TL; DR
Postkvantuma kriptografio (PQC) signifas kriptografiajn algoritmojn desegnitajn por rezisti atakon de estonta grandskala kvantuma komputilo. Migri al ĝi nun estas eksmoda devo tra Eŭropo, Ameriko kaj Azio-Pacifiko — ne plu esplora temo.
La unua livereblaĵo ĉie estas inventaro, ne kodŝanĝo. Ĉiu reĝimo, kiel ekzemple NIST IR 8547, Transiro al Post-Kvantuma Kriptografio Standards, la EU-vojmapo, Hispanio CCN-TEC 009 kaj similaj por aliaj regionoj, plus sektoraj rekomendoj kiel ekzemple PCI DSS 12.3.3, komenciĝas petante vin listigi la kriptografion, kiun vi uzas.
Proponita enkarniĝo de tia inventaro por kriptografiaj aktivaĵoj estas la CBOM (Kriptografa Materiallisto), kiu estas maŝinlegebla listo de la algoritmoj, ŝlosiloj, atestiloj kaj protokoloj, kiujn sistemo uzas. Ĝi estas etendaĵo de la konata SBOM kaj la rekomendita standardigita formato por tiu inventaro.
Kontrolu vian plej fruan devigan daton; ĝi eble ne estas 2035. Plej multaj jurisdikcioj konverĝas pri malkovro antaŭ 2026–2028, alt-riska antaŭ 2030–2031, kompleta antaŭ 2035. La celoj estas konataj, sed ili ne estas unu anstataŭaĵo. ML-KEM anstataŭigas ŝlosilinterŝanĝon, ML-DSA anstataŭigas ĝeneraluzeblajn subskribojn, dum haŝ-bazitaj skemoj (SLH-DSA, XMSS/LMS) kovras firmvaron kaj longdaŭrajn radikojn. Ŝlosila establado jam estas liverataj je interreta skalo; atestiloj kaj subskriboj malfruas jarojn — do urĝecaj mendoj kaj mendoj laŭ antaŭtempa daŭro malsamas, kaj via plano bezonas ambaŭ.
La transiro estas jardeko de kunekzistado, ne transiro. Ĝis la mezo de la 2030-aj jaroj, plej multaj organizaĵoj funkciigos klasikan kaj postkvantumkriptografion flank-al-flanke, kaj ofte laŭvorte kombinitajn: hibrida konstruo. Kripto-facileco estas tio, kio igas tiun periodon travivebla. Ĝi signifas povi ŝanĝi algoritmon, parametrojn, aŭ ĉu vi uzas hibridon entute per agordo kaj politiko, anstataŭ per reskribo kaj redeplojado de kodo.
Tiktas du "horloĝoj", ne unu: la reguliga horloĝo supre, kaj "rikoltu nun, deĉifru poste" (HNDL). Ĉi-lasta implikas kontraŭulojn registrantajn ĉifritan trafikon hodiaŭ por malĉifri ĝin post kiam kvantumkomputilo ekzistas. Tio signifas, ke datumoj kun longa konfidenca vivo jam estas eksponitaj.
La malfacila parto ne estas la algoritmoj, sed la malkovro. Kriptografio kaŝiĝas en fontkodo, dependecoj, atestiloj, ŝlosildosieroj, infrastrukturo-kiel-kodo, kontenerbildoj, protokola agordo kaj triapartaj produktoj. Kredinda inventaro devas diri honeste tion, kion ĝi ne povas vidi.
Xygeni povas helpi vin prepari por PQC per produktado de la CBOM (Central Migration Model), klasifikado de ĉiu kripta aktivaĵo laŭ kvantuma risko, rangigo de migrada restakumuliĝo laŭ HNDL-eksponiĝo, mapado de la rezultoj al ses reguligaj reĝimoj, kaj raportado pri la post-kvanta preteco de viaj dependecoj. Plena detaloj: Kvantum-Sekura Konformeco.
Kion kvantumkomputilo rompas — kaj kion ĝi ne rompas
Ĉi tiu distingo estas la plej grava teknika fakto por GRC-aŭskultantaro, ĉar ĝi decidas ĉu trovo estas anstataŭiga projekto aŭ agorda ŝanĝoMisfarado produktas riparajn konsilojn, kiuj estas ne nur senutilaj sed aktive malutilaj.
Algoritmo de Shor — kvantuma algoritmo kiu faktorigas grandajn entjerojn kaj efike kalkulas diskretajn logaritmojn — strukture rompas la hodiaŭan publikŝlosilan kriptografion: RSA, ECDSA, EdDSA, Diffie-Hellman kaj ECDH, aŭ DSA. Ekzistas neniu ŝlosil-grandeca solvo4096-bita RSA-ŝlosilo ne estas signife pli sekura ol 2048-bita kontraŭ kvantuma malamiko. Ĉi tiuj algoritmoj devas esti anstataŭitaLa samo validas por naciaj variaĵoj konstruitaj sur la sama matematiko — ekzemple, la ĉina SM2 estas bazita sur elipsaj kurboj kaj tial same elmetita.
La algoritmo de Grover — kvantuma serĉalgoritmo — malfortigas simetriajn ĉifrojn kaj haŝfunkciojn, sed nur per proksimume duonigo de ilia efika forto. Ĉi tiuj estas hardebla surloke: moviĝu de AES-128 al AES-256, de SHA-256 al SHA-384 aŭ SHA-512. NIST IR 8547 rekte montras la punkton: la simetria de NIST standards "estas signife malpli vundeblaj al konataj kvantumaj atakoj ol la publikŝlosila kriptografio standards”, kaj ĉiu aprobita simetria primitivo ofertanta almenaŭ 128 bitojn da klasika sekureco ankoraŭ plenumas la plej malaltan post-kvantuman sekureckategorion de NIST.
La maŝino, kiu farus tion, nomiĝas CRQC - a kriptografie grava kvantumkomputiloPublika politiko estas singarda pri sia statuso; la usona efektiviga memorando klarigas ĝin: “Oni ankoraŭ ne scias, ĉu CRQC ekzistas, sed konstantaj progresoj en la kampo de kvantumkomputiko povus produkti CRQC-on en la venonta jardeko.”
