Migracja do algorytmów Quantum-Safe

Zbieraj teraz, odszyfruj później

Zagrożenie nie czeka na działający komputer kwantowy. Przeciwnik dysponujący cierpliwością i przestrzenią dyskową może przechwycić dziś zaszyfrowany ruch i odszyfrować go, gdy powstanie odpowiednio duża maszyna. Wszystkie dane, których poufność ma przetrwać lata trzydzieste — dokumentacja medyczna, akta prawne, kod źródłowy, długożyciowe poświadczenia, tajemnice państwowe, własność intelektualna — są narażone w momencie, w którym przechodzą przez sieć chronioną wyłącznie wymianą kluczy opartą na RSA lub krzywych eliptycznych.

Podpisy mają inny, ale równie niewygodny problem. Klucze podpisujące firmware, łańcuchy podpisywania kodu, urzędy certyfikacji i długożyciowe tożsamości urządzeń mają cykle wymiany liczone w latach. Rozpoczęcie prac w momencie nadejścia terminu jest rozpoczęciem za późno.

---

Standardy są już wystarczająco ustalone

W sierpniu 2024 r. NIST opublikował pierwsze trzy standardy postkwantowe jako finalne dokumenty FIPS. W marcu 2025 r. wybrał HQC jako zapasowy mechanizm enkapsulacji klucza, oparty na innej matematyce, żeby ewentualne złamanie założeń kratowych nie było pojedynczym punktem awarii. Standard dla algorytmu FALCON (FIPS 206) jest wciąż w przygotowaniu.

Standard	Algorytm	Zastosowanie
FIPS 203	ML-KEM (CRYSTALS-Kyber)	Enkapsulacja klucza — ochrona danych w tranzycie
FIPS 204	ML-DSA (CRYSTALS-Dilithium)	Podpisy cyfrowe ogólnego przeznaczenia
FIPS 205	SLH-DSA (SPHINCS+)	Podpisy oparte na funkcjach skrótu — konserwatywna rezerwa
Wybrany w 2025	HQC	Zapasowa enkapsulacja klucza na innej matematyce
FIPS 206 (projekt)	FN-DSA (FALCON)	Kompaktowe podpisy dla środowisk ograniczonych

Harmonogram jest równie konkretny. Projekt wytycznych przejściowych NIST (IR 8547) wycofuje RSA i kryptografię krzywych eliptycznych po 2030 r. i zakazuje ich po 2035 r. Skoordynowana mapa drogowa UE, opublikowana przez Grupę Współpracy NIS w czerwcu 2025 r. w ślad za zaleceniem Komisji z 2024 r., zakłada, że państwa członkowskie będą miały strategie krajowe i rozpoczęte pierwsze działania migracyjne do końca 2026 r., zastosowania wysokiego ryzyka zabezpieczone nie później niż w 2030 r., a przejście zakończone wszędzie tam, gdzie jest to praktycznie wykonalne, do 2035 r.

IR 8547 pozostaje wstępnym projektem publicznym; podane daty są wytycznymi planistycznymi, a nie wiążącym nakazem, i mogą się zmienić w wersji finalnej. Mimo to planujemy według nich, ponieważ kamienie milowe UE od nich nie zależą.

---

Jak przebiega migracja

Faza 1 — Inwentaryzacja kryptograficzna

Nie da się zmigrować tego, czego się nie widzi. Budujemy kryptograficzny wykaz materiałowy (CBOM): gdzie znajdują się klucze i certyfikaty, jakie algorytmy i długości kluczy są używane, które biblioteki i moduły sprzętowe je dostarczają, co jest zaszyte na sztywno w aplikacjach i co należy do dostawców, a nie do Was. Źródłami są magazyny certyfikatów, skanowanie TLS, analiza kodu i zależności, konfiguracja HSM i PKI oraz ustrukturyzowane ankiety dla dostawców.

