Kryptografia postkwantowa: od czego zacząć

Przygotowanie do kryptografii postkwantowej zaczyna się od pytania, na które można odpowiedzieć już dziś, na długo przed powstaniem jakiegokolwiek komputera kwantowego: gdzie organizacja używa kryptografii klucza publicznego, którą przyszły komputer kwantowy mógłby złamać, i które z tych miejsc chronią dane, które muszą pozostać tajne przez lata? Regulatorzy i klienci zaczęli zadawać dokładnie to pytanie. Skoordynowana mapa drogowa UE, CNSA 2.0 amerykańskiej Agencji Bezpieczeństwa Narodowego (NSA) i obowiązek dotyczący kryptografii w NIS2 wskazują ten sam pierwszy krok: inwentaryzację kryptografii, a potem migrację według priorytetów.

Ten przewodnik wyjaśnia, czego naprawdę się wymaga, jak ocenić ryzyko bez straszenia, czym są nowe standardy, jaką część inwentaryzacji da się zbudować z ruchu sieciowego i jak zaplanować migrację.

Czego wymagają regulatorzy

Mapa drogowa UE. Zalecenie Komisji (UE) 2024/1101 z 11 kwietnia 2024 r. wezwało państwa członkowskie do koordynacji przejścia na kryptografię postkwantową. 23 czerwca 2025 r. Grupa Współpracy NIS opublikowała skoordynowaną mapę drogową: pierwsze kroki do końca 2026 r., w tym krajowe plany i inwentaryzacja miejsc, w których używa się kryptografii podatnej na komputery kwantowe; przeniesienie zastosowań wysokiego ryzyka do końca 2030 r.; i jak największej liczby systemów do 2035 r. Mapa drogowa jest skierowana do państw członkowskich i ich sektora publicznego i krytycznego, a nie bezpośrednio do Twojej firmy, ale krajowe organy przekładają ją na wytyczne, a jej logika dotyczy każdego: do końca 2026 r. trzeba wiedzieć, gdzie jest Twoja kryptografia.

NIS2. Dyrektywa (UE) 2022/2555 wymaga od objętych nią podmiotów polityk i procedur dotyczących stosowania kryptografii i, w stosownych przypadkach, szyfrowania, w ramach środków zarządzania ryzykiem z art. 21. Nie wskazuje żadnego algorytmu. Ale „najnowszy stan wiedzy” się zmienia i gdy organy normalizacyjne i agencje uznają postkwantową wymianę kluczy za standard, polityka kryptograficzna, która ją pomija, staje się trudna do obrony.

Stany Zjednoczone. CNSA 2.0 (Commercial National Security Algorithm Suite 2.0) NSA określa algorytmy dla amerykańskich systemów bezpieczeństwa narodowego: ML-KEM-1024 do ustalania kluczy i ML-DSA-87 do podpisów. NSA oczekuje, że przejście tych systemów zakończy się do 2035 r., zgodnie z memorandum National Security Memorandum 10. Wiąże amerykańskie systemy bezpieczeństwa narodowego i ich dostawców, a nie europejskie firmy, ale dostawcy klientów z sektora obronnego i rządowego spotykają je w umowach.

Żaden z tych dokumentów nie sprawia, że produkt, także nasz, zapewnia Ci zgodność. Wymagają one, żeby organizacja znała swoją kryptografię i planowała jej wymianę.

„Harvest now, decrypt later” bez paniki

Napastnik, który dziś nagrywa zaszyfrowany ruch, może go przechować i odszyfrować, gdy powstanie wystarczająco silny komputer kwantowy. To właśnie „harvest now, decrypt later” (zbierz teraz, odszyfruj później). Nie zagraża wszystkiemu w równym stopniu. Dane, które za dwa lata nie będą nic warte, jak większość ruchu w sesjach, nie są zagrożone. Zagrożone są dane, które muszą pozostać poufne przez dziesięć czy dwadzieścia lat: umowy, dokumentacja medyczna i dane osobowe, własność intelektualna, nigdy nie zmieniane dane uwierzytelniające i wszystko, czego chciałby wywiad innego państwa.