Kio ŝanĝiĝis ne estas, ke la maŝino alvenis — sed ke la takso pri tio, kion ĝi bezonus, daŭre ŝrumpas. En majo 2025, Craig Gidney de Google Quantum AI publikigis rimedo-takson montrantan, ke RSA-2048 povus esti enkalkulita en malpli ol semajno per kvantumkomputilo kun malpli ol miliono da bruaj kubitoj. — proksimume dudekobla redukto kompare kun lia propra takso de ~20 milionoj en 2019. Tio estas inĝeniera takso, sed takso kiu falas 20-oble en ses jaroj estas ĝuste la speco de tendenco, kiun riskofunkcio estas pagata por preni serioze.
La horloĝo kiu jam komenciĝis: rikoltu nun, deĉifru poste
Rikoltu nun, deĉifru poste (HNDL) estas la praktiko kapti ĉifritan trafikon aŭ datumojn hodiaŭ kaj konservi ilin ĝis CRQC povas malĉifri ilin. Ĝi konvertas estontan kapablon en nuntempan eksponiĝon por io ajn, kio devas resti konfidenca dum jaroj: sanhistorioj, juraj dosieroj, intelekta propraĵo, ŝtatsekretoj, longdaŭraj akreditaĵoj, subskribitaj pruvoj.
Reguligistoj ĉesis eviti ĉi tion. La propono de la Eŭropa Komisiono de januaro 2026 por ŝanĝi NIS2 deklaras en Recitalo 8, ke "la ebleco de 'rikolti nun - deĉifri pli postajn atakojn', verŝajne okazantaj jam nun, kaj la estontaj riskoj kaŭzitaj de kvantumaj atakoj kontraŭ falsaj subskriboj" pravigas la transiron.
La planada konsekvenco estas simpla aritmetiko, argumento kiun Michele Mosca faras ekde 2015: aldonu la nombron da jaroj, kiujn viaj datumoj devas resti konfidencaj, al la nombro da jaroj, kiujn via migrado daŭros. Se tiu sumo atingas preter la punkto, kie CRQC kredinde ekzistas, vi jam malfruas. Por plej multaj reguligitaj organizoj, plurjara migrado plus jardeko da datenkonservado komforte superas ajnan kredindan takson.
NIST tiras la funkcian konkludon en IR 8547: ĝi "atendas prioritatigi la migradon al kvantum-rezistaj ŝlosil-establaj skemoj ... por protekti kontraŭ atakoj 'rikoltu nun, deĉifru poste', precipe en interagaj protokoloj kiel TLS kaj IKE." Ŝlosil-establado unue, subskriboj due - ordigo de la usona federacia fazado sekvas laŭvorte, kun post-kvanta ŝlosil-establado atendata plenan jaron antaŭ subskriboj. (IKE estas la ŝlosil-intertraktada protokolo malantaŭ IPsec VPN-oj.)
Kial ĉi tio estas GRC-problemo antaŭ ol ĝi estas kriptografia problemo?
Estas tri kialoj, kial ĉi tio finas sur la skribotabloj de CISOperaciumoj kaj plenumaj oficiroj anstataŭ resti kun kriptaj inĝenieroj.
La templimoj devenas de leĝo kaj regularo, ne de fiziko. Neniu scias kiam CRQC alvenos. Ĉiu povas kontroli, ke EU atendas, ke alt-riskaj uzkazoj estos migritaj antaŭ la fino de 2030, ke la Aŭstralia ASD atendas la tutan transiron. finitaj antaŭ la fino de 2030, kaj ke NIST malrekomendas RSA kaj elips-kurban kriptografion je la 112-bita sekurec-forta nivelo post 2030 kaj malpermesas ĉian kvantum-vundeblan publikŝlosilan kriptografion post 2035. Tiuj datoj estas revizieblaj; la kvantuma templinio ne estas.
La unua livereblaĵo estas revizia artefakto. Antaŭ ol iu ajn algoritmo estas interŝanĝita, ĉiu reĝimo demandas la saman demandon: kian kriptografion vi havas, kaj kie? Tio estas stokregistro-devo — administrada livereblaĵo kun posedanto, revizio-frekvenco kaj postuloj pri pruvoj. PCI DSS postulis ĝuste tion ekde marto 2025, kvantumo aŭ ne kvantumo.
Ĝi estas problemo pri aĉetado. Plejparto de la kriptografio en via havaĵo ne estas via. Ĝi troviĝas en bibliotekoj, platformoj, aparatoj, SaaS-provizantoj kaj pagterminaloj. La EU-vojmapo petas, ke unuoj "kreu dependecajn mapojn ... rigardante kaj internajn dependecojn kaj triapartajn dependecojn"; ASD publikigas akompanan liston de post-kvantaj demandoj por demandi al viaj vendistoj. Ambaŭ estas provizant-administradaj agadoj, kaj ambaŭ bezonas pruvojn, kiujn vi povas prezenti al revizoro.
La reguloebookkio efektive validas por vi
La algoritmoj estas deciditaj
NIST finpretigis la kernan post-kvantumon standards en aŭgusto 2024 — ML-KEM por ŝlosila establado (FIPS 203), Kaj ML-DSA (FIPS 204) kaj SLH-DSA (FIPS 205) por subskriboj — do jam ne plu necesas "atendo por la standards" defendo. A KEM, aŭ ŝlosil-enkapsuliga mekanismo, estas la post-kvanta anstataŭaĵo por ŝlosilinterŝanĝo: ĝi establas komunan sekreton inter du partioj, kaj ĝi estas la peco kiu haltigas HNDL.
Du pliaj estas en flugo: FN-DSA (FIPS 206, bazita sur Falcon) ankoraŭ ne estas publikigita eĉ kiel skizo, kaj Ĉefsidejo estis elektita en marto 2025 kiel kod-bazita rezervŝlosil-enkapsuliga mekanismo, dokumentita en NIST IR 8545Nek devus bloki planon hodiaŭ, sed ambaŭ estas kialoj konstrui por kripto-facileco — povi ŝanĝi algoritmon per agordo anstataŭ per reskribo de kodo. Kiu el viaj algoritmoj fariĝas kiu estas difinita en la anstataŭiga mapo pli malsupre.
