ISO затвердила Classic McEliece: алгоритм 1978 року став світовим стандартом для захисту від квантових загроз

Classic McEliece: витоки, компроміс і роль у стандартизації

Витоки (1978 рік)

Роберт Дж. Мак-Еліс опублікував оригінальну криптосистему в 1978 році, засновану на складності декодування випадкових двійкових кодів Гоппи — задача, яка залишається NP-складною, і невідомо, чи зможуть квантові комп'ютери її вирішити . Classic McEliece є прямим нащадком, що використовує вдосконалений дуальний варіант Нідеррайтера (на основі синдромів), а не оригінальну схему на кодових словах, але зберігає ту саму базову гіпотезу безпеки . Його описують як «найстарішу схему шифрування з відкритим ключем, яка досі вважається безпечною» .

Компроміс: величезні відкриті ключі

Визначальна слабкість Classic McEliece — і причина, чому він не набув широкого поширення у 1980-х — це розмір його відкритого ключа. Ключі варіюються від приблизно 261 кілобайта до понад 1,3 мегабайта (наприклад, 1 047 319 байт для одного набору параметрів) . Це на порядки більше, ніж ключі RSA або ECC (зазвичай кілька сотень байт), що робить алгоритм непридатним для обмежених середовищ, таких як пристрої IoT, смарт-карти або TLS-з'єднання з обмеженою пропускною здатністю.

Його компенсуюча перевага — надзвичайно добре вивчена безпека. Жодних практичних криптоаналітичних вдосконалень не було знайдено за понад 45 років досліджень . Рівень безпеки системи McEliece залишився напрочуд стабільним, незважаючи на десятки спроб атак .

Роль у міжнародній стандартизації

Classic McEliece тепер визнаний кількома органами стандартизації, кожен з яких має дещо різну роль:

Classic McEliece позиціонується як консервативний резерв або друга лінія захисту: якщо решітчасті схеми, вже стандартизовані NIST (ML-KEM / CRYSTALS-Kyber), будуть зламані, кодова криптографія надає математично незалежний запасний варіант .

Чому NIST не стандартизував його першим

Примітно, що NIST у 2025 році свідомо відклав стандартизацію Classic McEliece, написавши, що «одночасна стандартизація Classic McEliece з боку NIST та ISO створює ризик несумісних стандартів» і вказав, що розгляне можливість розробки стандарту на основі роботи ISO після завершення процесу ISO . NIST обрав для стандартизації інший кодовий алгоритм, HQC, але Classic McEliece залишається в четвертому раунді як кандидат для майбутнього розгляду .

Останні події, що прискорюють необхідність PQC

Сама по собі стандартизація ISO була б значною подією. Але вона відбувається одночасно з кількома подіями, які звузили вікно міграції PQC з розмитого питання 2030-х років до конкретного дедлайну приблизно 3 роки.

Дедлайн Google 2029 року

25 березня 2026 року Google опублікував допис у блозі за авторством віцепрезидента з інженерії безпеки Хізер Адкінс і старшого штатного криптографа Софі Шміг під назвою «Квантові рубежі можуть бути ближчими, ніж здається», встановивши внутрішній дедлайн 2029 року для завершення міграції PQC у всіх системах Google . Це пересунуло Q-Day вперед приблизно на шість років відносно попередніх галузевих очікувань, що відповідали часовим рамкам NIST (2035) або АНБ (2031) . Google назвав швидший, ніж очікувалося, прогрес у квантовому апаратному забезпеченні та виправленні помилок ключовими рушіями .

Зменшені оцінки кількості кубітів для зламу криптографії на еліптичних кривих

Оновлений графік Google був частково зумовлений різко зниженими оцінками ресурсів для атак алгоритмом Шора на ECC. Нові методи оптимізації схем зменшили оціночну кількість фізичних кубітів, необхідних для зламу 256-бітної криптографії на еліптичних кривих, з мільйонів до потенційно сотень тисяч . Це робить криптографічно значущий квантовий комп'ютер досяжним раніше, ніж передбачалося раніше.

Відповідний графік Cloudflare

Cloudflare публічно підтримав подібну терміновість, оголосивши про плани завершити міграцію PQC у тому ж часовому проміжку, що й Google — до 2029 року . Cloudflare був одним із перших, хто розгорнув постквантовий TLS, включаючи гібридну угоду про ключі X25519Kyber768, і зараз прискорює повне промислове розгортання.

Загроза «збери зараз — розшифруй пізніше» (HNDL)

Google прямо назвав ризик «зберігай зараз, розшифруй пізніше» ключовим рушієм . Противники — включаючи державних акторів — вже збирають зашифрований трафік: VPN-з'єднання, фінансові дані, державні таємниці та комунікації в криптовалютах. Їхня мета — розшифрувати його, коли квантовий комп'ютер стане доступним. Це означає, що дані, зашифровані сьогодні за допомогою RSA або ECC, вже перебувають під загрозою, що створює необхідність міграції до квантового зламу, а не після .

Указ президента США від червня 2026 року

У червні 2026 року адміністрація Байдена видала указ, який зобов'язує всі федеральні агентства США прискорити перехід на постквантову криптографію з обов'язковими термінами для інвентаризації, оцінки та планів переходу . Це розвиває Закон про кібербезпеку квантових обчислень 2022 року та стандарти PQC NIST 2024 року (FIPS 203/204/205), перетворюючи добровільні рекомендації на обов'язкові вимоги .

Збіг: що це означає

Поєднання офіційних стандартів ISO (Classic McEliece, FrodoKEM), остаточних основних алгоритмів NIST (ML-KEM, ML-DSA, SLH-DSA), дедлайну Google 2029 року, зниження оцінок необхідної кількості кубітів, такого ж графіку Cloudflare, вже діючих загроз HNDL та указу президента США від червня 2026 року кардинально змінило розрахунки терміновості.

Інфраструктура стандартів вже створена. Для більшості організацій залишається виклик — виконання в масштабі: інвентаризація криптографічних активів, визначення пріоритетів для систем високого ризику (автентифікація, довгострокові дані, VPN) та початок міграції на гібридні або постквантові алгоритми до 2029 року.

Classic McEliece не стане алгоритмом, який більшість організацій використовуватиме для повсякденного TLS — розмір його ключа робить це непрактичним для більшості випадків. Але для довгострокового захисту даних, урядових комунікацій високого рівня безпеки та застосунків, де впевненість у безпеці важливіша за пропускну здатність, щойно стандартизований алгоритм 1978 року може стати саме тим консервативним резервом, якого потребує інтернет.