Nierówność Michele'a Moski zamienia to w listę priorytetów. Dla każdego ważnego zbioru danych X to liczba lat, przez które musi pozostać tajny, Y to liczba lat potrzebnych na migrację systemów, które go przenoszą, a Z to liczba lat do chwili, gdy komputer kwantowy złamie dzisiejszą kryptografię klucza publicznego. Jeśli X plus Y jest większe niż Z, dane wysyłane dziś są już narażone. Z jest nieznane, więc przyjmij wartość ostrożną i swobodną i sprawdź, które systemy nie mieszczą się nawet w tej drugiej. Od nich trzeba zacząć.

Nowe standardy po ludzku

W sierpniu 2024 r. NIST opublikował pierwsze trzy standardy postkwantowe. FIPS 203 (ML-KEM) to mechanizm enkapsulacji klucza: pozwala dwóm stronom uzgodnić tajny klucz przez otwartą sieć, czyli wykonuje zadanie, które dziś przy wymianie kluczy pełnią RSA i Diffie-Hellman na krzywych eliptycznych. FIPS 204 (ML-DSA) to główny schemat podpisu cyfrowego, a FIPS 205 (SLH-DSA) wolniejsza alternatywa oparta na funkcjach skrótu. W praktyce ML-KEM spotkasz najpierw w TLS jako hybrydową grupę X25519MLKEM768, która łączy wymianę klasyczną z postkwantową, żeby połączenie pozostało chronione, jeśli wytrzyma którakolwiek z nich. ML-KEM i ML-DSA po ludzku opisuje to szerzej, także to, dlaczego większe klucze psują niektóre stare urządzenia pośredniczące.

Ile inwentaryzacji pokaże sieć

Inwentaryzacja kryptografii, publikowana czasem jako CBOM (cryptography bill of materials), pokazuje, gdzie używany jest każdy algorytm, wersja protokołu i klucz, w którym systemie i kto za niego odpowiada. Spora jej część jest widoczna w ruchu sieciowym, bez odszyfrowywania czegokolwiek:

Wymiana kluczy w każdym połączeniu. Każdy handshake TLS, zanim zacznie się szyfrowanie, podaje, jakie grupy wymiany kluczy oferuje klient i którą wybiera serwer, oraz wersję TLS. SSH robi to samo przy swojej wymianie kluczy. Czujnik może więc pokazać, dla każdego serwera i klienta, gdzie wciąż używa się wymiany kluczy podatnej na komputery kwantowe, a gdzie już hybrydowej postkwantowej.
Urządzenia, których nikt nie spisał. Obejmuje drukarki, urządzenia sieciowe, bramy OT i stare serwery, na których nie da się uruchomić agenta i które często są aktualizowane na końcu.
Klucze tam, gdzie pokazuje je handshake. W TLS 1.2 certyfikat serwera idzie jawnie, a klucze hosta SSH są wymieniane jawnie, więc widać ich algorytmy i długości; w TLS 1.3 certyfikat jest zaszyfrowany.
Regresje. Gdy usługa przeszła już na wymianę hybrydową, późniejsze połączenie, które wraca do grupy klasycznej, będzie widoczne.

Czego sieć nie pokaże: kryptografii wewnątrz aplikacji i baz danych, kluczy i certyfikatów zapisanych na dyskach, podpisywania kodu, zaszyfrowanych kopii zapasowych i segmentów, których nie obserwuje żaden czujnik. Połącz widok z sieci z inwentaryzacją certyfikatów, wykazami komponentów oprogramowania (SBOM) i ankietami dla dostawców. Opisuje to artykuł o inwentaryzacji kryptografii z ruchu sieciowego.

Plan migracji w pięciu krokach

Inwentaryzacja. Zbuduj opisaną wyżej listę, zaczynając od usług dostępnych z internetu i systemów, które przenoszą długo żyjące tajemnice.
Priorytety według Moski. Uszereguj systemy według tego, jak długo ich dane muszą pozostać tajne i ile czasu zajmie ich zmiana.
Włącz wymianę hybrydową tam, gdzie już jest dostępna. Obecne przeglądarki, biblioteki TLS i wersje SSH ją obsługują; często wystarczy zmiana konfiguracji albo aktualizacja. Potem sprawdź efekt w ruchu sieciowym.
Zapytaj dostawców. Wpisz postkwantową wymianę kluczy i podpisy, z terminami, do pytań o plany rozwoju w każdym przetargu i przy każdym odnowieniu umowy.
Zaplanuj podpisy i PKI. Certyfikaty postkwantowe i podpisywanie kodu wymagają więcej czasu, bo zmienić trzeba całe łańcuchy zaufania. Zacznij planowanie teraz; opisane wyżej terminy dają lata, nie miesiące.