La referenca templinio: NIST IR 8547
NIST IR 8547, Transiro al Post-Kvantuma Kriptografio Standards, estas la dokumento laŭ kiu plej multaj aliaj vojmapoj kalkuliĝas, ĉar ĝi metas datojn pri la emeritiĝo de klasika publikŝlosila kriptografio:
Noto pri unuoj: NIST-ŝtatoj sekureca forto, ne ŝlosillongo. Po SP 800-57 Parto 1 Rev. 5, Tabelo 2, la 112-bita fortnivelo estas RSA-2048 kaj elipsaj kurboj kun ordo de 224–255 bitoj (P-224); la nivelo de 128 bitoj estas RSA-3072 kaj kurboj de 256–383 bitoj (P-256). Do “112-bita RSA” ne estas 112-bita ŝlosilo — ĝi estas la RSA-2048 kiu ankoraŭ finas grandan parton de produktada TLS. Kaj la ĉiea parigo P-256 / RSA-3072 estas ne en la malrekomendinda kategorio de 2030; ĝi estas en la malpermesa kategorio de 2035. Ambaŭ kategorioj finiĝas ĉe la sama loko: post 2035 neniu kvantum-vundebla publika ŝlosila algoritmo estas aprobita ĉe iu ajn parametrograndeco.
Unu averto inda scii antaŭ ol vi citas ĝin en stirilo committ-ĉemizo: IR 8547 estas ankoraŭ komenca publika skizo — publikigita novembron 2024, la periodo por komentoj finiĝis januaron 2025, neniu fina versio dum la verkado. Tio ne malhelpis ĝin fariĝi la referenco; naciaj vojmapoj kaj produktoj de vendistoj, Ksgeni inkluzivita, kalibru kontraŭ ĝi. Notu ankaŭ kion ĝi ne estas: ĝi diras nenion pri inventaroj, malkovro aŭ kripto-facileco. Tiuj devoj venas de aliloke.
La tutmonda mapo: kiu diras kion, kaj antaŭ kiam
Ĉi tiu tabelo resumas la reguligan kadron laŭ regiono:
Tri diverĝoj valoras pli ol tabelvico.
- Aŭstralio estas kvin jarojn antaŭ ĉiuj aliaj. La gvidlinio de ASD ne estas "malrekomendi la malfortajn parametrojn antaŭ 2030" — ĝi estas "kompletigi la transiron antaŭ la fino de 2030", kaj la ISM rekomendas ĉesi la uzon de tradicia nesimetria kriptografio, "inkluzive de kriptografiaj algoritmoj kiel la primitivoj Rivest-Shamir-Adleman (RSA), Diffie-Hellman (DH), Elliptic Curve Diffie-Hellman (ECDH) kaj Elliptic Curve Digital Signature Algorithm (ECDSA)", antaŭ tiu dato. Se vi agas en Aŭstralio aŭ vendas en aŭstraliajn registarajn provizoĉenojn, tio estas via deviga dato, ne 2035.
- Ĉinio sekvas suverenan vojon. Ĝi ne adoptis ML-KEM kaj ML-DSA; la instituto de la Ŝtata Kriptografia Administracio lanĉis sian propran alvokon por komercaj algoritmoj de la sekva generacio, kun submetiĝo fermiĝanta en junio 2026 kaj standardsekvontaj. Por multnacia kompanio tio signifas plani por du post-kvantumaj algoritmaj familioj en la sama stato, kun SM2 — elipsa-kurba, do same mallonge rompita — kiel la oficanto por migri for. Kripto-facileco ĉesas esti abstraktado ĉi tie.
- Plejparto de la mondo tute ne havas nacian mandaton pri PQC — kaj ĝi malmulte ŝanĝiĝas. Tra plejparto de Latinameriko, kaj en granda parto de la Mezoriento kaj Azio-Pacifiko, neniu templimo por PQC estis publikigita. Devigoj ankoraŭ alvenas, tra tri kanaloj kiuj ignoras limojn: sektoraj reguligantoj (konsilo al financaj institucioj laŭ Singapuro; la atendoj de centra banko), horizontalaj... standardoj, kiuj jam postulas kriptografian inventaron (PCI DSS, ISO/IEC 27001 kontrolaroj), kaj klientoj. Provizanto de EU-, aŭstralia aŭ usona federacia aĉetanto heredas sian templimon per la kontrakto.
Kio ligas privatan organizon ĉiuokaze
Metu flanken la naciajn vojmapojn por momento. Por plej multaj privataj organizaĵoj la devigeblaj devoj venas de kvar lokoj, el kiuj neniu estis verkita por kvantumo:
- NIS2 (Direktivo (EU) 2022/2555) postulas, en Artikolo 21(2)(h), "politikojn kaj procedurojn pri la uzo de kriptografio kaj, kie konvene, ĉifrado" kiel bazan riskadministran mezuron. COM(2026) 13 eksplicigus la kvantum-dimension per aldono de PQC-transiro al Artikolo 7(2).
- Dora - La Cifereca Funkcia Rezistecleĝo kaj ĝia teknika standards, Delegita Regularo de la Komisiona (EU) 2024/1774Artikolo 6 postulas, ke financaj unuoj inkluzivu en sian ĉifradan politikon "provizaĵojn por ĝisdatigi aŭ ŝanĝi, kie necese, la ĉifran teknologion surbaze de evoluoj en kriptanalizo", kaj kie ili ne povas ĝisdatigi, "adoptu mildigajn kaj monitoradajn rimedojn, kiuj certigas rezistecon kontraŭ ciberminacoj". Tio estas kripto-facilmoveca devo kun ligita kontrolisto, kaj ĝiaj konsideraloj eksplicite nomas kvantumajn progresojn.
