Prieš kokius dešimt metų kvantinis kompiuteris atrodė kaip mokslinės fantastikos priedas – kažkas, apie ką kalba fizikai konferencijose, bet kas realiame IT pasaulyje neturi jokios praktinės reikšmės. Šiandien situacija visiškai kitokia. IBM, Google, IonQ, taip pat Kinijos mokslininkų grupės kasmet skelbia naujus rekordus kubitų skaičiaus ir klaidų taisymo srityje, o kriptografų bendruomenė jau seniai nebejuokauja apie „Q dieną” – momentą, kai kvantinis kompiuteris taps pakankamai galingas, kad sulaužytų šiandien naudojamus šifravimo algoritmus. Klausimas nebe „ar”, o „kada” ir „ką mes darome dabar, kol tas laikas neatėjo”.
Kodėl kubitas – ne tik greitesnis bitas
Įprastas kompiuteris skaičiuoja bitais – nuliais ir vienetais, kurie bet kuriuo momentu turi tik vieną reikšmę. Kvantinis kompiuteris naudoja kubitus, kurie gali egzistuoti superpozicijos būsenoje – tiek 0, tiek 1 vienu metu, su tam tikra tikimybe kiekvienai reikšmei. Prie to prisideda sanguzlumas (angl. entanglement), kai dviejų kubitų būsenos tampa tarpusavyje priklausomos, nesvarbu, koks atstumas juos skiria.
Praktiškai tai reiškia, kad kvantinis kompiuteris gali vienu metu tikrinti daugybę galimų sprendimų, o ne eiti per juos vieną po kito, kaip daro klasikinis procesorius. Kai kuriems uždaviniams – pavyzdžiui, molekulių modeliavimui chemijoje ar optimizavimo problemoms logistikoje – tai suteikia milžinišką pranašumą. Bet dar svarbiau kriptografijai yra du konkretūs algoritmai: Shoro algoritmas ir Groverio algoritmas.
Shoro algoritmas – RSA košmaras
1994 metais matematikas Peteris Shoras parodė, kad kvantinis kompiuteris teoriškai gali faktorizuoti didelius skaičius eksponentiškai greičiau nei bet koks žinomas klasikinis algoritmas. Kodėl tai svarbu? Todėl, kad RSA šifravimas, kuris šiandien apsaugo bankinius pervedimus, TLS ryšius naršyklėse, VPN tunelius ir skaitmenines parašus, remiasi būtent tuo, kad didelio skaičiaus faktorizavimas klasikiniam kompiuteriui užtruktų tūkstančius metų.
Kvantinis kompiuteris, turintis pakankamai stabilių, klaidų nekoreguojamų kubitų, galėtų tą patį uždavinį išspręsti per valandas ar net minutes. Tas pats galioja ir eliptinių kreivių kriptografijai (ECC), kuri naudojama beveik visur, kur reikia lengvo ir efektyvaus šifravimo – nuo mobiliųjų programėlių iki IoT įrenginių.
Gera žinia ta, kad šiandieniniai kvantiniai kompiuteriai dar toli nuo to lygio. Norint sulaužyti 2048 bitų RSA raktą, reikėtų milijonų fiziškai stabilių, klaidas taisančių kubitų – o dabartiniai geriausi prototipai operuoja su keliais šimtais triukšmingų kubitų. Bloga žinia – niekas tiksliai nežino, per kiek metų ta riba bus pasiekta. Vieni ekspertai kalba apie 2030-uosius, kiti mano, kad tai gali užtrukti iki 2040-ųjų ar ilgiau.
„Rink dabar, iššifruok vėliau” – tyliai augantis pavojus
Vienas dažniausiai nutylimas, bet realiausias grėsmės scenarijus vadinasi „harvest now, decrypt later”. Idėja paprasta: šifruoti duomenys, kurie šiandien perduodami tinklu, gali būti perimti ir saugomi jau dabar, net jei jų iššifruoti dar neįmanoma. Kai atsiras pakankamai galingas kvantinis kompiuteris, tie senai surinkti duomenys bus atrakinti atgaline data.