Co pokazuje NetSenX

NetSenX nie chroni nikogo przed komputerami kwantowymi i żaden produkt monitorujący tego nie potrafi: ochrona wymaga zmiany kryptografii w Twoich systemach i u Twoich dostawców. NetSenX daje widoczność, od której zaczyna się migracja. NQCI, inwentaryzacja kryptografii NetSenX (w wersji zapoznawczej), jest widoczna w każdym planie i aktywna od planu Pro, z włączonym czujnikiem przechwytywania pakietów na agencie Linux albo czujnikiem na porcie SPAN lub TAP. Pokazuje, które połączenia w monitorowanym ruchu nadal używają wymiany kluczy podatnej na komputery kwantowe, a które już hybrydowej postkwantowej, oznacza słabe klucze publiczne widoczne w handshake'ach (na przykład klucze RSA, które mają wspólny czynnik z innym kluczem, ślad wadliwego generatora liczb losowych) i zapisuje zmiany w czasie, żeby było widać, gdzie aktualizacje już zadziałały, i wychwycić późniejsze regresje.

Źródła

Autor: zespół NetSenX, TriStiX S.L. Pytania: info@netsenx.com.

Pytania, na które odpowiada ten przewodnik

Czym jest kryptografia postkwantowa?

Kryptografia postkwantowa (PQC) to kryptografia klucza publicznego zaprojektowana tak, by pozostała bezpieczna wobec dużego komputera kwantowego, a przy tym działała na zwykłych komputerach. NIST opublikował pierwsze standardy 13 sierpnia 2024 r.: FIPS 203 (ML-KEM) do ustalania kluczy oraz FIPS 204 (ML-DSA) i FIPS 205 (SLH-DSA) do podpisów cyfrowych. Opierają się na problemach matematycznych, takich jak szukanie krótkich wektorów w wielowymiarowych kratach, albo na bezpieczeństwie funkcji skrótu, dla których nie jest znany wydajny atak kwantowy. Migracja oznacza aktualizację oprogramowania, bibliotek, protokołów i certyfikatów, a nie zakup sprzętu kwantowego. To też nie to samo co kwantowa dystrybucja klucza, która wymaga specjalnego sprzętu optycznego. Ceną zmiany jest rozmiar: klucze i podpisy postkwantowe są większe niż dzisiejsze, więc handshake'i rosną, a część starszych urządzeń sobie z tym nie radzi. Większość organizacji styka się z PQC najpierw przez aktualizacje przeglądarek, systemów operacyjnych i oprogramowania VPN, a potem musi zająć się własnymi serwerami i aplikacjami.

Co oznacza „harvest now, decrypt later”?

To sytuacja, w której napastnik nagrywa dziś szyfrowany ruch i przechowuje go, by odszyfrować, gdy powstanie odpowiednio silny komputer kwantowy. Nagrywanie jest tanie i dla Ciebie niewidoczne: może odbywać się w punkcie wymiany ruchu internetowego, na przejętym routerze albo u operatora, daleko od Twojej sieci. Zagrożony jest tylko ruch, którego wymiana kluczy jest podatna na komputery kwantowe, i tylko dane, które będą miały znaczenie w chwili odszyfrowania. Typowe przykłady to dokumentacja medyczna, projekty, kod źródłowy, długoterminowe umowy, akta prawne i dane osobowe przechowywane przez wiele lat; tygodniowy harmonogram dostaw nie. Często ocenia się to nierównością Moski: jeśli liczba lat, przez które dane muszą pozostać tajne, plus liczba lat migracji przekracza liczbę lat do powstania takiego komputera, trzeba zacząć teraz. Praktyczna odpowiedź to przeniesienie najpierw wymiany kluczy chroniącej długowieczne dane na hybrydowe metody postkwantowe, bo właśnie tam dzisiejsze nagrania stałyby się jutrzejszymi wyciekami. Podpisy mogą poczekać.

