Каждое HTTPS-соединение опирается на две части асимметричной криптографии: согласование ключей, из которого выводится секрет сессии, и цифровую подпись, доказывающую, что сервер является тем, за кого он себя выдаёт. И то и другое (в принципе, уже сегодня) взламывается алгоритмом Шора на достаточно большом квантовом компьютере. Миграция HTTPS к постквантовой криптографии для согласования ключей идёт полным ходом, а для аутентификации едва началась. Эти две половины живут по разным часам, и понимание причины составляет суть всей истории.
Что именно ломает квантовый противник
Рукопожатие TLS 1.3 объединяет эфемерное согласование ключей (обычно X25519, вариант Диффи–Хеллмана на эллиптических кривых) с подписью сервера над транскриптом (RSA, ECDSA или Ed25519). Идентичность сервера, в свою очередь, удостоверяется цепочкой сертификатов X.509, которая сама представляет собой последовательность подписей, заканчивающуюся в корневом сертификате в хранилище доверия клиента.
Алгоритм Шора факторизует целые числа за полиномиальное время, , и решает задачу дискретного логарифмирования на эллиптических кривых с той же асимптотикой. Это одновременно уничтожает RSA, DH, ECDH, ECDSA и Ed25519. Алгоритм Гровера, напротив, даёт лишь квадратичное ускорение против симметричных примитивов, поэтому AES-256 и SHA-384 остаются комфортно защищёнными.
Поэтому модель угрозы для HTTPS узкая, но абсолютная: весь асимметричный слой должен быть заменён, а симметричный слой может остаться.
Две миграции, а не одна
Это самая важная рамка во всей дискуссии о постквантовом HTTPS, и она исходит непосредственно от команд, которые выкатывают изменения. Криптографы Chrome формулируют так:
«Противник может сохранить зашифрованный трафик сейчас, дождаться появления CRQC и затем дешифровать его задним числом.» — Эдриан, Бек, Бенджамин, О’Брайен, Advancing Our Amazing Bet on Asymmetric Cryptography, Google, май 2024.
Эта атака, harvest now, decrypt later («собирай сейчас, расшифровывай потом»), и есть причина, по которой миграция согласования ключей не может ждать. Подписанный трафик записывается сегодня; квантовому компьютеру нужно лишь однажды появиться.
У аутентификации обратное свойство. Подделанная подпись полезна только пока атакующий находится в сети. Пока криптографически значимого квантового компьютера (CRQC) физически не существует, никто ничего не подделывает. Как формулирует Cloudflare:
«Перед организациями стоят две отдельные постквантовые миграции: согласование ключей — срочное; подписи — гораздо сложнее, но менее срочно.» — Вестербан, The State of the Post-Quantum Internet, Cloudflare, март 2024.
Поэтому индустрия выкатывает согласование ключей первым и агрессивно, а аутентификацию выкатывает вторым и осторожно.
Новые строительные блоки
NIST завершил три стандарта в августе 2024. Четвёртый находится в черновике.
| Стандарт | Алгоритм | Назначение | Лежащая в основе задача |
|---|---|---|---|
| FIPS 203 | ML-KEM (Kyber) | Инкапсуляция ключа | Module-LWE на решётках |
| FIPS 204 | ML-DSA (Dilithium) | Подписи | Module-LWE / Module-SIS |
| FIPS 205 | SLH-DSA (SPHINCS+) | Подписи (без состояния, на хешах) | Стойкость хеш-функции |
| Черновик | FN-DSA (Falcon) | Подписи (компактные) | Решётки NTRU |
В марте 2025 NIST также выбрал HQC как код-ориентированный резервный KEM, страховка на случай прорыва в анализе решёточных предположений.
