TL; DR
Kryptografia postkwantowa (PQC) oznacza algorytmy kryptograficzne zaprojektowane tak, aby opierały się atakom przyszłego komputera kwantowego dużej skali. Migracja do niej jest obecnie przestarzałym obowiązkiem w Europie, obu Amerykach i regionie Azji i Pacyfiku — nie jest już tematem badań.
Pierwszym elementem dostarczalnym wszędzie jest inwentaryzacja, a nie zmiana kodu. Każdy system, taki jak NIST IR 8547, Przejście do kryptografii postkwantowej StandardsThe Mapa drogowa UE, Hiszpania CCN-TEC 009 i podobne dla innych regionów, a także zalecenia sektorowe, takie jak PCI DSS 12.3.3, zaczyna się od prośby o wymienienie kryptografii, której używasz.
Proponowaną wersją takiego inwentarza zasobów kryptograficznych jest CBOM (Cryptographic Bill of Materials), czyli czytelna dla maszyn lista algorytmów, kluczy, certyfikatów i protokołów używanych przez system. Jest to rozszerzenie dobrze znanego SBOM i zalecane standardznormalizowany format dla tego inwentarza.
Sprawdź najwcześniejszą datę obowiązywania; może to nie być rok 2035. Większość jurysdykcji zrealizuje proces odkrywania do 2026–2028 r., wysokiego ryzyka do 2030–2031 r., a zakończy go do 2035 r. Cele są znane, ale nie stanowią one jednej substytucji. ML-KEM zastępuje wymianę kluczy, ML-DSA zastępuje podpisy ogólnego przeznaczenia, podczas gdy schematy oparte na haszu (SLH-DSA, XMSS/LMS) obejmuje oprogramowanie sprzętowe i długotrwałe korzenie. Kluczowe instalacje są już wysyłane na skalę internetową; certyfikaty i podpisy są opóźnione o lata — dlatego termin realizacji zamówienia i czas realizacji różnią się, a Twój plan wymaga obu.
Ta transformacja to dekada współistnienia, a nie przełączenie. Do połowy lat 2030. XXI wieku większość organizacji będzie korzystać z kryptografii klasycznej i postkwantowej równolegle, a często wręcz w połączeniu: w ramach hybrydowej konstrukcji. Krypto-zwinność To właśnie sprawia, że ten okres jest możliwy do przetrwania. Oznacza to możliwość zmiany algorytmu, parametrów, a nawet decyzji o korzystaniu z hybrydy poprzez konfigurację i politykę, a nie poprzez przepisywanie i ponowne wdrażanie kodu.
Są dwa „zegary”, które tykają, a nie jeden: zegar regulacyjny powyżej i „zbierz teraz, odszyfruj później” (HNDL). Ta druga metoda polega na tym, że przeciwnicy rejestrują dziś zaszyfrowany ruch, aby odszyfrować go, gdy powstanie komputer kwantowy. Oznacza to, że dane o długim okresie poufności są już ujawnione.
Najtrudniejszą rzeczą nie są algorytmy, lecz odkrycia. Kryptografia kryje się w kodzie źródłowym, zależnościach, certyfikatach, plikach kluczy, infrastrukturze jako kodzie, obrazach kontenerów, konfiguracji protokołów i produktach firm trzecich. Wiarygodny inwentarz musi uczciwie ujawnić to, czego nie widzi.
Xygeni może pomóc Ci przygotować się do PQC, generując raport CBOM, klasyfikując każdy kryptoaktyw według ryzyka kwantowego, oceniając zaległości w migracji według narażenia na HNDL, mapując wyniki na sześć systemów regulacyjnych oraz raportując gotowość Twoich zależności po kwantowej transformacji. Szczegóły: Zgodność z normami Quantum-Safe.
Co komputer kwantowy psuje, a czego nie
To rozróżnienie jest najważniejszym faktem technicznym dla odbiorców GRC, ponieważ decyduje, czy ustalenie jest projekt wymiany lub zmiana konfiguracji. Błędne podejście skutkuje poradami, które są nie tylko bezużyteczne, ale wręcz szkodliwe.
algorytm faktoryzacji shora — algorytm kwantowy, który rozkłada duże liczby całkowite i efektywnie oblicza logarytmy dyskretne — strukturalnie łamie dzisiejszą kryptografię klucza publicznego: RSA, ECDSA, EdDSA, Diffie-Hellmana i ECDH, czyli DSA. Istnieje brak poprawki rozmiaru kluczaKlucz RSA 4096-bitowy nie jest znacząco bezpieczniejszy niż klucz 2048-bitowy w starciu z przeciwnikiem kwantowym. Te algorytmy muszą być otrzymujeTo samo dotyczy wariantów krajowych opartych na tej samej matematyce — na przykład chiński SM2 opiera się na krzywej eliptycznej i dlatego jest tak samo narażony.
Algorytm Grovera — algorytm wyszukiwania kwantowego — osłabia szyfry symetryczne i funkcje skrótu, ale tylko poprzez zmniejszenie ich efektywnej siły o około połowę. Są to utwardzalny na miejscu:przejście z AES-128 na AES-256, z SHA-256 na SHA-384 lub SHA-512. Dokument NIST IR 8547 bezpośrednio to podkreśla: symetryczne podejście NIST standard„są znacznie mniej podatne na znane ataki kwantowe niż kryptografia klucza publicznego standards”, a także każdy zatwierdzony symetryczny prymityw oferujący co najmniej 128 bitów klasycznego bezpieczeństwa nadal spełnia najniższą kategorię bezpieczeństwa postkwantowego NIST.
Maszyna, która to zrobi, nazywa się Jakość życia - a komputer kwantowy o znaczeniu kryptograficznymPolityka publiczna ostrożnie podchodzi do kwestii jego statusu; amerykańskie memorandum wykonawcze jasno to stwierdza: „Nie wiadomo jeszcze o istnieniu CRQC, ale stały postęp w dziedzinie komputerów kwantowych może doprowadzić do powstania CRQC w nadchodzącej dekadzie”.