Tai ypač aktualu duomenims, kurie turi ilgą galiojimo laiką – medicininiai įrašai, valstybinės paslaptys, patentų dokumentacija, finansiniai sandoriai. Jei kokia nors valstybinė institucija ar korporacija nutaria per ateinančius dešimt metų investuoti į duomenų surinkimą būtent su tokiu tikslu, žala gali pasireikšti dar ilgai po to, kai patys duomenys buvo perduoti. Todėl daugelis kibernetinio saugumo specialistų ragina pereiti prie postkvantinės kriptografijos jau dabar, o ne laukti, kol grėsmė taps akivaizdi.
Postkvantinė kriptografija – kas jau vyksta
Kriptografų bendruomenė nesėdi rankų sudėjusi. JAV Nacionalinis standartų ir technologijų institutas (NIST) dar 2016 metais paskelbė konkursą naujiems, kvantiniam kompiuteriui atspariems algoritmams sukurti. 2024 metais buvo oficialiai patvirtinti pirmieji standartai: CRYSTALS-Kyber (dabar vadinamas ML-KEM) raktų apsikeitimui ir CRYSTALS-Dilithium (ML-DSA) skaitmeniniams parašams, taip pat SPHINCS+ kaip alternatyvi parašų schema.
Šie algoritmai remiasi ne skaičių faktorizavimu ar diskrečiuoju logaritmu, kaip RSA ar ECC, o kitokiais matematiniais uždaviniais – pavyzdžiui, gardelių (angl. lattice) problemomis, kurios lieka sunkiai sprendžiamos net ir kvantiniam kompiuteriui. Svarbu suprasti: tai nėra kvantinė kriptografija tiesiogine prasme – tai klasikiniai algoritmai, veikiantys klasikiniuose kompiuteriuose, tiesiog matematiškai sukonstruoti taip, kad Shoro ar Groverio algoritmai jiems nepakenktų.
Google jau eksperimentuoja su postkvantiniais algoritmais Chrome naršyklėje, Cloudflare integravo hibridinius sprendimus savo tinkluose, o Apple 2024 metais pristatė iMessage protokolo atnaujinimą su postkvantine apsauga. Tai reiškia, kad pereinamasis laikotarpis jau prasidėjo – tiesiog dar retai apie tai kalbama plačiau nei techninėje spaudoje.
Kvantinis raktų paskirstymas – kita monetos pusė
Verta paminėti ir dar vieną sąvoką, kuri dažnai painiojama su postkvantine kriptografija – kvantinis raktų paskirstymas (QKD, angl. Quantum Key Distribution). Skirtingai nuo postkvantinių algoritmų, kurie yra matematiniai sprendimai, veikiantys įprastoje infrastruktūroje, QKD naudoja pačius kvantinės fizikos dėsnius saugumui užtikrinti.
Populiariausias protokolas – BB84 – remiasi principu, kad bet koks bandymas „pasiklausyti” kvantinio kanalo neišvengiamai pakeičia perduodamos informacijos būseną, todėl šalys iš karto pastebi įsilaužimą. Kinija jau eksploatuoja tarpmiestinį kvantinį komunikacijų tinklą, jungiantį Pekiną su Šanchajumi, o Europos Sąjunga finansuoja EuroQCI iniciatyvą – bendrą kvantinės komunikacijos infrastruktūrą visame žemyne.
Problema ta, kad QKD reikalauja specializuotos aparatinės įrangos, optinio pluošto ar palydovinio ryšio ir veikia ribotu atstumu be pertraukiamų mazgų. Tai puikiai tinka valstybinėms institucijoms ar bankams, tačiau kasdieniam interneto vartotojui, kuris naudojasi mobiliuoju internetu ir Wi-Fi, tai kol kas nerealu. Todėl daugelis ekspertų mato QKD kaip papildomą, ne pagrindinę apsaugos priemonę, o realų sprendimą masiniam naudojimui – kaip tik postkvantinę kriptografiją.