- PCI DSS v4.0 postulo 12.3.3 — tiu, kiun plej multaj organizoj jam malsukcesas sen rimarki, estas kamuflita postulo pri PQC. La PCI SSC priskribas ĝin kiel "novan postulon dokumenti kaj revizii kriptografiajn ĉifro-seriojn kaj protokolojn uzatajn almenaŭ unufoje ĉiujn 12 monatojn", kaj ĝi ĉesis esti plej bona praktiko pri 31 marto 2025Neniu limdato por PQC, neniu listo de kvantumalgoritmoj — sed la ĉiujara kriptografia inventaro kaj la dokumentita plano por respondi al kriptografia ŝanĝo estas antaŭviditaj.cisfakte la kontroloj, kiujn PQC-programo bezonas, jam validas kaj jam reviziitaj.
- Akirkaskado. Du paragrafoj atingos pli ol iu ajn nacia vojmapo. La Leĝo pri Ciberrezistemo (Regulado (EU) 2024/2847) validas de 11 decembro 2027 kaj jam faras SBOM devo de fabrikanto por produktoj kun ciferecaj elementoj — ĝi ne postulas CBOM-on, sed ĝi establas maŝinlegeblajn materiallistojn kiel produktkonformajn artefaktojn. Kaj en Usono, EO 14412 direktas la Federacian Konsilion pri Reguligo de Akiro (FAR) proponi regulon postulantan kovritaj entreprenistoj observi NIST FIPS enkorpigantan PQC-algoritmojn ĝis la 31-a de decembro 2030, kaj — la paragrafo kun la plej vasta atingo — ordonoj CISA kaj NIST publikigos, ene de 270 tagoj (ĉirkaŭ 19 marto 2027), “publika gvidlinio priskribanta la pripensitan vidpunkton de la agentejoj pri la minimumaj elementoj por ĉifrika listo de materialoj. Ĉi tiuj elementoj devas ebligi la aŭtomatan taksadon de la ĉifrikaj aktivaĵoj uzataj de aparatara aŭ programara elemento.”
Tiu lasta gravas multe pli ol Vaŝingtono. “Minimumaj elementoj por SBOM"estas antaŭaciskiel la programara listo de materialoj ŝanĝiĝis de bona ideo al kontrakta artefakto tutmonde. CBOM nun estas sur la sama vojo, kun aŭtomatigita takso skribita en la postulon — mana kalkultabelo ne plenumos ĝin.
La formato: CycloneDX CBOM
CycloneDX estas la standard kiu donas al CBOM konkretan formon. Versio 1.7, publikigita la 21an de oktobro 2025 kaj ratifita kiel ECMA-424 2a Eldono, estas la nuna kripto-fokusita revizio: ĝi aldonas standardigita listo de kriptografiaj algoritmaj familioj kaj ampleksa listo de elipsaj kurboj, eksplicite por subteni "auditojn, plenumajn reviziojn kaj taksojn de preteco por PQC". CycloneDX CBOM priskribas kvar specojn de kriptaj aktivaĵoj - algoritmojn, protokolojn, atestilojn kaj rilatan materialon kiel ŝlosilojn, IV-ojn kaj salojn - kaj plie la programarajn komponantojn, kiuj efektivigas ilin.
La poento estas mallarĝa sed utila: kiam CBOM-minimumaj elementoj estos publikigitaj, CycloneDX estas la formato pri kiu la merkato jam parolos.
La kunigita templinio
La ŝablono havas la saman formon preskaŭ ĉie: malkovro antaŭ 2026–2028, altriska migrado antaŭ 2030–2031, ĉio alia antaŭ 2035. Planu kontraŭ tiu formo kaj vi estas ĝenerale akordigita kun ĉiuj. Poste trovu la solan daton, kiu ligas vi unue — malofte estas 2035, kaj por iu ajn en la amplekso de PCI DSS la stokregistro-devo komenciĝis jam en 2025.
La migrado mem: kio anstataŭigas kion
Limdatoj estas nur duono de la informkunveno. La alia duono estas tio, kion vi efektive migras. al — kaj la respondo ne estas unu anstataŭigo sed pluraj, kun malsama matureco, malsamaj grandecoj kaj tre malsamaj livertempoj.
La anstataŭiga mapo
híbrido — kombini post-kvantan algoritmon kun klasika tiel ke atakanto devas rompi ambaŭ — estas la defaŭlta sinteno dum la transiro, kaj RFC 9794 (junio 2025) fine standardigis la vortprovizon por ĝi ("PQ/T hibrido"). Politiko diverĝas ĉi tie, do temas pri jurisdikcia demando, ne pri inĝeniera prefero: la CCN de Hispanio rekomendas hibridigi krad-bazitajn signaturojn (ML-DSA, FN-DSA) dum deklarante, ke haŝ-bazitaj skemoj (XMSS, SLH-DSA) ne bezonas ĝin, kaj la EU-pozicio estas ĝenerale hibrid-amika; CNSA 2.0, kontraste, volas puran PQC por naciaj sekurecaj sistemoj. Multnacia kompanio bezonos ambaŭ konfiguraciojn, kio estas argumento por fari la algoritman elekton konfiguracio anstataŭ kodo.
Kio ne havas anstataŭaĵon sen antaŭmendo
NIST havas standardigite ekzakte du aferojn: ŝlosilenkapsuligon kaj ciferecajn subskribojn. Tio sufiĉas por plejparto de posedaĵo, kaj nenio por la resto. Se viaj sistemoj dependas de parigaj konstruoj, identec- aŭ atribut-bazita ĉifrado, sojlaj, blindaj aŭ grupaj subskriboj, aŭ alia altnivela protokol-nivela kriptografio, ne ekzistas aprobita post-kvanta ekvivalento por migri al hodiaŭ - la honesta respondo estas identigi tiujn uzojn nun, marki ilin kiel nesolvitajn, kaj desegni elirejon anstataŭ atendi je standardLa samo validas por aparataraj radikoj de fido: HSM-oj (aparataraj sekurecmoduloj), TPM-oj kaj inteligentaj kartoj moviĝas laŭ siliciaj refreŝigaj cikloj, kiuj estas pli longaj ol la reguliga fenestro.
Ne unu migrado, sed pluraj kun malsamaj antaŭtempaj tempoj
Jen kie la anstataŭiga mapo ŝanĝas la pretecan templinion. La ordo de urĝeco kaj la ordo de atendtempo ne estas la samaj, kaj plano konstruita sur nur unu el ili maltrafos templimon.