Zmieniło się nie to, że maszyna się pojawiła – ale to, że szacunki jej zapotrzebowania stale się kurczą. W maju 2025 roku Craig Gidney z Google Quantum AI opublikował szacunki zasobów, z których wynikało, że RSA-2048 można obliczyć w mniej niż tydzień za pomocą komputera kwantowego z mniej niż milionem zaszumionych kubitów — mniej więcej dwudziestokrotna redukcja w porównaniu z jego własną prognozą z 2019 roku, wynoszącą około 20 milionów. To szacunki inżynieryjne, ale szacunki, które spadają 20-krotnie w ciągu sześciu lat, to dokładnie taki trend, za który funkcja ryzyka powinna być poważnie traktowana.
Zegar, który już się rozpoczął: zbieraj teraz, odszyfruj później
Zbierz teraz, odszyfruj później (HNDL) To praktyka przechwytywania zaszyfrowanego ruchu lub danych i przechowywania ich do czasu odszyfrowania przez CRQC. Zamienia ona przyszłą funkcjonalność w dzisiejsze narażenie na ryzyko dla wszystkiego, co musi pozostać poufne przez lata: dokumentacji medycznej, akt prawnych, własności intelektualnej, tajemnic państwowych, długoterminowych poświadczeń, podpisanych dowodów.
Organy regulacyjne przestały się tym zabezpieczać. Propozycja Komisji Europejskiej ze stycznia 2026 r. dotycząca nowelizacji NIS2 stanowi w motywie 8, że „możliwość ataków typu »zbieraj teraz – odszyfruj później«, prawdopodobnie występujących już teraz, oraz przyszłe ryzyko związane z atakami kwantowymi na fałszowanie podpisów” uzasadniają tę zmianę.
Konsekwencją planowania jest prosta arytmetyka, argument, który Michele Mosca wysuwa od 2015: dodaj liczbę lat, przez które Twoje dane muszą pozostać poufne, do liczby lat, przez które potrwa migracja. Jeśli ta suma przekroczy punkt, w którym CRQC prawdopodobnie istnieje, jesteś już spóźniony. W przypadku większości regulowanych organizacji, wieloletnia migracja plus dekada przechowywania danych zdecydowanie przekracza wszelkie wiarygodne szacunki.
NIST wyciąga wniosek operacyjny z IR 8547: „spodziewa się priorytetowego traktowania migracji do schematów ustanawiania klucza odpornych na ataki kwantowe… w celu ochrony przed atakami typu „zbierz teraz, odszyfruj później”, szczególnie w protokołach interaktywnych, takich jak TLS i IKE”. Najpierw ustanowienie klucza, potem podpisy – kolejność fazowania w USA jest dosłowna, a ustanowienie klucza postkwantowego powinno nastąpić na cały rok przed podpisami. (IKE to protokół negocjacji klucza, na którym opierają się sieci VPN IPsec).
Dlaczego jest to problem GRC, a nie problem kryptografii?
Istnieją trzy powody, dla których to trafia na biurka CISSpecjaliści ds. systemów operacyjnych i zgodności, zamiast zatrudniać inżynierów ds. kryptografii.
Terminy te wynikają z przepisów prawa, a nie z fizyki. Nikt nie wie, kiedy pojawi się CRQC. Każdy może sprawdzić, że UE oczekuje migracji przypadków użycia wysokiego ryzyka do końca 2030 roku, a australijski ASD oczekuje, że cała transformacja gotowy do końca 2030 r., a NIST po 2030 r. wycofuje RSA i kryptografię krzywych eliptycznych na poziomie bezpieczeństwa 112-bitowego i zabrania wszelkiej kryptografii klucza publicznego podatnej na ataki kwantowe po 2035 r. Daty te podlegają audytowi, natomiast oś czasu dotycząca szyfrowania kwantowego nie.
Pierwszym produktem jest artefakt audytu. Zanim jakikolwiek algorytm zostanie zmieniony, każdy reżim zadaje sobie to samo pytanie: jaką masz kryptografię i gdzie? To jest obowiązek inwentaryzacji – dokument zarządzania, który ma właściciela, częstotliwość przeglądów i wymogi dowodowe. PCI DSS wymaga właśnie tego od marca 2025 r., niezależnie od ilości.
To problem zamówień publicznych. Większość kryptografii w Twojej infrastrukturze nie należy do Ciebie. Znajduje się ona w bibliotekach, platformach, urządzeniach, dostawcach SaaS i terminalach płatniczych. Plan działania UE nakazuje podmiotom „tworzenie map zależności… uwzględniając zarówno zależności wewnętrzne, jak i zależności od podmiotów zewnętrznych”; ASD publikuje towarzyszącą listę pytań postkwantowych, które należy zadać dostawcom. Oba te działania dotyczą zarządzania dostawcami i wymagają dowodów, które możesz przedstawić audytorowi.
Zasadaebook:co tak naprawdę cię dotyczy
Algorytmy są ustalone
NIST sfinalizował rdzeń postkwantowy standardw sierpniu 2024 r. — ML-KEM do założenia klucza (FIP 203), A ML-DSA (FIP 204) i SLH-DSA (FIP 205) do podpisów — więc nie ma już „czekania na standardobrona „s”. A KEM, czyli mechanizm hermetyzacji klucza, jest postkwantowym zamiennikiem wymiany kluczy: ustanawia wspólny sekret pomiędzy dwiema stronami i jest elementem zatrzymującym HNDL.
Kolejne dwa są już w locie: FN-DSA (FIPS 206, oparty na Falconie) nie został jeszcze opublikowany nawet w wersji roboczej, a HQC został wybrany w marcu 2025 r. jako oparty na kodzie mechanizm enkapsulacji klucza zapasowego, udokumentowany w NIST IR-8545. Żaden z nich nie powinien blokować planu dzisiaj, ale oba są powodem do budowy krypto-zwinność — możliwość zmiany algorytmu poprzez konfigurację, a nie przez przepisywanie kodu. Który z Twoich algorytmów staje się który, jest określone w mapa zastępcza dalej w dół.