Размеры ключей и подписей служат источником всех последующих эксплуатационных проблем.
| Алгоритм | Открытый ключ | Подпись / шифротекст |
|---|---|---|
| X25519 | 32 Б | 32 Б |
| Ed25519 | 32 Б | 64 Б |
| ECDSA P-256 | 64 Б | ~70 Б |
| RSA-2048 | 256 Б | 256 Б |
| ML-KEM-768 | 1184 Б | 1088 Б |
| ML-DSA-44 | 1312 Б | 2420 Б |
| SLH-DSA-128s | 32 Б | 7856 Б |
| FN-DSA-512 | 897 Б | 666 Б |
Решёточные KEM пригодны к использованию. Решёточные подписи неудобны. Хеш-подписи велики. Компактные подписи (Falcon) требуют арифметики с плавающей точкой при подписании, что является классическим кошмаром для реализации с постоянным временем.
Гибридное согласование ключей уже стало по умолчанию
Развёртывание TLS для согласования ключей гибридное: классическая кривая и постквантовый KEM работают параллельно, а секрет сессии выводится из обоих:
Если выдерживает хотя бы один примитив, выдерживает и сессия. Стандартизованная кодовая точка X25519MLKEM768 (0x11EC в TLS) заменила ранний экспериментальный X25519Kyber768Draft00 (0x6399). Переход потребовался потому, что финальный стандарт ML-KEM несовместим по проводу с черновым Kyber, на котором он основывался.
Цифры внедрения впечатляют. По отчёту Cloudflare за 2025 год:
«Более половины человеческого трафика к Cloudflare защищены постквантовым шифрованием от атак вида harvest-now/decrypt-later.» — Вестербан, State of the Post-Quantum Internet in 2025, Cloudflare, октябрь 2025.
Chrome включил гибридное согласование ML-KEM по умолчанию в версии 124 на десктопах и сообщил о медианном росте задержки рукопожатия на 4 %, не нулевом, но достаточно малом для выкатки. ML-KEM добавляет около 1,1–1,2 КБ к ClientHello и ServerHello. Это единственная цена за иммунитет к harvest-now/decrypt-later, и она уплачена.
Сложная часть: сертификаты
Если миграция согласования ключей в основном завершена, то миграция сертификатов в продакшене ещё не начиналась. Арифметика объясняет почему.
Современное рукопожатие TLS содержит конечный (leaf) сертификат, один или два промежуточных сертификата, два подписанных штампа времени (SCT) для Certificate Transparency и подпись над транскриптом рукопожатия. Сегодня медианная цепочка составляет около 3,2 КБ. С подписями ML-DSA-44, наивно:
- два SCT и подпись leaf-сертификата уже добавляют 7260 байт накладных расходов на аутентификацию;
- полная гибридная цепочка (классические + постквантовые подписи) сдвигает общий размер рукопожатия за 15 КБ.
Эта цифра важна, потому что существует хорошо задокументированный обрыв производительности:
«Некоторым клиентам или middlebox-устройствам не нравятся цепочки сертификатов больше 10 КБ. Превышение этого порога вызывает дополнительные round-trip’ы и замедление более чем на 60 %.» — Cloudflare, эксперимент PQ TLS 2021, повторено в State of the Post-Quantum Internet, 2024.
Это и есть протокольная оссификация в конкретной форме. Начальное окно перегрузки TCP, лимит anti-amplification в QUIC, предположения о MTU у middlebox-устройств, длины буферов ASN.1 в старых стеках; каждый слой стека неформально впитал предпосылку, что рукопожатие TLS невелико.
Выход: Merkle Tree Certificates
Наиболее перспективным структурным ответом служат Merkle Tree Certificates (MTC), черновик IETF от совместной команды Google, Cloudflare, Apple и Geomys в рабочей группе PLANTS.
«ML-DSA-44 использует 1312 байт на открытый ключ и 2420 байт на подпись. Два SCT и подпись leaf-сертификата добавляют 7260 байт накладных расходов на аутентификацию. Сертификаты Merkle Tree существенно меньше одной подписи ML-DSA-44 и почти в десять раз меньше трёх подписей, необходимых для постквантовых SCT.» — Бенджамин, О’Брайен, Вестербан, Валента, Вальсорда, draft-ietf-plants-merkle-tree-certs.