Ką daryti šiandien, jei valdote IT infrastruktūrą
Jei dirbate su sistemomis, kurios saugo jautrius duomenis, laukti „iki paskutinės minutės” nėra protinga strategija. Perėjimas nuo vieno kriptografinio standarto prie kito paprastai užtrunka metų metus – prisiminkite, kiek laiko užtruko pereiti nuo SHA-1 prie SHA-2 arba atsisakyti TLS 1.0. Su postkvantine kriptografija situacija bus dar sudėtingesnė, nes reikės keisti ne tik protokolus, bet ir aparatinę įrangą, kuri kartais fiziškai neturi pakankamai resursų naujiems, sunkesniems algoritmams paleisti.
Keletas konkrečių žingsnių, kuriuos verta apsvarstyti jau dabar:
- Sudarykite kriptografinį inventorių – supraskite, kur ir kokie šifravimo algoritmai naudojami visoje jūsų infrastruktūroje. Be to neįmanoma planuoti pereinamojo laikotarpio.
- Prioretizuokite duomenis pagal jų „gyvavimo laiką”. Jei informacija turi likti konfidenciali dešimtmečius (pavyzdžiui, medicininiai ar teisiniai įrašai), tokiems duomenims postkvantinė apsauga reikalinga jau šiandien, ne po penkerių metų.
- Sekite NIST ir kitų standartizacijos organizacijų rekomendacijas – algoritmai dar tikslinami, ir tai, kas atrodo standartas šiandien, gali būti papildytas ar pakeistas.
- Testuokite hibridinius sprendimus – daugelis įmonių (įskaitant Google ir Cloudflare) naudoja hibridinį modelį, kur klasikinis ir postkvantinis algoritmas veikia lygiagrečiai, taip sumažinant riziką, jei naujas algoritmas turėtų nenumatytą pažeidžiamumą.
- Neapleiskite aparatinės saugumo modulių (HSM) atnaujinimo – daugelis gamintojų jau siūlo postkvantinius palaikymo paketus.
Vietoj išvadų: nereikia panikuoti, bet ignoruoti irgi nevalia
Kvantinis kompiuteris, galintis realiai sulaužyti RSA-2048, tikriausiai neatsiras rytoj, poryt ar net per artimiausius penkerius metus. Tačiau kriptografijos pasaulis skaičiuoja ne metais, o dešimtmečiais – sistemos, kurios kuriamos šiandien, dažnai eksploatuojamos dvidešimt ir daugiau metų, o duomenys, kuriuos šiandien šifruojame, gali turėti vertę dar ilgai po to, kai dabartiniai algoritmai taps istorija.
Realistiškas požiūris yra toks: kvantinė grėsmė yra reali, bet nėra skubaus gaisro – tai lėtai artėjantis potvynis, kurį galima ir reikia pastebėti iš anksto. Įmonės, kurios jau dabar pradeda kriptografinį inventorizavimą ir testuoja postkvantinius sprendimus, per kelerius metus turės didelį pranašumą prieš tuos, kurie lauks, kol reikalavimai taps privalomi teisės aktais – o tokie reikalavimai jau formuojasi tiek ES, tiek JAV reguliavimo aplinkoje.
Geriausias patarimas, kurį galima duoti kiekvienam, kas atsakingas už IT saugumą – pradėkite mokytis apie ML-KEM ir ML-DSA standartus jau dabar, sekite gamintojų, su kuriais dirbate, planus dėl postkvantinės paramos ir nebijokite užduoti nepatogaus klausimo: „O kas atsitiks su mūsų duomenimis, kai kvantinis kompiuteris taps pakankamai galingas?” Kuo anksčiau tas klausimas užduodamas, tuo mažiau skausmingas bus atsakymas.
