Лет пять назад разговор о квантовых компьютерах и о том, чем они могут обернуться для криптографии, звучал как что-то из разряда футурологии, а не как реальная проблема. Логика была простая и вроде бы железная: сначала дождемся действительно мощных машин, посмотрим, научатся ли они решать прикладные задачи, а уж потом займемся защитой.
Сейчас эта схема, которая казалась такой надежной, ломается прямо на глазах. К постквантовой эпохе уже готовятся. В 2024 году NIST — Национальный институт стандартов и технологий США — утвердил первые три стандарта постквантовой криптографии. А через год выбрал еще один алгоритм, который должен войти в будущие стандарты.
Почему же привычная криптография оказалась уязвимой?
Вот в чем загвоздка: вся сегодняшняя цифровая инфраструктура держится на задачах, которые обычному компьютеру решать просто невыгодно — уходит слишком много времени и ресурсов. Классический пример — разложение больших чисел на простые множители. На этом стоит RSA.
Есть и второй вариант — задача дискретного логарифмирования. На ней завязаны многие схемы с открытым ключом и криптография на эллиптических кривых. Для обычной машины такие задачи — почти неподъемная штука, и именно на этой сложности держится вся защита. А квантовый компьютер меняет саму модель вычислений. Алгоритм Шора теоретически позволяет ускорить факторизацию и дискретное логарифмирование на порядки.
Важно не путать потенциальную угрозу с уже существующей возможностью взлома. Общедоступного квантового компьютера, способного за разумное время взять реальный ключ RSA-2048 и расшифровать защищенный им трафик, сегодня не существует. Но это не повод откладывать решение проблемы на потом.
Опасность начинается задолго до появления квантовой машины
Есть сценарий, который в индустрии называют «harvest now, decrypt later» — «собрать сейчас, расшифровать потом». Работает он так: злоумышленник перехватывает зашифрованные данные уже сегодня, даже не имея возможности их прочитать. Если ценность этой информации сохраняется десять, двадцать, а то и тридцать лет, архив имеет смысл копить — когда технологический барьер будет преодолен, старые данные, возможно, получится расшифровать.
Для банковской транзакции, актуальной несколько секунд, такой риск не особенно критичен. А вот для проектной документации, дипломатической переписки, медицинских архивов, исходного кода или результатов научных исследований масштаб угрозы совсем другой.
В итоге складывается парадоксальная картина: у организации может не быть ни одного уязвимого сервера в привычном понимании — и при этом она годами копит будущий криптографический риск. Шифрование защищает данные ровно до тех пор, пока лежащая в его основе математическая задача остается вычислительно трудной.
Что именно придется менять
Квантовая угроза вовсе не означает, что с появлением мощного квантового компьютера вся криптография разом окажется бесполезной. История тут точнее — и от этого немного неприятнее. Основной удар приходится на алгоритмы с открытым ключом, тогда как симметричные схемы и хеш-функции находятся в другом положении.
Для симметричной криптографии известна квантовая атака Гровера, которая снижает эффективную стойкость перебора ключа. Но это далеко не тотальный крах: увеличение длины ключа компенсирует значительную часть угрозы. Поэтому AES и SHA-2 не исчезают под натиском квантовых вычислений так же драматично, как RSA или ECC.
Именно здесь возникает принципиальное для ИТ-проектов различие. Свести миграцию к простой замене одного алгоритма другим не получится — криптография вшита практически повсюду:
- в цифровые сертификаты и инфраструктуру PKI;
- в VPN и протокол TLS;
- в электронную подпись и системы идентификации;
- в протоколы обновления программного обеспечения;
- в системы резервного копирования;
- в десятки внутренних сервисов, о которых редко вспоминают, пока что-то не сломается.
Постквантовая криптография уже выходит из лабораторий
13 августа 2024-го NIST взял и утвердил сразу три стандарта: FIPS 203, FIPS 204 и FIPS 205. Если по-простому, FIPS 203 — это ML-KEM, он отвечает за установление ключей. Два других, ML-DSA и SLH-DSA, нужны для цифровых подписей. Все они относятся к постквантовой криптографии. Смысл их один: сделать так, чтобы будущие крупные квантовые компьютеры не сломали то, чем мы пользуемся сегодня.
И на этом, конечно, не остановились. В марте 2025 года NIST выбрал еще и HQC — как дополнительный механизм для установления ключей, чтобы позже стандартизировать и его. А в августе 2026-го институт сказал уже без обиняков: три готовых стандарта можно внедрять, и переход на постквантовую криптографию — это не когда-нибудь потом, а прямо сейчас.
Тут важно сделать оговорку. Постквантовая криптография вовсе не использует квантовый компьютер для защиты данных — скорее, наоборот. Она работает на обычном «железе» и строится на математических задачах, для которых пока не найден сопоставимый по эффективности квантовый метод решения.
Почему миграция сложнее, чем кажется
На бумаге задача выглядит почти элементарно: найти в системах RSA и ECC, заменить их на PQC-алгоритмы, обновить библиотеки — и готово. На практике подобный проект почти сразу превращается в полную инвентаризацию цифровой экосистемы компании.
Сначала предстоит разобраться, где вообще применяется криптография и какие данные она прикрывает. Дальше вопросов только больше: получится ли обновить протоколы без остановки сервисов, насколько «потяжелели» новые ключи и подписи, хватит ли пропускной способности сети, совместимы ли устройства и способны ли аппаратные модули безопасности вообще работать с новыми алгоритмами.
Отдельная головная боль — криптографическая «неподвижность» старых систем. Алгоритм нередко зашит глубоко внутри программного или аппаратного стека: сертификат выпускается по устаревшей схеме, прошивка проверяет подпись строго определенного типа, а промышленное оборудование может не получать обновлений годами.
Главный вопрос — не «когда появится квантовый компьютер», а «сколько длится миграция»
Пожалуй, это самый рациональный способ смотреть на проблему сегодня. Точная дата появления криптографически значимого квантового компьютера неизвестна никому — зато организация прекрасно знает собственные сроки обновления инфраструктуры.
Если замена криптографических библиотек занимает год, сертификация оборудования — три года, а жизненный цикл отраслевой системы растягивается на пятнадцать лет, ждать «достаточных доказательств» — стратегия сомнительная. Для некоторых систем переход должен начинаться задолго до того, как угроза станет практически наблюдаемой.
Показательно, что государственные структуры уже называют конкретные сроки: американские требования нацелены на широкое внедрение постквантовой криптографии к 2035 году, а некоторые программы предполагают и более ранние этапы перехода.
Квантовая угроза тем самым меняет сам подход к кибербезопасности. Раньше казалось: криптография — это невидимый фундамент ИТ-системы. Настроил разок и забыл. Сегодня очевидно другое: у криптоалгоритмов есть свой жизненный цикл. Их нужно регулярно пересматривать, заменять, а где-то — подстраховывать другими механизмами защиты.
И в этом главный практический вывод. Квантовый компьютер пока не взломал привычный интернет. Но он уже влияет на архитектуру интернета будущего. Организации, которые начинают переход на постквантовые стандарты уже сейчас, по сути, решают инженерную задачу заранее — не дожидаются появления новой угрозы, а сокращают тот период, в течение которого старые алгоритмы остаются единственной линией обороны.
Кузовкин Алексей Викторович — IT-предприниматель, экс-председатель совета директоров группы компаний «Армада». Алексей Викторович обладает колоссальным опытом управления инновационными и IT-проектами.