Które nasze dane są zagrożone przez „harvest now, decrypt later”?

Dane, które dziś przechodzą przez sieć i muszą pozostać poufne także po pojawieniu się dużego komputera kwantowego. Zadaj dwa pytania o każdy zbiór danych: czy podróżuje połączeniem z wymianą kluczy podatną na komputery kwantowe i przez ile lat jego ujawnienie nadal by szkodziło? Typowe długowieczne przykłady to dokumentacja pacjentów i kadrowa, projekty produktów i kod źródłowy, akta fuzji i sprawy prawne, umowy z sektorem publicznym, dane biometryczne i nigdy niezmieniane dane logowania. Dane krótkotrwałe, takie jak jednorazowy kod czy ceny z tego miesiąca, nie są warte zmartwień. Dane przechowywane to inna kwestia: zwykle chroni je szyfrowanie symetryczne, takie jak AES, którego komputer kwantowy nie łamie, chyba że ich klucze są wymieniane lub opakowywane przy użyciu RSA. Spisz listę z właścicielem i okresem przechowywania dla każdej pozycji: stanie się kolejnością priorytetów migracji i podstawą obliczenia według Moski. Czujnik sieciowy nie sklasyfikuje Twoich danych; ta lista musi wyjść od biznesu.

Jak stosować nierówność Moski?

Zestaw obok siebie trzy liczby dla każdego ważnego zbioru danych lub systemu. X to liczba lat, przez które dane muszą pozostać tajne. Y to liczba lat potrzebna na przeniesienie tego systemu na kryptografię postkwantową, łącznie z dostawcami, testami i cyklami budżetowymi. Z to liczba lat, które zostały do powstania komputera kwantowego zdolnego złamać dzisiejszą kryptografię klucza publicznego. Jeśli X plus Y jest większe od Z, dane wysłane dziś są już narażone na „harvest now, decrypt later”. Michele Mosca opisał tę nierówność w 2015 r. w pracy opublikowanej jako IACR ePrint 2015/1075. Z jest nieznane, więc nie udawaj, że je znasz: przyjmij wartość ostrożną i swobodną i sprawdź, które systemy nie przechodzą nawet przy tej drugiej. Na przykład umowy, które muszą pozostać poufne przez 10 lat, w systemie wymagającym 5 lat migracji, nie przechodzą przy każdym Z poniżej 15 lat. Wynikiem jest lista priorytetów, a nie prognoza, i to rozumowanie, za którym nadąży audytor i zarząd.

Czym są FIPS 203, 204 i 205?

To pierwsze trzy standardy postkwantowe amerykańskiego Narodowego Instytutu Standaryzacji i Technologii (NIST), opublikowane 13 sierpnia 2024 r. po otwartym, międzynarodowym konkursie rozpoczętym w 2016 r. FIPS 203 opisuje ML-KEM, mechanizm enkapsulacji klucza, dzięki któremu dwie strony uzgadniają wspólny tajny klucz; przejmuje rolę, jaką dziś w wymianie kluczy pełnią RSA i Diffie-Hellman na krzywych eliptycznych. FIPS 204 opisuje ML-DSA, główny schemat podpisu cyfrowego. FIPS 205 opisuje SLH-DSA, wolniejszy schemat podpisu z większymi podpisami, oparty wyłącznie na funkcjach skrótu i utrzymywany jako konserwatywna alternatywa. Choć to amerykańskie standardy federalne, są punktem odniesienia na całym świecie: europejskie agencje, takie jak niemieckie BSI i francuskie ANSSI, zalecają między innymi te algorytmy, zwykle w połączeniu z klasycznym. Dla Ciebie to nazwy, których warto szukać w dokumentacji dostawców, ich planach rozwoju i odpowiedziach przetargowych.

Czym jest ML-KEM?

