Квантова загроза шифруванню вже формує порядок денний

Квантові обчислення мають дві сторони. У науці вони потенційно можуть допомогти моделювати квантову хімію й нові матеріали, розв’язувати окремі складні задачі оптимізації та посилювати деякі робочі процеси у сфері штучного інтелекту. Однак ці переваги поки що залишаються перспективними й значною мірою залежать від конкретного застосування.

Кібербезпековий наслідок набагато легше перетворити на практичний план дій уже сьогодні: достатньо потужний відмовостійкий квантовий комп’ютер зможе поставити під загрозу поширену криптографію з відкритим ключем, хоча криптографічно значущої квантової машини (CRQC) наразі не існує. 52

Висновок простий: не варто чекати на так званий Q-Day — день, коли квантовий комп’ютер зможе ламати сучасне шифрування. Організаціям потрібно вже зараз визначати криптографічні залежності та планувати їхню заміну, адже частина даних має залишатися конфіденційною довше, ніж може тривати сама міграція.

Чому алгоритм Шора загрожує RSA та еліптичній криптографії

Безпека RSA спирається на складність розкладання великих чисел на множники. Системи Diffie–Hellman та еліптичної кривої — на складність задачі дискретного логарифмування. На достатньо потужному відмовостійкому квантовому обладнанні алгоритм Шора дасть змогу розв’язувати ці задачі принципово швидше, ніж класичні комп’ютери.

Йдеться не лише про зашифровані повідомлення. Вразливі до квантових атак системи з відкритим ключем використовують для встановлення ключів, автентифікації, сертифікатів, підпису програмного забезпечення, ланцюгів безпечного завантаження та інших функцій цифрової довіри. У майбутньому зловмисник зможе атакувати не тільки конфіденційність, а й можливість перевірити, чи є справжніми програма, документ, транзакція або запис.

Це не означає, що вся криптографія зникне одночасно. Безпосередня загроза стосується передусім алгоритмів із відкритим ключем — зокрема RSA та криптографії на еліптичних кривих. Симетричні алгоритми алгоритм Шора не атакує таким самим прямим способом, хоча рівень їхньої безпеки та коректність реалізації також потрібно оцінювати.

«Збери зараз — розшифруй потім»: чому дані під загрозою вже сьогодні

Атака «збери зараз — розшифруй потім» (harvest now, decrypt later) не потребує негайного розшифрування трафіку. Зловмисник може перехопити зашифровані повідомлення або отримати зашифровані архіви, зберегти їх і спробувати розшифрувати після появи криптографічно значущого квантового комп’ютера. 51

Тому дедлайн визначають дві величини:

• час, необхідний організації для переходу на нові алгоритми;
• період, протягом якого захищена інформація має залишатися таємною.

Особливо вразливі дані з довгим життєвим циклом конфіденційності: державні й дипломатичні документи, оборонні та інженерні розробки, медична й геномна інформація, персональні дані, фінансові та юридичні матеріали, комерційні таємниці, відомості про критичну інфраструктуру і власні наукові дослідження.

Окрема проблема стосується архівів і підписаних записів, справжність яких потрібно буде підтверджувати через багато років. Якщо старі схеми цифрового підпису стануть вразливими, під загрозою опиниться не лише зміст документа, а й довіра до його походження та цілісності.

Наявність такого сценарію не доводить, що кожен зашифрований архів уже збирають або що квантова атака неминуча найближчим часом. Але очікування на беззаперечний сигнал про настання Q-Day може виявитися запізнілим для інформації, перехопленої сьогодні.

Прогнози щодо квантових машин різняться, а міграція вже потребує часу

Оцінки появи криптографічно значущого квантового комп’ютера дуже різняться. Німецькі органи кібербезпеки наголошують, що CRQC наразі не існує, а дата її появи залишається невизначеною. 52 Інші оцінки вбачають суттєвий ризик уже в 2030-х роках, але це прогнози, а не підтверджена дата. 5356

Тому розумний план не має залежати від спроби вгадати один Q-Day. Дані слід ранжувати за чутливістю та строком зберігання, а потім додавати час на виявлення залежностей, тестування замін, оновлення продуктів постачальників і виведення з експлуатації систем, які неможливо модернізувати.

У проєкті рамкового документа NIST IR 8547 перехід описано як поетапну відмову від вразливих до квантових атак алгоритмів із відкритим ключем. Для RSA-2048 та ECC-256 запропоновано статус «застарілі для використання» після 2030 року та повну заборону після 2035-го. Оскільки IR 8547 є проєктом перехідних рекомендацій, організаціям потрібно перевіряти остаточні вимоги для своєї галузі, а не сприймати ці дати як універсальні юридичні дедлайни. 2035

Водночас напрям державної політики США вже визначений. Цивільні федеральні відомства отримали доручення до 4 травня 2023 року, а потім щороку до 2035-го подавати пріоритизовані переліки систем і активів, що містять криптографію, вразливу до CRQC. 33 Національний меморандум із безпеки № 10 визначив федеральну мету — зменшити квантові ризики до 2035 року. 39