- Datumoj en transito — ŝlosila establaĵo. Plej alta urĝeco (ĝi estas la HNDL-surfaco) kaj la plej mallonga atendtempo: por plej multaj stakoj temas pri biblioteka ĝisdatigo kaj konfiguracia ŝanĝo. Ĝi ankaŭ estas pruveble traktebla — Cloudflare raportis en Oktobro 2025 ke pli ol duono de la hom-iniciatita trafiko al ĝia reto jam uzis post-kvantumŝlosilan interkonsenton. La breĉo estas ĉe via flanko de la konekto: nur ~39% el la supraj 100 000 publikaj retserviloj subtenis ĝin, kaj 3.7% de la originaj serviloj malantaŭ Cloudflare. Aktualaj ciferoj estas je Cloudflare Radaro. Komencu ĉi tie, finu frue.
- Kodo, firmvaro kaj sekura-starta subskribo. Malalta HNDL-urĝeco — neniu rikoltas subskribon — sed longa antaŭtempa tempo kaj frua limdato, ĉar aparato sendita en 2027 ankoraŭ devas kontroli subskribojn en 2040, kaj subskribaj radikoj havas vivdaŭrojn de pli ol jardeko. La standards estas pretaj (SP 800-208, SLH-DSA); CNSA 2.0 kaj la hispana CCN ambaŭ metas firmvaran subskribon ĉe la komenco de la atendovico pro ĝuste ĉi tiu kialo. Komencu nun malgraŭ la malalta urĝeco.
- PKI kaj atestiloj. Vi ne kontrolas ĉi tiun horaron. Oni ne atendis, ke post-kvantaj atestiloj estos vaste haveblaj kaj fidindaj tra retumiloj antaŭ 2027, hibridaj atestilformatoj ankoraŭ ne estis difinitaj ĉe la IETF fine de 2025, kaj ĉengrandecoj kreskas plurfoje. Piloto kaj buĝeto; ne promesu daton, kiun vi ne posedas.
- Ripozaj datumoj kaj longdaŭraj arkivoj. La ĉifrado de amasoj estas bona — AES-256 estas parametroŝanĝo. La eksponiĝo estas en la ŝlosilhierarkio super ĝi: ŝlosilvolvado kaj ŝlosiltransporto kiuj uzas RSA aŭ ECDH. Reĉifradaj kampanjoj estas malrapidaj kaj tuŝas sekurkopiojn, arkivojn kaj deponejojn.
- Enkonstruitaj, OT (funkciiga teknologio — industriaj kaj kontrolaj sistemoj) kaj triapartaj sistemoj. Refreŝigaj cikloj pli longaj ol la fenestro, kaj iuj aktivaĵoj simple ne povas esti migritaj. Por tiuj la respondo estas anstataŭigo, kompensaj kontroloj, aŭ dokumentita, akceptita risko — kaj ju pli frue vi nomas ilin, des pli malmultekosta estas ĉiu el tiuj opcioj.
Du praktikaj konsekvencoj por GRC-plano. Unue, plani malantaŭen de via plej frua deviga dato laŭ antaŭtempa tempo, ne nur laŭ riskopoentaro: la rangigita restakumuliĝo diras al vi kion ripari unue inter la aferoj, kiujn vi povas ripari rapide; la listo de antaŭtempaj paŝoj diras al vi kion ripari komenco unue sendepende. Due, la inventaro devas registri la uzkazon, ne nur la algoritmon“RSA-2048 en ĉi tiu deponejo” ne estas agoebla; “RSA-2048 uzata por ŝlosiltransporto en publika servo” kaj “RSA-2048 uzata por subskribi firmvaron” estas du malsamaj projektoj kun du malsamaj celoj, du malsamaj templimoj kaj du malsamaj posedantoj. Tial inventaro devas kapti la primitivan klason kaj la surfacon sur kiu la kriptografio estis trovita, ne nur algoritman nomon — kaj tial konstrui tian montriĝas pli malfacila ol ĝi ŝajnas.
Kial PQC-preteco estas malfacila: kriptografio vere estas ĉie
Ĉiu reĝimo unue petas la inventaron, ĉar la inventaro estas la malfacila parto. Organizoj malkovras tion tuj kiam ili provas.
Kie kriptografio efektive kaŝiĝas
- Voku retejojn en via propra fonto — ĉifro konstruita en servo, haŝo elektita en utila klaso, kurbo nomita en subskriba rutino. Ok lingvoj en unu monodeponejo signifas ok arojn da idiomaĵoj.
- Dependecoj — la plimulto de kripto en plej multaj aplikaĵoj estas plenumata de bibliotekoj, kiujn la teamo neniam intence elektis: BouncyCastle, OpenSSL, libsodium, node-forge, PyCryptodome, Tink. Kiu algoritmo efektive funkcias estas eco de la biblioteko, ne de via kodo.
- Atestiloj kaj ŝlosila materialo — X.509-atestiloj konservitaj en deponejoj, PEM-ŝlosildosieroj en agordaj dosierujoj, ŝlosilstokejoj bakitaj en bildojn.
- Infrastrukturo-kiel-kodo kaj protokola konfiguracio — minimuma TLS-versio en Terraform-modulo, listo de ĉifro-aro en enira regilo, SSH-konfiguracio en baza bildo.
- Ujbildoj kaj kompilitaj duumaj dosieroj — kriptaj bibliotekoj ligitaj en tavolojn, kiujn neniu fontoskanaĵo iam legas.
- Triapartaj produktoj kaj SaaS — la kriptomonon, kiun vi nek povas vidi nek ŝanĝi, nur demandi pri ĝi.
- HSM-oj, ŝlosiladministradaj servoj kaj retaj aparatoj — la kripto kiu vivas tute ekster programaro.
La kvar aferoj, kiuj faras ĉi tion programo, ne skanilo
Honesta priraportado. Inventaro estas pruvo nur se ĝi deklaras siajn proprajn limojn. "Ni skanis fontkodon, dependecojn, atestilojn, ŝlosildosierojn kaj IaC "agordo; ni ne skanis rultempan trafikon, TLS-manpremojn, HSM-enhavon, kompilitajn duumajn dosierojn aŭ kontenertavolojn" estas defendebla pozicio. Nombro sen denominatoro ne estas.