Oś czasu odniesienia: NIST IR 8547
NIST IR 8547, Przejście do kryptografii postkwantowej Standards, to dokument, z którym kalibruje się większość innych map drogowych, ponieważ określa daty wycofania klasycznej kryptografii klucza publicznego:
Uwaga dotycząca jednostek: NIST stwierdza siła bezpieczeństwa, nie długość klucza. Na SP 800-57 Część 1 Wersja 5, Tabela 2, poziom siły 112-bitowej to RSA-2048 i krzywe eliptyczne o kolejności 224–255 bitów (P-224); poziom 128-bitowy to RSA-3072 i krzywe 256–383 bitów (P-256). Zatem „112-bitowy RSA” to nie klucz 112-bitowy — to RSA-2048 nadal kończy znaczną część produkcyjnego TLS. A wszechobecne parowanie P-256 / RSA-3072 to nie w koszyku wycofania z 2030 roku; znajduje się w koszyku wykluczeń z 2035 roku. Oba koszyki kończą się w tym samym miejscu: po 2035 roku żaden algorytm klucza publicznego podatny na ataki kwantowe nie zostanie zatwierdzony przy żadnym rozmiarze parametru.
Warto wiedzieć o jednym zastrzeżeniu, zanim je zacytujesz w swoim poradniku committrójnik: IR 8547 jest nadal wstępnym projektem publicznym — opublikowano w listopadzie 2024 r., okres konsultacji zakończył się w styczniu 2025 r., w chwili pisania tego tekstu nie ma wersji ostatecznej. Nie przeszkodziło to jednak w staniu się punktem odniesienia dla krajowych planów działania i produktów dostawców. Xygeni w zestawie, skalibruj go. Zwróć też uwagę na to, co to jest nie jest:nie mówi nic o zapasach, odkryciach ani krypto-zwinności. Te zobowiązania pochodzą z innych źródeł.
Mapa globalna: kto co mówi i kiedy
W poniższej tabeli podsumowano ramy regulacyjne według regionu:
Trzy rozbieżności są warte więcej niż jeden wiersz w tabeli.
- Australia wyprzedza wszystkie inne kraje o pięć lat. Wytyczne ASD nie brzmią „wycofać słabe parametry do 2030 r.”, lecz „zakończyć transformację do końca 2030 r.”, a ISM zaleca zaprzestanie stosowania tradycyjnej kryptografii asymetrycznej, „w tym algorytmów kryptograficznych, takich jak algorytmy Rivesta-Shamira-Adlemana (RSA), algorytm Diffiego-Hellmana (DH), algorytm krzywych eliptycznych Diffiego-Hellmana (ECDH) i algorytm podpisu cyfrowego krzywych eliptycznych (ECDSA)” do tej daty. Jeśli prowadzisz działalność w Australii lub sprzedajesz do australijskich łańcuchów dostaw rządowych, to jest to data wiążąca, a nie 2035 r.
- Chiny działają w sposób suwerenny. Nie przyjęto ML-KEM i ML-DSA; instytut Państwowej Administracji Kryptografii ogłosił własne zaproszenie do składania wniosków na komercyjne algorytmy nowej generacji, a termin składania wniosków upływa w czerwcu 2026 r. standards do naśladowania. Dla korporacji międzynarodowych oznacza to planowanie drugiej rodziny algorytmów postkwantowych w tym samym stanie, z SM2 – opartym na krzywych eliptycznych, a więc równie złamanym przez Shora – jako tym, który ma szansę odejść. Kryptozwinność przestaje być tutaj abstrakcją.
- W większości krajów świata nie obowiązuje w ogóle krajowy nakaz PQC — i niewiele to zmienia. W większości krajów Ameryki Łacińskiej, a także w dużej części Bliskiego Wschodu i regionu Azji i Pacyfiku nie ogłoszono jeszcze ostatecznego terminu PQC. Zobowiązania wciąż napływają trzema kanałami, które ignorują granice: regulatorzy sektorowi (ostrzeżenie dla instytucji finansowych w stylu singapurskim; oczekiwania banku centralnego), standards, które już wymagają inwentaryzacji kryptograficznej (zestawy kontrolne PCI DSS, ISO/IEC 27001) i klientów. Dostawca dla nabywcy federalnego z UE, Australii lub USA dziedziczy swój termin na mocy umowy.
Co w ogóle wiąże organizację prywatną
Odłóżmy na chwilę na bok krajowe plany działania. Dla większości organizacji prywatnych egzekwowalne zobowiązania wynikają z czterech źródeł, z których żadne nie zostało określone w odniesieniu do kwot:
- 2 XNUMX NIS (Dyrektywa (UE) 2022/2555) wymaga w art. 21 ust. 2 lit. h) „polityk i procedur dotyczących stosowania kryptografii, a w stosownych przypadkach szyfrowania” jako podstawowego środka zarządzania ryzykiem. COM(2026) 13 wyraźnie określiłby wymiar kwantowy poprzez dodanie przejścia na PQC do art. 7 ust. 2.
- DORA - Ustawa o cyfrowej odporności operacyjnej i jego techniczne standards, Rozporządzenie delegowane Komisji (UE) 2024/1774Artykuł 6 nakłada na podmioty finansowe obowiązek uwzględnienia w swojej polityce szyfrowania „postanowień dotyczących aktualizacji lub zmiany, w razie potrzeby, technologii kryptograficznej w oparciu o rozwój kryptoanalizy”, a w przypadku braku możliwości aktualizacji, „wprowadzenia środków łagodzących i monitorujących, które zapewnią odporność na cyberzagrożenia”. Jest to obowiązek krypto-zwinności, z którym wiąże się nadzór, a w jego preambule wyraźnie wymieniono postęp kwantowy.
- Wymagania PCI DSS v4.0 12.3.3 — ten, który większość organizacji i tak już zaniedbuje, nie zdając sobie z tego sprawy, to ukryty wymóg PQC. PCI SSC opisuje go jako „nowy wymóg dokumentowania i przeglądania używanych zestawów szyfrów kryptograficznych i protokołów co najmniej raz na 12 miesięcy” i przestał być najlepszą praktyką. Marzec 31 2025Brak terminu PQC, brak listy algorytmów kwantowych — ale coroczny inwentarz kryptograficzny i udokumentowany plan reagowania na zmiany kryptograficzne są gotowecisTylko kontrole, których potrzebuje program PQC, są już wdrożone i zweryfikowane.