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism, FIPS 203) to postkwantowa metoda uzgadniania tajnego klucza przez otwartą sieć i ta, z którą zetkniesz się najpierw. Wywodzi się ze zgłoszenia CRYSTALS-Kyber. Jedna strona publikuje klucz publiczny; druga używa go, by opakować świeży losowy sekret, który rozpakować może tylko posiadacz klucza prywatnego. Ten sekret staje się kluczem do szybkiego szyfrowania symetrycznego, na przykład AES. Występuje w trzech rozmiarach: ML-KEM-512, ML-KEM-768 i ML-KEM-1024, przy czym typowym wyborem jest 768. Jest szybki, często porównywalny z krzywymi eliptycznymi, ale jego klucz publiczny i szyfrogram mają po około kilobajcie, wobec 32 bajtów w X25519. Z powodu tego rozmiaru część starszych zapór i urządzeń pośredniczących ma problemy z postkwantowymi handshake'ami. W TLS ML-KEM występuje zwykle w połączeniu z X25519 jako grupa hybrydowa X25519MLKEM768, którą większość przeglądarek już oferuje.

Czym są ML-DSA i SLH-DSA?

To dwa postkwantowe standardy podpisu: ML-DSA (FIPS 204, z CRYSTALS-Dilithium) i SLH-DSA (FIPS 205, z SPHINCS+). Podpis cyfrowy dowodzi, kto wytworzył dane i że nikt ich nie zmienił; chroni certyfikaty, aktualizacje oprogramowania, firmware, dokumenty i kod. ML-DSA to wybór ogólnego przeznaczenia: szybki, z podpisami liczącymi kilka kilobajtów zamiast 64 bajtów typowego podpisu ECDSA. SLH-DSA opiera się wyłącznie na bezpieczeństwie funkcji skrótu, co czyni go bardzo konserwatywnym, kosztem większych podpisów i wolniejszego podpisywania; pasuje do długowiecznych kotwic zaufania i podpisywania firmware'u. Podpisy mają mniejsze znaczenie dla „harvest now, decrypt later”, bo sfałszowany podpis pomaga napastnikowi dopiero wtedy, gdy komputer kwantowy istnieje. Dlatego większość organizacji zmienia najpierw wymianę kluczy, a podpisy później. Ekosystem certyfikatów z podpisami postkwantowymi dopiero powstaje, więc pytaj dostawców o ich plany, zamiast oczekiwać certyfikatów postkwantowych już dziś.

Czy UE wymaga planu migracji do kryptografii postkwantowej?

Zalecenie Komisji (UE) 2024/1101 z 11 kwietnia 2024 r. wezwało państwa członkowskie do koordynacji przejścia, a Grupa Współpracy NIS opublikowała 23 czerwca 2025 r. skoordynowaną mapę drogową: rozpocząć przejście, zabezpieczyć zastosowania wysokiego ryzyka do końca 2030 r. i przenieść jak najwięcej systemów do 2035 r. To mapa drogowa dla państw członkowskich, a nie prawo, które bezpośrednio wiąże Twoją firmę; organy krajowe mogą przełożyć ją na wytyczne lub przepisy. Pierwszy praktyczny krok to wiedza, gdzie używasz kryptografii.

Czego mapa drogowa UE oczekuje do końca 2026 r.?

Tego, by przejście rozpoczęło się wszędzie. Skoordynowana mapa drogowa opublikowana przez Grupę Współpracy NIS 23 czerwca 2025 r., w ślad za zaleceniem Komisji (UE) 2024/1101, wyznacza trzy etapy: pierwsze kroki do końca 2026 r., przeniesienie zastosowań wysokiego ryzyka do końca 2030 r. i jak najwięcej systemów do 2035 r. Pierwszy etap dotyczy przygotowań: państwa członkowskie przedstawiają krajowe plany przejścia, organizacje zaczynają inwentaryzować miejsca, w których używają kryptografii podatnej na komputery kwantowe, a ryzyko każdego zastosowania jest oceniane, by przypadki wysokiego ryzyka można było wcześnie pilotować. Mapa jest skierowana do państw członkowskich oraz ich sektora publicznego i krytycznego, a nie bezpośrednio do Twojej firmy, i organy krajowe przełożą ją na własne wytyczne. Jej logika pasuje jednak do każdej organizacji: do końca 2026 r. wiedz, gdzie jest Twoja kryptografia, kto odpowiada za każdy system i które muszą przejść jako pierwsze. Sprawdzaj, co publikuje Twój krajowy organ ds. cyberbezpieczeństwa.