Priorizado, ne listigo. Granda bieno produktas milojn da kripto-trovoj. Plata listo estas neuzebla. La rangotabelo, kiu gravas, kombinas kvar aferojn: ĉu la algoritmo estas mallonge rompita aŭ nur Grover-malfortigita; kiom longe la datumoj, kiujn ĝi protektas, devas resti konfidencaj (la HNDL-faktoro); ĉu ili estas eksponitaj al reto; kaj ĉu ili estas efektive atingeblaj en kuranta kodo anstataŭ sidi en testa aranĝo aŭ vendista specimeno. Ĉiu vojmapo, kiu diras "altriskaj uzkazoj unue", eldonas prioritatigan instrukcion, kaj vi ne povas respondi ĝin el alfabeta listo.
Lerteco, ne nur anstataŭigo. Kiel montris la anstataŭiga mapo, la celaro ankoraŭ moviĝas kaj la hibridaj reguloj malsamas laŭ regiono — la ŝanĝo, kiun vi faros en 2027, ne estos via lasta. Fiksaj algoritmaj nomoj, fiksitaj ĉifro-serioj, neniu provizanta abstraktado kaj ne-negoceblaj protokolversioj estas tio, kio igas la... sekva ŝanĝi al alia plurjara projekto. Ĉi tiuj estas trovoj en si mem, malmultekostaj por ripari nun kaj multekostaj por ripari poste.
La provizoĉeno. Vi ne povas migri pli rapide ol via plej malrapida suprenflua procezo. Kiuj el viaj dependecoj subtenas PQC, kiuj ofertas hibridajn reĝimojn, kiuj publikigis vojmapon, kiuj entute publikigas CBOM — tio determinas vian kritikan vojon, kaj ĝi ankaŭ estas la pruvo, kiun aĉetteamo bezonas laŭ NIS2 kaj DORA provizant-riskaj devoj.
Unu plia kaptilo: la stokregistro estas kontrolo, ne projekto
La instinkto estas fari malkovran ekzerconcise, kreu kalkultabelon, kaj arkivu ĝin. PCI DSS jam ekskludas tion per sia dekdu-monata revizia ciklo; la hispana CCN fermas sian migradan kontrolliston per "ĝisdatigi la inventaron de kriptografiaj aktivaĵoj kaj iliaj dependecoj"; kaj la usona efektiviga memorando estas eĉ pli rekta:
Konsiderante la amplekson kaj kompleksecon de federaciaj IT-medioj, manaj aliroj al malkovro kaj administrado de kriptografio ofte ne sufiĉas. Agentejoj devus uzi aŭtomatigon kiam fareble kaj konvene por atingi ampleksan kaj konstante ĝisdatigitan komprenon pri sia kriptografia pozicio. Aŭtomatigo estas kritika por stokregistro-administrado, devigo de politikoj kaj raportado pri plenumo de regularoj.
Kriptografio ŝanĝiĝas: programisto aldonas bibliotekon, baza bildo ŝanĝiĝas, nova servo venas kun defaŭlta ĉifro-aro. Stokregistro regenerita ĉe ĉiu konstruo estas kontrolo; unu regenerita ĉiujare permane estas arkeologia projekto, kiun vi ripetos eterne.
Kion signifas "PQC-preteco" en praktiko
Forigu la lingvaĵon de la vendisto, kaj la preteco por PQC estas la kapablo produkti ses aferojn laŭpete:
- Kriptografia inventaro en standard maŝinlegebla formato, kovranta la videblajn surfacojn, regenerita aŭtomate.
- Klasifiko de risko de ĉiu aktivaĵo en ĝi: devas esti anstataŭigita (Shor-rompita), povas esti hardita surloke (Grover-malfortigita), aŭ jam kvantum-sekura.
- Rangita migrada restakumuliĝo tio reflektas datenlongecon, eksponiĝon kaj atingeblecon — do "altriskaj uzkazoj unue" estas respondebla.
- Priraporta deklaro kiu eksplicite nomas viajn blindajn punktojn.
- Pruvoj pri plenumo mapitaj al la reĝimoj, kiuj efektive ligas vin, kun iliaj datoj.
- Vido pri preteco de provizoĉeno dirante al vi, kiuj suprenfluoj blokas vian migradon.
Ĉio alia — ŝlosilorotacio, atestilvivciklo, HSM-orkestrado, retmalkovro — gravas, sed ĝi estas post ĉi tiuj ses. Vi ne povas rotacii tion, kion vi ne trovis.
Kiel Xygeni helpas
Ksgenio Kvantum-Sekura Konformeco kapablo produktas ĉiujn ses el la skanado kiu jam funkcias en via pipelineNeniu aparta kripto-posedaĵa produkto, neniu agento, neniu ŝanĝo al kiel vi konstruas — kripto-malkovro funkcias kune kun la SCA (analizo de programara konsisto — la dependeca skanado), SAST (statika aplikaĵa sekurectestado — la fontkoda skanado) kaj IaC analizon, kiun vi jam havas.
1 · La CBOM. Xygeni elsendas CycloneDX CBOM-on kovrantan la kvar tipojn de kriptaj aktivaĵoj — algoritmojn, protokolojn, atestilojn kaj rilatan materialon kiel ŝlosilojn kaj salojn — tra Java, Kotlin, JavaScript/TypeScript, Python, Go, C#, PHP kaj Swift, kaj ligas ĉiun algoritmon al la biblioteko, kiu efektivigas ĝin. Kriptaj aktivaĵoj estas bonegaj stokregistro-objektoj sur la platformo, kune kun komponantoj, vundeblecoj, sekretoj kaj... IaC trovaĵoj, do ili portas la saman devenon kaj historion. Ŝlosila materialo neniam estas inkludita en la inventaro — nur ĝia ĉeesto, tipo kaj loko.