- Kaskada zamówień. Dwie klauzule mają szerszy zasięg niż jakakolwiek krajowa mapa drogowa. Ustawa o odporności cybernetycznej (Rozporządzenie (UE) 2024/2847) obowiązuje od 11 December 2027 i już robi SBOM Obowiązek producenta w przypadku produktów z elementami cyfrowymi – nie nakazuje on sporządzania CBOM, ale ustanawia maszynowo czytelne zestawienia materiałowe jako artefakty zgodności produktu. W Stanach Zjednoczonych EO 14412 nakazuje Radzie ds. Regulacji Zamówień Publicznych (FAR) zaproponowanie przepisu wymagającego objęci wykonawcy aby spełnić wymagania NIST FIPS obejmujące algorytmy PQC do 31 grudnia 2030 r.i — klauzula o najszerszym zakresie — nakazy CISA i NIST opublikują w ciągu 270 dni (około Marzec 19 2027), „publiczne wytyczne opisujące przemyślane stanowisko agencji w sprawie minimalnych elementów składowych kryptograficznego zestawienia materiałów. Elementy te powinny umożliwiać automatyczną ocenę zasobów kryptograficznych wykorzystywanych przez element sprzętowy lub programowy”.
Ta ostatnia kwestia ma znaczenie wykraczające daleko poza Waszyngton. „Minimalne elementy dla SBOM„jest przedcisJak specyfikacja materiałowa oprogramowania przeszła od dobrego pomysłu do artefaktu kontraktowego na całym świecie. CBOM podąża teraz tą samą ścieżką, z zautomatyzowana ocena jest to wpisane w wymaganie — ręczny arkusz kalkulacyjny go nie spełni.
Format: CycloneDX CBOM
CyklonDX jest standard co nadaje CBOM konkretny kształt. Wersja 1.7wydana 21 października 2025 r. i ratyfikowana jako ECMA-424, wydanie 2, jest obecną wersją skoncentrowaną na kryptografii: dodaje standardzredagowana lista kryptograficzna rodziny algorytmów i obszerną listę krzywe eliptyczne, wyraźnie w celu wspierania „audytów, przeglądów zgodności i ocen gotowości PQC”. CycloneDX CBOM opisuje cztery rodzaje aktywów kryptograficznych — algorytmy, protokoły, certyfikaty i powiązane materiały, takie jak klucze, IV i sole — oraz komponenty oprogramowania, które je implementują.
Wniosek jest konkretny, ale przydatny: gdy zostaną opublikowane minimalne elementy CBOM, CycloneDX będzie formatem, o którym rynek już będzie głośno.
Skonsolidowana oś czasu
Wzór ma prawie wszędzie ten sam kształt: odkrycie do 2026–2028 r., migracje wysokiego ryzyka do 2030–2031 r., wszystkie pozostałe do 2035 r. Zaplanuj wszystko w oparciu o ten kształt, a będziesz w dużej mierze zgodny ze wszystkimi. Następnie znajdź pojedynczą datę, która łączy w zgodzie ze sobą po pierwsze — rzadko jest to rok 2035, a dla wszystkich objętych zakresem PCI DSS obowiązek inwentaryzacji rozpoczął się już w 2025 r.
Sama migracja: co zastępuje co
Terminy to tylko połowa briefingu. Drugą połowę stanowi to, co faktycznie migrujesz. do — a odpowiedzią nie jest jedna zamiana, ale kilka, o różnym stopniu dojrzałości, różnych rozmiarach i bardzo różnych terminach realizacji.
Mapa zastępcza
Hybrydowy — połączenie algorytmu postkwantowego z klasycznym w taki sposób, że atakujący musi złamać oba — jest domyślną postawą podczas przejścia, a RFC 9794 (czerwiec 2025) wreszcie standardZdefiniowano dla niego słownictwo („hybryda PQ/T”). Polityka w tym zakresie jest rozbieżna, więc jest to kwestia jurysdykcji, a nie preferencji inżynieryjnych: hiszpańska CCN zaleca hybrydyzację podpisów opartych na sieci (ML-DSA, FN-DSA), jednocześnie stwierdzając, że schematy oparte na skrótach (XMSS, SLH-DSA) tego nie wymagają, a stanowisko UE jest generalnie przyjazne dla hybrydyzacji; CNSA 2.0 z kolei oczekuje czystej PQC dla systemów bezpieczeństwa narodowego. Korporacja międzynarodowa będzie potrzebowała obu konfiguracji, co przemawia za wyborem konfiguracji algorytmu, a nie kodu.
Czego nie można zastąpić
NIST ma standardZdefiniowano dokładnie dwie rzeczy: enkapsulację kluczy i podpisy cyfrowe. To wystarcza dla większości systemów, a dla reszty nic. Jeśli Twoje systemy opierają się na konstrukcjach opartych na parowaniu, szyfrowaniu opartym na tożsamości lub atrybutach, sygnaturach progowych, ślepych lub grupowych, lub innej zaawansowanej kryptografii na poziomie protokołu, nie ma zatwierdzonego odpowiednika postkwantowego, do którego można by migrować dzisiaj — szczerą odpowiedzią jest zidentyfikowanie tych zastosowań już teraz, oznaczenie ich jako nierozwiązanych i zaprojektowanie wyjścia, zamiast czekać na… standardTo samo dotyczy sprzętowych źródeł zaufania: modułów HSM (sprzętowych modułów bezpieczeństwa), modułów TPM i kart inteligentnych, które działają w oparciu o cykle odświeżania układów scalonych dłuższe niż okno regulacyjne.
Nie jedna migracja, ale kilka z różnymi terminami realizacji
W tym miejscu mapa zastępcza zmienia harmonogram gotowości. Kolejność pilności i kolejność realizacji nie są takie same, a plan oparty tylko na jednym z nich nie dotrzyma terminu.