Jak znaleźć miejsca, w których używamy kryptografii podatnej na komputery kwantowe?

Zacznij od inwentaryzacji: certyfikaty, VPN, TLS na serwerach, SSH, podpisywanie kodu i biblioteki używane przez aplikacje. Dużą część widać w ruchu sieciowym, bo wymiana kluczy w każdym połączeniu TLS jest widoczna bez deszyfrowania. NQCI, inwentarz kryptografii NetSenX (w wersji preview), jest widoczny w każdym planie i aktywny od planu Pro: pokazuje, które połączenia używają wymiany kluczy podatnej na komputery kwantowe, a które hybrydowej wymiany postkwantowej. Wymaga czujnika przechwytywania pakietów, domyślnie wyłączonego: włączonego dla agenta na Linuksie albo czujnika na porcie SPAN lub TAP. Tryb podstawowy agenta, używany na macOS, nie widzi handshake'ów TLS. Daje widoczność; sama migracja pozostaje po stronie Twojej i Twoich dostawców.

Czy czujnik sieciowy może zbudować inwentarz kryptografii?

Dużą jego część tak, ale nie całość. Każde połączenie TLS, zanim zacznie się szyfrowanie, ogłasza, jakie grupy wymiany kluczy oferuje klient i którą wybiera serwer, a także wersję TLS; SSH działa podobnie. Czujnik, który widzi te handshake'i, może wypisać dla każdego serwera i klienta, gdzie wciąż używana jest wymiana kluczy podatna na komputery kwantowe, a gdzie już hybrydowa postkwantowa, dla każdego urządzenia w segmencie, także drukarek, urządzeń sieciowych i maszyn, na których nie da się uruchomić agenta. Czego nie widzi: kryptografii wewnątrz aplikacji i baz danych, kluczy i certyfikatów zapisanych na dysku, podpisywania kodu, szyfrowanych kopii zapasowych, niemonitorowanych segmentów i połączeń, których handshake nie przechodzi przez czujnik. NQCI, inwentarz kryptografii NetSenX (w wersji preview), jest widoczny w każdym planie i aktywny od planu Pro; wymaga czujnika przechwytywania pakietów, domyślnie wyłączonego, włączonego dla agenta na Linuksie albo czujnika na porcie SPAN lub TAP. Tryb podstawowy na macOS nie widzi handshake'ów. Połącz go z inwentarzem certyfikatów i ankietami dla dostawców.

Co powinien zawierać inwentarz kryptografii?

Dla każdego miejsca, w którym kryptografia coś chroni, zapisz, co jest chronione, w jaki sposób i kto może to zmienić. Praktyczne pola: system lub usługa i jej właściciel; co chroni, z rodzajem danych i liczbą lat, przez które muszą pozostać tajne; protokół, na przykład TLS, SSH, IPsec, S/MIME, podpisywanie kodu albo szyfrowanie dysków i baz danych; algorytmy wymiany kluczy, podpisu i szyfrowania z długościami kluczy; certyfikaty, ich wystawca i data ważności; wersja biblioteki lub produktu i to, czy dostawca ma plan postkwantowy; oraz czy algorytm można zmienić konfiguracją. Dodaj priorytet wyprowadzony z nierówności Moski. Źródła różnią się w zależności od warstwy: obserwacja sieci dla tego, co przechodzi przez łącze, zarządzanie certyfikatami i skanery dla certyfikatów, analiza składu oprogramowania i ankiety dla dostawców dla tego, co siedzi w aplikacjach. Inwentarz zawierający tylko certyfikaty pomija wymianę kluczy, a zbudowany tylko z sieci pomija dane przechowywane. Utrzymuj go na bieżąco, bo każda aktualizacja może zmienić odpowiedź, i datuj każdy wpis: audytorzy i przetargi pytają, kiedy go ostatnio sprawdzono.