2 · Kvantum-riska klasifiko. Ĉiu aktivaĵo estas etikedita mallong-rompita (publika ŝlosilo, devas esti anstataŭigita), grover-malfortigita (simetria aŭ haŝiŝa, hardebla surloke) aŭ pqc-sekura, kaj markita pro HNDL-malkovro. La sama distingo pelas la SAST konsiloj pri riparado, kiuj disbranĉiĝas sur primitiva klaso: RSA kaj ECC ricevas "migradon al ML-KEM aŭ ML-DSA, kun hibrida konstruo dum la transiro", dum AES-128 kaj SHA-256 ricevas "pligrandigon de la ŝlosilo aŭ kompendio". Ĉi tio estas intenca - konsili pli grandan RSA-ŝlosilon kontraŭ kvantuma kontraŭulo estas pli malbone ol diri nenion, kaj ajna ilo, kiu kunfandas la du kazojn, faros ĝuste tion.
3 · La rangigita migrada restakumuliĝo. Anstataŭ plata listo, Xygeni taksas ĉiun kvantum-vundebla aktivaĵo je 0-100 laŭ kvantumvundebleco, datenlongviveco kaj sentemeco, retmalkovro, atingeblo kaj komerca valoro, kaj elsendas rangigitan restakumuliĝon. Jen kio transformas "altriskajn uzkazojn antaŭ 2030" de slogano en laboratendon.
4 · La kovromapo. Xygeni raportas kion ĝi rigardis kaj kion ĝi ne rigardis: fontkodon, atestilojn, atribuon de dependecoj, dosierojn de privataj ŝlosiloj kaj IaC konfiguracio estas listigita kiel kovrita, parta aŭ ne skanita, kun rultempa kaj rettrafiko, TLS-manpremoj, HSM kaj KMS-enhavo, kompilitaj duumaĵoj kaj kontener-tavolaj bibliotekoj nomitaj eksplicite kiel blindaj punktoj. Revizoroj bone respondas al ilo kiu deklaras siajn proprajn limojn; do, laŭ nia sperto, ĉu CISVi.
5 · Pruvo pri plenumo. La plenummotoro taksas la kripto-inventaron laŭ ses reĝimoj kaj redonas juĝojn pri sukceso, parta aŭ malsukcesa laŭ iliaj faktaj templimoj: NIST IR 8547, NSA CNSA 2.0, la Vojmapo de EU PQC, kaj la post-kvantaj subaroj de PCI DSS 4.0, Dora kaj NIS2Ĉi tio troviĝas en la sama skanilo por plenumo kiel la CIS Komparnormo pri Programara Provizoĉeno, OWASP SCVS kaj OpenSSF standards, do PQC-posturo raportas tra la sama kanalo kiel la resto de via programara provizoĉena konformeco. Organizoj, kies deviga templimo venas de aliloke — ASD, CCCS, CCN — povas labori laŭ la samaj pruvoj, ĉar tiuj vojmapoj sidas sur la sama skeleto de 2030/2035; nur la fino de 2030-a dato de Aŭstralio devas esti spurita aparte.
6 · Preteco de la provizoĉeno. Ĉiu dependeco portas atributon de post-kvanta preteco — ĉu ĝi subtenas PQC, ĉu ĝi ofertas hibridajn reĝimojn, ĉu ĝi havas publikigitan vojmapon — por ke vi povu vidi, kiuj suprenfluoj sidas sur via kritika vojo, kaj produkti vidon de vendista preteco por akiro.
Preter la ses: rezultoj pri kripto-facilmoveco. Xygeni ankaŭ markas la ŝablonojn, kiuj faras la sekva migrado reverko — fikse kodita algoritmo kaj kurbaj elektoj, mankanta provizanta abstraktado, alfiksitaj heredaĵaj ĉifro-serioj, ne-negoceblaj protokolversioj. Malforta kaj kvantum-vundebla kripto estas devigebla per la sama strategitavolo kiel la resto de viaj trovoj, do net-nova Shor-rompita algoritmo povas esti kaptita en la pull request anstataŭ en la revizio de la venonta jaro.
Ŝlosilaj sendaĵoj
- Trovu vian plej fruan devigan daton antaŭ ol vi planas ion ajn. Plej multaj vojmapoj konverĝas al 2030 por alt-riskaj kaj 2035 por la ceteraj — sed Aŭstralio atendas, ke la tutaj transiro farita antaŭ la fino de 2030, kaj PCI DSS komencis peti la inventaron en 2025.
- Planu laŭ la formo, ne laŭ la jurisdikcio. Malkovro antaŭ 2026–2028, altriska migrado antaŭ 2030–2031, kompletigo antaŭ 2035. Akordigu unufoje kaj vi plenumos la plej multajn el ili; spuru la esceptojn aparte.
- Komencu per la inventaro, ĉar ĉiuj petas ĝin unue — EU, Hispanio, Kanado, Aŭstralio, la MAS kaj PCI DSS de Singapuro ĉiuj malfermiĝas kun la sama livereblaĵo.
- Uzu CBOM kiel la formaton. La EU-vojmapo rekomendas ĝin laŭnome; usonaj gvidlinioj pri la minimumaj elementoj de CBOM estas atendataj ĉirkaŭ marto 2027 kaj eksplicite postulas aŭtomataj takso.
- Neniam kunfandu Shor kaj Grover. Publika ŝlosilo devas esti anstataŭigita; simetria kaj haŝa povas esti harditaj surloke. Konsiloj pri riparado, kiuj konfuzas ĉi tiujn, estas pli malbonaj ol neniuj konsiloj.
- HNDL difinas vian veran templimon. Datumoj, kiuj devas resti konfidencaj post 2035, estas eksponitaj hodiaŭ. Prioritatigu ŝlosilan establon — TLS, IKE, ĉion ajn protektantan datumojn dum transporto — super subskriboj.
- Planu laŭ antaŭtempa tempo, ne nur laŭ risko. Ŝlosila starigo estas urĝa sed rapida; firmvara subskribo kaj PKI ne estas urĝaj sed malrapidaj, kaj malrapidaj eroj devas komenciĝi unue. Ĉio, kion vi ne povas migri — malnova aparataro, frostigitaj triapartaj produktoj — devus esti nomita ĉi-jare, ĉar anstataŭigo estas la sola restanta eblo kaj ĝi bezonas buĝetan ciklon.