Стандарти NIST дають відправну точку для переходу

13 серпня 2024 року Національний інститут стандартів і технологій США (NIST) затвердив три основні стандарти постквантової криптографії: 2425

• FIPS 203, ML-KEM — механізм інкапсуляції ключів на основі модульних ґраток для встановлення спільних секретів. 23
• FIPS 204, ML-DSA — стандарт цифрового підпису на основі модульних ґраток. 22
• FIPS 205, SLH-DSA — безстановий геш-орієнтований стандарт цифрового підпису, що спирається на інший математичний підхід. 17

Це не просте перемикання одного алгоритму на інший за одну ніч. Нові стандарти потрібно інтегрувати в протоколи, бібліотеки, сертифікати, системи ідентифікації, апаратні модулі захисту ключів, прошивки, застосунки та продукти постачальників. NIST називає затверджені стандарти початком масштабного переходу й паралельно розробляє додаткові алгоритми як резервні або альтернативні варіанти. 28

Що організаціям варто перевірити насамперед

Криптографія часто прихована в системах, які не розраховували на швидку заміну алгоритмів. Інвентаризація має охоплювати не лише очевидні налаштування шифрування, а й:

• TLS, VPN, API та застарілі мережеві протоколи;
• інфраструктуру відкритих ключів (PKI), випуск і ротацію сертифікатів;
• системи ідентифікації, автентифікації та керування доступом;
• підпис програмного коду, прошивки, безпечне завантаження й механізми оновлення;
• апаратні модулі захисту ключів, бази даних, резервні копії та архіви;
• пристрої інтернету речей, промислове й медичне обладнання та інші довговічні системи;
• хмарні сервіси, SaaS-постачальників, бібліотеки та інші залежності третіх сторін.

Після цього потрібна пріоритизація ризиків. Раніше уваги заслуговують системи, що захищають інформацію на десятиліття, а також ті, що визначають походження програмного забезпечення та довіру до інфраструктури. Короткоживучі або легко замінні дані можуть перейти на наступний етап.

Організаціям також потрібна криптоагільність — здатність змінювати алгоритми, розміри ключів, сертифікати та криптографічні бібліотеки без повного перепроєктування продукту чи мережі. Гібридні конфігурації, які на перехідному етапі поєднують класичні та постквантові механізми, можуть зменшити ризики міграції, але водночас ускладнюють інтеграцію, тестування й експлуатацію.

Історія HAWK — попередження щодо перевірки алгоритмів, а не злам стандартів NIST

У липні 2026 року Anthropic повідомила, що її модель Claude Mythos Preview виявила раніше невідому структурну слабкість у HAWK — кандидатові на постквантову схему цифрового підпису на основі ґраток. За даними Anthropic, HAWK пройшла два роки та два раунди експертної перевірки, однак модель приблизно за 60 годин покращила найкращу відому атаку. Після цього команда HAWK відкликала кандидатуру з додаткового процесу NIST. 5

Ключове уточнення: HAWK була кандидатом, а не фіналізованим стандартом NIST FIPS і не розгорнутим виробничим алгоритмом. Цей епізод не зламав FIPS 203, FIPS 204 чи FIPS 205; повідомлення про подію також вказують, що розгорнуті системи не постраждали. 56

Ширший висновок важливий: позначка «постквантовий» не є довічною гарантією безпеки. Кандидатні алгоритми потребують безперервного математичного аналізу, незалежного тестування реалізацій, різноманітних криптографічних припущень і можливості швидко замінити схему після появи нової атаки. Аналіз за допомогою ШІ може стати одним з інструментів такої перевірки, але не скасовує людської експертизи та прозорої роботи над стандартами.

Витрати стосуються всієї системи довіри

Постквантовий перехід може вимагати змін у програмному забезпеченні та протоколах, оновлення бібліотек, роботи із сертифікатами й PKI, модернізації апаратних модулів і прошивок, тестування сумісності, координації з постачальниками та виконання регуляторних вимог. Більші ключі або підписи можуть впливати на пропускну здатність, сховище, затримки та продуктивність пристроїв.

Універсальну ціну такого переходу назвати складно: вона залежить від технологічного ландшафту організації, зобов’язань щодо зберігання даних, контрактів із постачальниками та регуляторного середовища. Надійніший висновок полягає в іншому: перехід буде дорогим, оскільки криптографія з відкритим ключем вбудована в численні довготривалі зв’язки цифрової довіри. Це не означає, що всі системи доведеться замінити одночасно.

Висновок

Квантові обчислення можуть принести важливі наукові переваги, але їхній масштаб, строки та практична користь залишаються невизначеними й залежать від галузі. Натомість безпекова вимога вже конкретна: RSA та системи на еліптичних кривих можуть стати вразливими до алгоритму Шора, а зашифровані дані, перехоплені сьогодні, — доступними в майбутньому.

CRQC не існує й нині. Це привід планувати обережно, а не відкладати рішення. Практична послідовність дій — провести інвентаризацію криптографії, класифікувати дані за строком конфіденційності, визначити критичні залежності, протестувати фіналізовані стандарти постквантової криптографії NIST, розвивати криптоагільність і сприймати перехідні строки як орієнтири для планування, не чекаючи офіційного оголошення Q-Day.