- Dane w tranzycie — ustalenie klucza. Najwyższa pilność (to powierzchnia HNDL) i najkrótsza Czas realizacji: w przypadku większości stosów jest to aktualizacja biblioteki i zmiana konfiguracji. Jest to również demonstracyjnie wykonalne — donosi Cloudflare w Październik 2025 że ponad połowa ruchu inicjowanego przez człowieka do jego sieci korzystała już z uzgadniania kluczy postkwantowych. Luka jest po Twojej stronie połączenia: tylko ~39% ze 100 000 największych publicznych serwerów WWW obsługiwało tę funkcję, a 3.7% serwerów źródłowych korzystało z Cloudflare. Aktualne dane są… Radar rozbłysku chmur. Zacznij tutaj i zakończ wcześnie.
- Podpisywanie kodu, oprogramowania sprzętowego i bezpiecznego rozruchu. Niska pilność HNDL — nikt nie zbiera podpisu — ale długi czas realizacji i wczesny termin, ponieważ urządzenie wprowadzone na rynek w 2027 r. musi nadal weryfikować podpisy w 2040 r., a korzenie podpisów mają żywotność ponad dekady. standardsą już gotowe (SP 800-208, SLH-DSA); CNSA 2.0 i hiszpański CCN stawiają podpisywanie oprogramowania sprzętowego na czele kolejki właśnie z tego powodu. Zacznij teraz, mimo że sprawa nie jest zbyt pilna.
- PKI i certyfikaty. Nie masz wpływu na ten harmonogram. Nie oczekiwano, że certyfikaty post-kwantowe będą szeroko dostępne i wiarygodne w różnych przeglądarkach przed 2027 rokiem, hybrydowe formaty certyfikatów były nadal niepewne w IETF pod koniec 2025 roku, a rozmiary łańcuchów wzrosły kilkukrotnie. Pilot i budżet; nie obiecuj terminu, którego nie jesteś pewien.
- Dane w spoczynku i archiwa długotrwałe. Szyfrowanie zbiorcze jest w porządku — AES-256 to zmiana parametru. Ujawnienie następuje w hierarchii kluczy powyżej: opakowywanie i transport kluczy z wykorzystaniem RSA lub ECDH. Kampanie ponownego szyfrowania są powolne i dotyczą kopii zapasowych, archiwów i depozytów.
- Systemy wbudowane, OT (technologie operacyjne — systemy przemysłowe i sterowania) oraz systemy stron trzecich. Cykle odświeżania są dłuższe niż okno, a niektóre zasoby po prostu nie nadają się do migracji. W takich przypadkach rozwiązaniem jest wymiana, kompensacja kontroli lub udokumentowane, akceptowane ryzyko – im wcześniej je wybierzesz, tym tańsza będzie każda z tych opcji.
Dwie praktyczne konsekwencje dla planu GRC. Po pierwsze, planuj wstecz od najwcześniejszej wiążącej daty według czasu realizacji, a nie tylko według wyniku ryzyka:ranking zaległości informuje Cię, co należy naprawić w pierwszej kolejności spośród rzeczy, które mogą szybko naprawić; lista terminów realizacji podpowiada, co należy zrobić początek po pierwsze, bez względu na wszystko. Po drugie, inwentaryzacja musi rejestrować przypadek użycia, a nie tylko algorytm„RSA-2048 w tym repozytorium” nie jest aktem wykonawczym; „RSA-2048 używany do przesyłania kluczy w usłudze publicznej” i „RSA-2048 używany do podpisywania oprogramowania sprzętowego” to dwa różne projekty z dwoma różnymi celami, dwoma różnymi terminami i dwoma różnymi właścicielami. Dlatego inwentaryzacja musi uwzględniać klasę prymitywną i powierzchnię, na której znaleziono kryptografię, a nie tylko nazwę algorytmu — i dlatego jej stworzenie okazuje się trudniejsze, niż się wydaje.
Dlaczego przygotowanie do PQC jest trudne: kryptografia naprawdę jest wszędzie
Każdy system wymaga najpierw inwentaryzacji, ponieważ inwentaryzacja jest najtrudniejszą częścią. Organizacje odkrywają to od razu, gdy tylko spróbują.
Gdzie tak naprawdę kryje się kryptografia
- Zadzwoń do witryn w swoim własnym źródle — szyfr skonstruowany w usłudze, skrót wybrany w klasie narzędziowej, krzywa nazwana w procedurze podpisywania. Osiem języków w jednym monorepozytorium oznacza osiem zestawów idiomów.
- Zależności — większość szyfrowania w większości aplikacji jest wykonywana przez biblioteki, których zespół nigdy nie wybrał celowo: BouncyCastle, OpenSSL, libsodium, node-forge, PyCryptodome, Tink. To, który algorytm zostanie faktycznie uruchomiony, zależy od biblioteki, a nie od kodu.
- Certyfikaty i materiały kluczowe — Certyfikaty X.509 wczytane do repozytoriów, pliki kluczy PEM w katalogach konfiguracyjnych, magazyny kluczy wbudowane w obrazy.
- Konfiguracja infrastruktury jako kodu i protokołu — minimalna wersja protokołu TLS w module Terraform, lista szyfrów w kontrolerze wejściowym, konfiguracja protokołu SSH w obrazie bazowym.
- Obrazy kontenerów i skompilowane pliki binarne — biblioteki kryptograficzne połączone w warstwy, których niczyje skanowanie źródła nigdy nie odczyta.
- Produkty innych firm i SaaS — kryptowaluty, której nie możesz zobaczyć ani zmienić, możesz o nią tylko zapytać.
- HSM-y, usługi zarządzania kluczami i urządzenia sieciowe — kryptowaluta, która istnieje całkowicie poza oprogramowaniem.
Cztery rzeczy, które sprawiają, że jest to program, a nie skan
Uczciwe relacje. Inwentaryzacja stanowi dowód tylko wtedy, gdy określa własne ograniczenia. „Przeskanowaliśmy źródło, zależności, certyfikaty, pliki kluczy i IaC „Konfiguracja; nie skanowaliśmy ruchu w czasie wykonywania, uzgadniania TLS, zawartości HSM, skompilowanych plików binarnych ani warstw kontenerów” jest stanowiskiem możliwym do obrony. Liczba bez mianownika nie jest.
