ISO затверджує постквантовий стандарт Classic McEliece: як кодова криптографія змінює правила гри

Ось фактчекінг на основі наданих джерел.

Ухвалення ISO стандарту Classic McEliece

Підтверджено: ISO офіційно ухвалила Classic McEliece як постквантовий стандарт. Про це повідомляють джерела з Окінавського інституту науки та технологій (OIST) та інші . Відповідно до цих даних, Міжнародна організація зі стандартизації (ISO) обрала Classic McEliece як криптографічний алгоритм, здатний захищати дані в епоху квантових обчислень. Раніше NIST у своїх матеріалах посилався на процес стандартизації ISO як на контекст для свого рішення не стандартизувати цей алгоритм .

---

Кодова криптографія проти RSA: принципова різниця

Аспект	Classic McEliece (кодовий підхід)	RSA (теоретико-числовий підхід)
Складне завдання	Базується на кодовій криптографії з використанням завадостійких лінійних кодів .	Базується на теоретико-числових припущеннях, зокрема на складності факторизації цілих чисел .
Основний механізм	Шифрування типу McEliece кодує відкритий текст як кодові слова з сімейства кодів Гоппи, додаючи помилки так, що приватний ключ дозволяє виправити їх .	RSA використовує відкритий модуль та експоненту для шифрування, а обернена операція вимагає знання секретних множників .
Квантова загроза	Кодова криптографія вважається постквантовим підходом, оскільки не спирається на ті самі теоретико-числові припущення, що RSA, Diffie-Hellman або криптографія на еліптичних кривих .	RSA є однією з систем, які постквантова міграція має замінити, оскільки квантові обчислення загрожують широко використовуваним класичним криптосистемам .
Розмір ключа	Дуже великі відкриті ключі: за даними NIST, приблизно 260 КБ до 1 МБ для різних наборів параметрів .	Відкриті ключі RSA значно менші у звичайному використанні, хоча надані джерела не наводять прямого порівняння.
Розмір шифротексту	Малі розміри шифротексту — одна з визначних переваг Classic McEliece .	Розмір шифротексту RSA пов'язаний з розміром модуля RSA.
Продуктивність	NIST описує Classic McEliece як швидкий на операції інкапсуляції та декапсуляції, але повільний на генерацію ключів .	Надані джерела не містять прямого порівняння продуктивності з RSA.

Коротко: RSA спирається на теоретико-числові припущення, тоді як Classic McEliece — на кодову криптографію, побудовану навколо завадостійких кодів . Компроміс: дуже великі відкриті ключі в обмін на малі шифротексти та безпрецедентну історію безпеки, яка сягає 1978 року .

---

Підтримка з боку індустрії та урядів

Німецьке федеральне відомство з інформаційної безпеки (BSI)

Підтверджено: BSI рекомендує Classic McEliece як частину своїх технічних настанов TR-02102-1. Згідно з джерелами, рекомендація датується щонайменше 2020 роком: BSI рекомендує FrodoKEM та Classic McEliece з відповідними параметрами безпеки для постквантових застосунків . BSI підтримує міжнародну стандартизацію Classic McEliece , а також закликає до впровадження постквантової криптографії до 2030 року для критичної інфраструктури (KRITIS) .

NIST (США)

Національний інститут стандартів і технологій США (NIST) розглядав Classic McEliece як кандидата 4-го раунду свого проєкту зі стандартизації постквантової криптографії . Однак у 2025 році NIST обрав HQC як додатковий кодовий механізм інкапсуляції ключів (KEM) для стандартизації . NIST визнає, що Classic McEliece «широко вважається безпечним», але не очікував його широкого використання через великі відкриті ключі та обмежений інтерес . Також NIST зазначав, що після завершення стандартизації ISO може розробити власний стандарт на основі ISO .

Інші дані

• Mullvad VPN: Надані джерела не підтверджують ні розгортання Mullvad VPN, ні патч openssh-mceliece. Цю інформацію слід вважати неперевіреною в межах даного набору джерел.
• BSI та стандартизація ISO: BSI ініціював стандартизацію постквантових KEM (FrodoKEM, Classic McEliece, CRYSTALS-Kyber/ML-KEM) у поправці до ISO/IEC 18033-2, очікувана публікація — 2025/2026 .

---

Ключові висновки

• ISO: Офіційно ухвалила Classic McEliece як міжнародний стандарт .
• BSI: Рекомендує Classic McEliece з 2020 року для довгострокового захисту .
• NIST: Розглядав Classic McEliece, але обрав HQC для стандартизації .
• Безпекова модель: Classic McEliece є кодовим і спирається на припущення з криптографії на завадостійких кодах, які принципово відрізняються від теоретико-числових припущень RSA .