- Registru la uzkazon, ne nur la algoritmon. RSA protektanta TLS-manpremon kaj RSA-subskribanta firmvaron estas du malsamaj projektoj, kun malsamaj celoj, templimoj kaj posedantoj. Stokregistro kiu nur listigas algoritmajn nomojn ne povas instigi migradon.
- Postulu honestan kovromapon. Ĉiu ajn ilo, kiu pretendas kompletan kriptografian videblecon de fontoskanado, estas trovendado. Kion ĝi ne povas vidi gravas al la revizoro tiom, kiom kion ĝi povas.
- Konstruu por la dua migrado. FIPS 206 ne estas fina, HQC ne estas standardigita, kaj Ĉinio kaj Koreio estas standardigante siajn proprajn familiojn. Multnacia bieno tenos pli ol unu post-kvantan algoritmaron; kripto-facilecajn rezultojn oni nun malmultekostas kaj oni multekostas en 2031.
- Aŭtomatigu ĝin aŭ ripetu ĝin. Ĉifrita inventaro regenerita ĉe ĉiu konstruo estas kontrolo. Kalkultabelo estas momentfoto kiu komencas drivi en la tago kiam ĝi estas subskribita.
Por legi pli
La plena teknika detalo — kio estas malkovrita, kiel funkcias la kvantum-riska klasifiko kaj prioritata poentado, laŭ kio ĉiu plenumreĝimo estas taksata, kaj kiel akiri la raportojn — troviĝas en la dokumentaro de Xygeni:
- Ksgeni: “Kvantum-Sekura Konformeco“. Xygeni Dokumentoj.
- Ksgeni: “Generu CBOM kun la Xygeni CLI“. Xygeni Dokumentoj.
- Ksgeni: “Subtenata plenumo standards“. Xygeni Dokumentoj.
Standards kaj algoritmoj:
- NIST: “IR 8547 (Komenca Publika Skizo): Transiro al Post-Kvantuma Kriptografio Standards“. Novembro 2024.
- NIST: “FIPS 203 (ML-KEM)","FIPS 204 (ML-DSA)","FIPS 205 (SLH-DSA)“. Aŭgusto 2024.
- NIST: “IR 8545: Statusoraporto pri la Kvara Rondo de la NIST PQC Standardigo Procezo“. Marto 2025.
- NIST: “SP 800-57 Parto 1 Rev. 5: Rekomendo por Ŝlosiladministrado„— Tabelo 2, kompareblaj sekurecaj fortoj.“
- NIST: “SP 800-208: Rekomendo por Stateful Hash-Based Signature Schemes„(LMS, HSS, XMSS, XMSS^MT). Oktobro 2020.“
- IETF: “RFC 9794: Terminologio por Post-Kvantumaj Tradiciaj Hibridaj Skemoj“. Junio 2025.
- Cloudflare: “Stato de la post-kvanta Interreto en 2025" kaj vivaj adoptaj datumoj pri "Cloudflare Radaro".
- CiklonoDX: “Kriptografia Materiallisto (CBOM)"Kaj"CycloneDX v1.7 eldono“. Oktobro 2025.
Naciaj kaj regionaj vojmapoj:
- ASD (Aŭstralio): “Planado por post-kvanta kriptografio“. Septembro 2025.
- NIS-Kunlabora Grupo: “Kunordigita Efektiviga Vojmapo por la Transiro al Post-Kvantuma Kriptografio“. Junio 2025.
- CCN (Hispanio): “CCN-TEC 009 / BP-37 — Rekomendaciones por una transición postcuántica segura“. Julio 2026.
- Eŭropa Komisiono: “Komisiona Rekomendo (EU) 2024/1101" (11 aprilo 2024) kaj "COM(2026) 13 — Propono amendanta Direktivon (EU) 2022/2555 (NIS2)„(20-a de januaro 2026).“
- NCSC (Britio): “Templinioj por migrado al post-kvanta kriptografio“. Marto 2025.
- Kanada Centro por Cibersekureco: “Vojmapo por la migrado al post-kvanta kriptografio por la Registaro de Kanado (ITSM.40.001)“. Junio 2025.
- La Blanka Domo: “Plenuma Ordono 14412 — Sekurigante la Nacion Kontraŭ Altnivelaj Kriptografaj Atakoj„(22-a de junio 2026) kaj OMB“M-26-15„(24-a de junio 2026).“
- NSA: “Post-Kvantumaj Cibersekurecaj Rimedoj (CNSA 2.0)".
- KRIPTREKO (Japanio): “KRIPTREKO„— ML-KEM aldonita al la Listo de Rekomenditaj Ĉifroj, marto 2026.“
- MAS (Singapuro): “Konsilo pri Traktado de la Cibersekurecaj Riskoj Asociitaj kun Kvantumo“. Februaro 2024.
- NZISM (Nov-Zelando): “Preparo por Post-Kvantuma Kriptografio".
- ICCS (Ĉinio): “Instituto de Komerca Kriptografio Standards” — programo por komercaj kriptografiaj algoritmoj de la sekva generacio.
- ITI (Brazilo): “ITI publica Instrução Normativa ke incorpora algoritmos pós-quânticos al ICP-Brasil“. Januaro 2026.
Sektoraj kaj horizontalaj devoj:
- EU: “Direktivo (EU) 2022/2555 (NIS2)"; "Regularo (EU) 2022/2554 (DORA)"; "Delegita Regularo de la Komisiona (EU) 2024/1774 (DORA ICT riskadministrada RTS)"; "Regularo (EU) 2024/2847 (Leĝo pri Ciberrezisteco)".
- PCI-Sekureco StandardKonsilio: “Resumo de Ŝanĝoj de PCI DSS v3.2.1 al v4.0„(postulo 12.3.3).“
fono:
- Craig Gidney: “Kiel faktorigi 2048-bitajn RSA-entjerojn kun malpli ol miliono da bruaj kubitoj“. Google Kvanta AI, majo 2025.
- Michele Mosca: “Cibersekureco en epoko kun kvantumkomputiloj: ĉu ni estos pretaj?". IACRepresaĵo 2015/1075.