Priorytetyzacja, nie wyliczanie. Duża posiadłość generuje tysiące odkryć kryptograficznych. Płaska lista jest bezużyteczna. Ranking, który ma znaczenie, łączy cztery czynniki: czy algorytm jest uszkodzony przez Shora, czy jedynie osłabiony przez Grovera; jak długo chronione przez niego dane muszą pozostać poufne (czynnik HNDL); czy są one dostępne w sieci; oraz czy są faktycznie osiągalne w działającym kodzie, a nie zalegają w środowisku testowym lub w próbce dostarczonej przez dostawcę. Każda mapa drogowa, która mówi „najpierw przypadki użycia wysokiego ryzyka”, wydaje instrukcję priorytetyzacji, a odpowiedzi nie można uzyskać z listy alfabetycznej.
Zwinność, nie tylko wymiana. Jak pokazała mapa zastępcza, zestaw docelowy wciąż się zmienia, a zasady hybrydowe różnią się w zależności od regionu — zamiana, którą dokonasz w 2027 roku, nie będzie ostatnią. Zakodowane na stałe nazwy algorytmów, przypięte zestawy szyfrów, brak abstrakcji dostawcy i nienegocjowalne wersje protokołów to czynniki, które zmieniają… Następny zamienić na inny wieloletni projekt. To odkrycia same w sobie, tanie w naprawie teraz, ale drogie w naprawie później.
Łańcuch dostaw. Nie można migrować szybciej niż najwolniejszy dostawca. To, które z Twoich zależności obsługują PQC, które oferują tryby hybrydowe, które opublikowały mapę drogową, które w ogóle publikują CBOM — to determinuje Twoją ścieżkę krytyczną, a także jest dowodem, którego potrzebuje zespół ds. zaopatrzenia w ramach zobowiązań dotyczących ryzyka dostawców wynikających z NIS2 i DORA.
Kolejna pułapka: inwentaryzacja jest kontrolą, a nie projektem
Instynkt nakazuje przeprowadzenie ćwiczenia odkrywczegocisnp. utwórz arkusz kalkulacyjny i złóż go. PCI DSS już to wyklucza dzięki dwunastomiesięcznemu cyklowi przeglądu; hiszpański CCN zamyka swoją listę kontrolną migracji poleceniem „aktualizacji inwentaryzacji zasobów kryptograficznych i ich zależności”; a amerykańskie memorandum wykonawcze jest jeszcze bardziej dosadne:
Biorąc pod uwagę skalę i złożoność federalnych środowisk informatycznych, ręczne podejście do wykrywania i zarządzania kryptografią często okazuje się niewystarczające. Agencje powinny korzystać z automatyzacji, gdy jest to możliwe i stosowne, aby uzyskać kompleksowe i stale aktualizowane zrozumienie swojej sytuacji kryptograficznej. Automatyzacja ma kluczowe znaczenie dla zarządzania inwentarzem, egzekwowania zasad i raportowania zgodności.
Kryptografia dryfuje: programista dodaje bibliotekę, obraz bazowy ulega zmianie, nowa usługa jest dostarczana z domyślnym zestawem szyfrów. Inwentarz generowany ponownie przy każdej kompilacji to kontrolka; ten generowany ręcznie co roku to projekt archeologiczny, który będzie powtarzany w nieskończoność.
Co w praktyce oznacza „gotowość PQC”
Pomijając język dostawcy, gotowość PQC oznacza zdolność do produkowania sześciu rzeczy na żądanie:
- Inwentaryzacja kryptograficzna w standard format nadający się do odczytu maszynowego, obejmujący widoczne powierzchnie, generowany automatycznie.
- Klasyfikacja ryzyka każdego zasobu w nim zawartego: musi zostać wymieniony (złamany przez Shora), może zostać utwardzony na miejscu (osłabiony przez Grovera) lub jest już bezpieczny kwantowo.
- Lista zaległości w migracjach odzwierciedla to trwałość danych, ich ekspozycję i dostępność — dlatego odpowiedź brzmi: „w pierwszej kolejności należy skupić się na przypadkach użycia o wysokim ryzyku”.
- Oświadczenie o pokryciu który wyraźnie określa Twoje martwe punkty.
- Dowody zgodności zmapowane na reżimy, które faktycznie was wiążą, wraz z ich datami.
- Widok gotowości łańcucha dostaw informując Cię, które źródła blokują migrację.
Wszystko inne – rotacja kluczy, cykl życia certyfikatu, orkiestracja HSM, wykrywanie sieci – ma znaczenie, ale jest zależne od tych sześciu. Nie da się rotować czegoś, czego się nie znalazło.
Jak Xygeni pomaga
Xygeni'ego Zgodność z normami Quantum-Safe możliwość generuje wszystkie sześć z skanowania, które już działa w Twoim pipeline. Brak oddzielnego produktu krypto-majątku, brak agenta, brak zmian w sposobie budowy — odkrywanie kryptowalut odbywa się równolegle SCA (analiza składu oprogramowania — skanowanie zależności), SAST (testowanie bezpieczeństwa aplikacji statycznych — skanowanie kodu źródłowego) i IaC analiza, którą już posiadasz.
1 · CBOM. Xygeni generuje raport CycloneDX CBOM obejmujący cztery typy zasobów kryptograficznych – algorytmy, protokoły, certyfikaty i powiązane materiały, takie jak klucze i sole – w językach Java, Kotlin, JavaScript/TypeScript, Python, Go, C#, PHP i Swift, a także łączy każdy algorytm z biblioteką, która go implementuje. Zasoby kryptograficzne to pierwszorzędne obiekty inwentaryzacyjne na platformie, obok komponentów, luk w zabezpieczeniach, sekretów i… IaC Znaleziska, więc mają to samo pochodzenie i historię. Kluczowy materiał nigdy nie jest uwzględniany w inwentarzu — jedynie jego obecność, rodzaj i lokalizacja.
