено. Гражданские федеральные ведомства должны были представить приоритизированные перечни систем и активов с криптографией, уязвимой для CRQC, к 4 мая 2023 года и затем ежегодно до 2035 года. 33 Меморандум национальной безопасности № 10 закрепил федеральную цель — максимально снизить квантовые риски к 2035 году. 39

Стандарты NIST дают отправную точку для перехода

13 августа 2024 года Национальный институт стандартов и технологий США (NIST) утвердил три основных стандарта постквантовой криптографии: 2425

• FIPS 203, ML-KEM — механизм инкапсуляции ключей на основе модульных решеток для установления общего секрета;
• FIPS 204, ML-DSA — стандарт цифровой подписи на основе модульных решеток;
• FIPS 205, SLH-DSA — стандарт цифровой подписи на основе бессостоящих хешей, использующий другой математический подход. 172223

Это не универсальный переключатель, который можно активировать во всех системах за одну ночь. Новые алгоритмы придется интегрировать в сетевые протоколы, библиотеки, сертификаты, системы управления идентификацией, аппаратные модули безопасности, прошивки, приложения и продукты поставщиков.

NIST называет утвержденные стандарты началом масштабного перехода и продолжает разрабатывать дополнительные алгоритмы в качестве резервных или альтернативных вариантов. 28

Что нужно проверить в первую очередь

Криптография часто скрыта внутри систем, которые изначально не создавались с расчетом на быструю замену алгоритмов. Инвентаризация должна охватывать не только очевидные настройки шифрования, но и:

• TLS, VPN, API и устаревшие сетевые протоколы;
• PKI, выпуск и обновление сертификатов;
• системы идентификации, аутентификации и управления доступом;
• подпись кода, прошивки, безопасную загрузку и механизмы обновления;
• аппаратные модули безопасности, базы данных, резервные копии и архивы;
• устройства интернета вещей, промышленное и медицинское оборудование;
• облачные сервисы, SaaS-поставщиков, библиотеки и другие сторонние зависимости.

После инвентаризации следует расставить приоритеты. Раньше других внимания требуют системы, защищающие информацию на десятилетия, а также компоненты, отвечающие за происхождение программного обеспечения и доверие к критической инфраструктуре.

Ключевой принцип — криптографическая гибкость (crypto-agility): возможность менять алгоритмы, размеры ключей, сертификаты и криптографические библиотеки без полной переделки продукта или сети. Гибридные схемы, сочетающие классические и постквантовые механизмы, могут снизить риски переходного периода, но одновременно усложняют интеграцию, тестирование и эксплуатацию.

Что показал случай HAWK — и чего он не показал

В июле 2026 года Anthropic сообщила, что модель Claude Mythos Preview обнаружила ранее неизвестную структурную уязвимость в HAWK — кандидатной схеме постквантовой цифровой подписи на основе решеток. По данным Anthropic, HAWK прошла два года и два раунда экспертной проверки, однако модель примерно за 60 часов улучшила лучшую известную атаку. После этого команда HAWK отозвала схему из дополнительного процесса отбора NIST. 5

Важная оговорка: HAWK была кандидатом, а не финальным стандартом NIST FIPS и не развернутым производственным алгоритмом. Этот эпизод не означает взлома FIPS 203, FIPS 204 или FIPS 205; опубликованные сообщения указывают, что работающие системы затронуты не были. 56

Более широкий урок состоит в том, что ярлык «постквантовый» не является вечной гарантией безопасности. Кандидатные алгоритмы требуют постоянного математического анализа, независимого тестирования реализаций, проверки на базе разных предположений и возможности быстрой замены при появлении новых атак. ИИ может стать частью такого процесса, но не отменяет экспертную проверку и прозрачную работу над стандартами.

Почему переход — это не просто замена одного алгоритма другим

Миграция на постквантовую криптографию может потребовать:

• изменений программного обеспечения и сетевых протоколов;
• обновления библиотек, сертификатов и PKI-процессов;
• модернизации аппаратных модулей безопасности и прошивок;
• тестов совместимости, производительности и отказоустойчивости;
• координации с поставщиками и выполнения новых требований комплаенса;
• замены оборудования, которое невозможно обновить.

Более крупные ключи и подписи способны влиять на пропускную способность, объем хранения, задержки и производительность устройств. Единой универсальной оценки стоимости нет: она зависит от технологического ландшафта организации, сроков хранения данных, договоров с поставщиками и требований регулирования.

Точнее всего говорить о дорогостоящем переходе всей системы цифрового доверия. Причина не в том, что каждую систему придется заменить одновременно, а в том, что криптография встроена в многочисленные и долгоживущие связи между программами, устройствами, поставщиками и пользователями.

Итог

Квантовые вычисления могут принести важные научные результаты, но их преимущества остаются специализированными и пока не гарантированы. Задача кибербезопасности более конкретна: RSA и эллиптическая криптография могут стать уязвимыми для алгоритма Шора, а зашифрованные данные, перехваченные сегодня, — доступными для чтения в будущем.

CRQC пока не существует. Это повод планировать переход аккуратно, а не откладывать его. Практическая последовательность такова: провести инвентаризацию криптографии, классифицировать данные по сроку конфиденциальности, определить наиболее ценные зависимости, протестировать финальные стандарты NIST, заложить криптографическую гибкость и использовать сроки миграции как ориентиры для планирования — не дожидаясь официального объявления Q-Day.