Идея переворачивает традиционную цепочку. Вместо того чтобы каждый leaf нёс собственную подпись, CA ведёт append-only журнал, периодически подписывает корень Merkle-дерева над текущим содержимым и выдаёт каждому подписчику доказательство включения, путь аутентификации логарифмического размера от листа до корня.
Для CA, выпустившего сертификатов, доказательство составит примерно байт, а дорогая подпись ML-DSA существует только однажды, на корне. Согласно тому же черновику, это снижает аутентификационную нагрузку до менее чем 800 байт на соединение, что меньше нынешних RSA-цепочек.
Компромиссы реальны: клиенты должны хранить заранее распространённые корни Merkle, сертификаты становятся применимыми лишь после подписания следующего «landmark» (то есть существует задержка выпуска), и система требует журнальной инфраструктуры за пределами того, что предоставляет Certificate Transparency. Но MTC остаётся единственным предложением, которое одновременно обеспечивает постквантовую безопасность, Certificate Transparency и приемлемый размер на проводе.
Где сейчас миграция
| Поверхность | Состояние (середина 2026) |
|---|---|
| Симметричная криптография (AES, SHA-2/3) | Изменения не требуются |
| Согласование ключей TLS (X25519MLKEM768) | По умолчанию в Chrome, Firefox, на edge Cloudflare; >50 % человеческого трафика Cloudflare |
| Согласование ключей со стороны origin | ~3,7 % origins (2025) |
| Аутентификация TLS (PQ-сертификаты) | Черновики; первые тестовые сертификаты ожидаются в 2026–2027 |
| Миграция корневых CA | В публичной PKI ещё не начата |
| OCSP / отзыв в постквантовом мире | Открытая проблема |
| Совместимость с middlebox / appliance | Не тестировалась в масштабе |
Регуляторные часы разные: CNSA 2.0 АНБ требует постквантовую криптографию для систем национальной безопасности США к 2033 году; рекомендации ЕС и Великобритании ориентируются на 2030–2035 годы для чувствительных секторов. Ни один из этих сроков не работает без сертификатного решения, выпущенного на годы раньше.
Тихая часть
Эта миграция трудна не из-за математики. ML-KEM и ML-DSA являются зрелыми примитивами, прошедшими рецензирование, и реализации открыты. Она трудна потому, что HTTPS представляет собой торт из шестидесяти слоёв; рукопожатие TLS затрагивает CA, журнал CT, OCSP-респондер, хранилище доверия браузера, TCP-стек ядра, балансировщик нагрузки, HSM, middlebox с зафиксированной MTU и парсер ASN.1, написанный в 2003 году. У каждого из них есть мнение о том, насколько большим может быть сертификат.
Поменять алгоритмы несложно. Изменить размер торта, не уронив его, значительно труднее.
«Криптографию редко взламывают; её обходят.» — Ади Шамир
Именно это, а не число кубитов, определит, переживёт ли HTTPS этот переход достойно.
Источники
- Westerbaan, B. State of the Post-Quantum Internet in 2025. Cloudflare, октябрь 2025. blog.cloudflare.com/pq-2025
- Westerbaan, B. The State of the Post-Quantum Internet. Cloudflare, март 2024. blog.cloudflare.com/pq-2024
- Adrian, D.; Beck, B.; Benjamin, D.; O’Brien, D. Advancing Our Amazing Bet on Asymmetric Cryptography. Google / Chromium, май 2024. blog.google/chromium/advancing-our-amazing-bet-on-asymmetric
- Benjamin, D.; O’Brien, D.; Westerbaan, B.; Valenta, L.; Valsorda, F. Merkle Tree Certificates. IETF draft-ietf-plants-merkle-tree-certs. datatracker.ietf.org/doc/draft-ietf-plants-merkle-tree-certs
- NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. август 2024. csrc.nist.gov/pubs/fips/203/final
- NIST. FIPS 204: Module-Lattice-Based Digital Signature Standard. август 2024.
- NIST. FIPS 205: Stateless Hash-Based Digital Signature Standard. август 2024.
- Cloudflare. Post-quantum cryptography (PQC) — SSL/TLS docs. developers.cloudflare.com/ssl/post-quantum-cryptography