2 · Klasyfikacja ryzyka kwantowego. Każdy zasób jest oznaczony krótko złamany (klucz publiczny, należy go zastąpić), osłabiony grover (symetryczne lub haszowe, utwardzane na miejscu) lub pqc-safei oznaczone jako narażone na HNDL. To samo rozróżnienie powoduje SAST porady naprawcze, które rozgałęziają się na klasy prymitywne: RSA i ECC otrzymują polecenie „migracji do ML-KEM lub ML-DSA z konstrukcją hybrydową podczas przejścia”, podczas gdy AES-128 i SHA-256 otrzymują polecenie „zwiększenia rozmiaru klucza lub skrótu”. Jest to celowe — zalecenie większego klucza RSA w przypadku przeciwnika kwantowego jest gorsze niż nic nie powiedziane, a każde narzędzie łączące te dwa przypadki będzie dokładnie to robić.
3 · Lista zaległości w migracjach. Zamiast płaskiej listy, Xygeni ocenia każdy zasób podatny na ataki kwantowe w skali od 0 do 100, uwzględniając podatność na ataki kwantowe, trwałość i wrażliwość danych, narażenie sieci, dostępność i wartość biznesową, a następnie publikuje ranking zaległości. To właśnie zmienia hasło „wysokiego ryzyka w przypadku użycia do 2030 roku” w kolejkę zadań do wykonania.
4 · Mapa zasięgu. Xygeni informuje, co zostało sprawdzone, a czego nie: kod źródłowy, certyfikaty, atrybucja zależności, pliki klucza prywatnego i IaC Konfiguracja jest określana jako objęta kontrolą, częściowa lub nieskanowana, a ruch w czasie wykonywania i sieci, uzgadnianie TLS, zawartość HSM i KMS, skompilowane pliki binarne oraz biblioteki warstwy kontenerów są jawnie określane jako „ślepe punkty”. Audytorzy dobrze reagują na narzędzie, które określa swoje własne ograniczenia; dlatego, z naszego doświadczenia, CISTy.
5 · Dowody zgodności. Moduł zgodności ocenia inwentarz kryptowalut pod kątem sześciu reżimów i wydaje werdykty: pozytywny, częściowy lub negatywny na podstawie rzeczywistych terminów: NIST IR-8547, NSA CNSA 2.0The Plan działania UE w zakresie jakości usługi podzbiory postkwantowe PCI DSS 4.0, DORA oraz 2 XNUMX NIS. Znajduje się w tym samym skanerze zgodności co CIS Benchmark łańcucha dostaw oprogramowania, OWASP SCVS i OpenSSF standards, więc raporty dotyczące postawy PQC są przesyłane tym samym kanałem, co reszta łańcucha dostaw oprogramowania. Organizacje, których wiążący termin pochodzi z innych źródeł – ASD, CCCS, CCN – mogą pracować w oparciu o te same dane, ponieważ te plany działania opierają się na tym samym szkielecie na lata 2030/2035; osobno należy jedynie śledzić datę zakończenia prac w Australii do końca 2030 roku.
6 · Gotowość łańcucha dostaw. Każda zależność niesie ze sobą atrybut gotowości postkwantowej — czy obsługuje PQC, czy oferuje tryby hybrydowe, czy ma opublikowaną mapę drogową — dzięki czemu możesz zobaczyć, które źródła znajdują się na Twojej ścieżce krytycznej, i wygenerować widok gotowości dostawcy na potrzeby zaopatrzenia.
Poza szóstką: odkrycia dotyczące krypto-zwinności. Xygeni sygnalizuje również wzorce, które sprawiają, że Następny Migracja i przepisanie — zakodowany algorytm i wybrane krzywe, brak abstrakcji dostawcy, przypięte starsze zestawy szyfrów, nienegocjowalne wersje protokołów. Słabe i podatne na ataki kwantowe szyfry można egzekwować za pomocą tej samej warstwy polityki, co pozostałe ustalenia, więc nowy algorytm złamany przez Shora może zostać wykryty. pull request a nie w przyszłorocznym audycie.
Kluczowe dania na wynos
- Zanim cokolwiek zaplanujesz, znajdź najwcześniejszą możliwą datę zawarcia umowy. Większość planów działania zakłada rok 2030 dla obszarów wysokiego ryzyka i rok 2035 dla pozostałych — jednak Australia oczekuje, że cały przejście zostanie wykonane do końca 2030 r., a PCI DSS zacznie żądać sporządzenia inwentarza w 2025 r.
- Planuj wbrew kształtowi, nie jurysdykcji. Odkrycie nastąpi do 2026–2028 r., migracja wysokiego ryzyka do 2030–2031 r., zakończenie do 2035 r. Wystarczy raz spełnić większość wymagań; wyjątki należy śledzić osobno.
- Zacznij od inwentaryzacji, bo każdy o nią prosi w pierwszej kolejności — UE, Hiszpania, Kanada, Australia, singapurski MAS i PCI DSS mają ten sam cel.
- Użyj formatu CBOM. W planie działania UE jest to zalecane z nazwy; wytyczne USA dotyczące minimalnych elementów CBOM mają zostać opublikowane około marca 2027 r. i wyraźnie wymagają, zautomatyzowane oszacowanie.
- Nigdy nie myl Shora i Grovera. Klucz publiczny musi zostać zastąpiony; symetryczny i haszujący można wzmocnić na miejscu. Porady naprawcze, które mieszają te dwa pojęcia, są gorsze niż żadne.
- HNDL ustala rzeczywisty termin. Dane, które muszą pozostać poufne po 2035 roku, są dziś ujawniane. Priorytetem jest ustanowienie klucza – TLS, IKE i wszystkiego, co chroni przesyłane dane – nad podpisami.
- Harmonogramuj biorąc pod uwagę czas realizacji, a nie tylko ryzyko. Ustanowienie klucza jest pilne, ale szybkie; podpisywanie oprogramowania sprzętowego i PKI nie są pilne, ale powolne, a powolne elementy muszą zostać uruchomione jako pierwsze. Wszystko, czego nie można migrować — stary sprzęt, zamrożone produkty innych firm — powinno zostać wymienione w tym roku, ponieważ wymiana jest jedyną dostępną opcją i wymaga cyklu budżetowego.
- Rejestruj przypadki użycia, nie tylko algorytm. RSA chroniące uzgadnianie TLS i oprogramowanie układowe podpisujące RSA to dwa różne projekty, z różnymi celami, terminami i właścicielami. Inwentaryzacja, która zawiera jedynie nazwy algorytmów, nie może być podstawą migracji.
- Żądaj rzetelnej mapy zasięgu. Każde narzędzie, które twierdzi, że zapewnia pełną widoczność kryptograficzną po skanowaniu źródła, jest przesadzone. Dla audytora liczy się to, czego nie widzi, tak samo jak to, co widzi.
- Kompilacja na potrzeby drugiej migracji. FIPS 206 nie jest ostateczna, HQC nie jest standardzarchiwizowane, a Chiny i Korea są standardtworząc własne rodziny. Międzynarodowa korporacja będzie posiadać więcej niż jeden zestaw algorytmów postkwantowych; odkrycia w zakresie krypto-zwinności są tanie teraz, ale drogie w 2031 roku.
- Zautomatyzuj to lub powtórz. Inwentarz kryptograficzny generowany przy każdej kompilacji to element sterujący. Arkusz kalkulacyjny to migawka, która zaczyna się zmieniać w dniu podpisania.
Aby przeczytać więcej
Pełne szczegóły techniczne — co zostało odkryte, jak działa klasyfikacja ryzyka kwantowego i punktacja priorytetów, na podstawie czego oceniany jest każdy system zgodności i jak uzyskać raporty — można znaleźć w dokumentacji Xygeni:
- Xygeni: „Zgodność z normami Quantum-Safe„. Dokumenty Xygeni.
- Xygeni: „Wygeneruj CBOM za pomocą Xygeni CLI„. Dokumenty Xygeni.
- Xygeni: „Obsługiwana zgodność standards„. Dokumenty Xygeni.
Standardi algorytmy:
- NIST: „IR 8547 (pierwszy projekt publiczny): Przejście do kryptografii postkwantowej Standards„. Listopad 2024.
- NIST: „FIPS 203 (ML-KEM)","FIPS 204 (ML-DSA)","FIPS 205 (SLH-DSA)„. Sierpień 2024.
- NIST: „IR 8545: Raport o stanie czwartej rundy NIST PQC StandardProces izacji„. Marzec 2025.
- NIST: „SP 800-57 Część 1 Wersja 5: Zalecenia dotyczące zarządzania kluczami— Tabela 2, porównywalne mocne strony zabezpieczeń.
- NIST: „SP 800-208: Zalecenia dotyczące schematów podpisów opartych na stanowym hashu” (LMS, HSS, XMSS, XMSS^MT). Październik 2020.
- IETF: „RFC 9794: Terminologia dla tradycyjnych schematów hybrydowych postkwantowychCzerwiec 2025.
- Cloudflare: „Stan Internetu postkwantowego w 2025 roku„oraz dane dotyczące adopcji na żywo na temat „Radar rozbłysku chmur".
- CycloneDX: „Wykaz materiałów kryptograficznych (CBOM)"I"Wydanie CycloneDX v1.7„. Październik 2025.
Krajowe i regionalne plany działania:
- ASD (Australia): „Planowanie kryptografii postkwantowej„. Wrzesień 2025.
- Grupa Współpracy NIS: „Skoordynowany plan wdrożenia w celu przejścia na kryptografię postkwantowąCzerwiec 2025.
- CCN (Hiszpania): „CCN-TEC 009 / BP-37 — Zalecenia dla una transición postcuántica seguraLipiec 2026.
- Komisja Europejska: „Zalecenie Komisji (UE) 2024/1101” (11 kwietnia 2024 r.) i „COM(2026) 13 — Wniosek zmieniający dyrektywę (UE) 2022/2555 (NIS2)” (20 stycznia 2026).
- NCSC (Wielka Brytania): „Harmonogramy migracji do kryptografii postkwantowej„. Marzec 2025.
- Kanadyjskie Centrum Cyberbezpieczeństwa: „Plan migracji do kryptografii postkwantowej dla rządu Kanady (ITSM.40.001)Czerwiec 2025.
- Biały Dom: „Rozporządzenie wykonawcze nr 14412 — Zabezpieczenie kraju przed zaawansowanymi atakami kryptograficznymi” (22 czerwca 2026 r.) i OMB „M-26-15” (24 czerwca 2026).
- NSA: „Zasoby dotyczące cyberbezpieczeństwa postkwantowego (CNSA 2.0)".
- CRYPTREC (Japonia): „CRYPTREC— ML-KEM dodano do listy zalecanych szyfrów, marzec 2026 r.
- MAS (Singapur): „Porady dotyczące radzenia sobie z zagrożeniami cyberbezpieczeństwa związanymi z technologiami kwantowymi„Luty 2024.
- NZISM (Nowa Zelandia): „Przygotowanie do kryptografii postkwantowej".
- ICCS (Chiny): „Instytut Kryptografii Handlowej Standards— program nowej generacji komercyjnych algorytmów kryptograficznych.
- ITI (Brazylia): „ITI publica Instrução Normativa que incorpora algoritmos pós-quânticos à ICP-Brasil„. Styczeń 2026.
Zobowiązania sektorowe i horyzontalne:
- UE: „Dyrektywa (UE) 2022/2555 (NIS2)"; "Rozporządzenie (UE) 2022/2554 (DORA)"; "Rozporządzenie delegowane Komisji (UE) 2024/1774 (RORA RTS w zakresie zarządzania ryzykiem ICT)"; "Rozporządzenie (UE) 2024/2847 (Ustawa o cyberodporności)".
- Bezpieczeństwo PCI StandardRada: „Podsumowanie zmian w PCI DSS od wersji 3.2.1 do wersji 4.0” (wymaganie 12.3.3).
Tło:
- Craig Gidney: „Jak rozłożyć na czynniki 2048-bitowe liczby całkowite RSA z mniej niż milionem zaszumionych kubitów„. Google Quantum AI, maj 2025.
- Michele Mosca: „Cyberbezpieczeństwo w erze komputerów kwantowych: czy będziemy gotowi?". IACWydanie ponowne 2015/1075.