Faza 2 — Ocena ryzyka

Każde ustalenie oceniamy w trzech wymiarach: jak długo dane muszą pozostać poufne, jak bardzo kanał jest wyeksponowany i jak trudna będzie migracja. Publiczne API kończące TLS na nowoczesnym load balancerze to zmiana konfiguracji. Dwunastoletnia flota urządzeń z zaszytymi certyfikatami to plan inwestycyjny. Traktowanie ich tak samo jest powodem, dla którego programy stają w miejscu.

Faza 3 — Architektura docelowa i zwinność kryptograficzna

Projektujemy cel: które standardy stosować gdzie, czy w okresie przejściowym właściwa jest hybrydowa wymiana kluczy, co dzieje się z PKI i cyklem życia certyfikatów, jak rozmiary kluczy i wydajność wpływają na systemy ograniczone i — przede wszystkim — jak nie dopuścić, by kryptografia znów została zaszyta na sztywno. Celem jest, aby kolejna zmiana algorytmu była aktualizacją polityki, a nie projektem archeologicznym.

Faza 4 — Weryfikacja dostawców

Duża część Waszej kryptografii jest cudzym produktem. Dajemy pytania, które trzeba zadać, zobowiązania, których trzeba wymagać w mapach drogowych, i zapisy umowne czyniące ze wsparcia postkwantowego obowiązek, a nie deklarację — zarówno przy nowych zakupach, jak i przy przedłużeniach tego, co już działa.

Faza 5 — Pilotaż, wdrożenie i dowody

Pilotaż na reprezentatywnym systemie daje prawdziwe dane o wydajności i interoperacyjności zamiast deklaracji dostawcy. Dalej: plan falowy ze ścieżkami wycofania, monitorowanie i ślad dowodowy zgodny z kamieniami milowymi mapy unijnej — żeby na pytanie regulatora lub klienta odpowiedzią był dokument, a nie spotkanie.

---

Co otrzymujesz

• Inwentaryzację kryptograficzną i CBOM, które da się utrzymywać, a nie jednorazowy arkusz
• Backlog migracyjny uszeregowany według ryzyka, z szacunkami pracochłonności i zależnościami
• Architekturę docelową i standard zwinności kryptograficznej
• Ankietę dla dostawców, model oceny i klauzule zakupowe
• Wyniki pilotażu ze zmierzoną wydajnością i ustaleniami dotyczącymi interoperacyjności
• Materiał dla zarządu i pakiet dowodowy zmapowany na kamienie milowe UE

Częste pytania

Czy nie jest jeszcze za wcześnie?

Nie w przypadku inwentaryzacji, która jest najdłuższym elementem i przydaje się niezależnie od wszystkiego — od razu poprawia zarządzanie certyfikatami, reakcję na incydenty i dowody audytowe. To, czy zaczynać wymianę algorytmów, zależy od czasu życia danych: jeśli coś przesyłanego dziś ma być tajne w 2040 r., ekspozycja już istnieje.

Tryb hybrydowy czy czysto postkwantowy?

Przy ustanawianiu klucza w okresie przejściowym powszechnie zaleca się tryby hybrydowe łączące algorytm klasyczny z postkwantowym, ponieważ pozostają bezpieczne, gdy złamany zostanie którykolwiek ze składników. Właściwa odpowiedź zależy od wsparcia protokołów, budżetu wydajnościowego i kontekstu regulacyjnego — i jest decyzją projektową, którą podejmujemy świadomie, a nie domyślnie.

Czy potrzebny będzie nowy sprzęt?

Czasami. Typowym ograniczeniem są moduły HSM, karty kryptograficzne i urządzenia wbudowane, ponieważ klucze i podpisy postkwantowe są większe, niż zakładała konstrukcja części sprzętu. Wczesne wykrycie takich przypadków jest dokładnie powodem, dla którego inwentaryzacja idzie pierwsza — wymiana sprzętu ma cykl zakupowy, którego zmiana oprogramowania nie ma.

Jak to się łączy z NIS2 i DORA?

Oba reżimy wymagają adekwatnych do ryzyka zabezpieczeń kryptograficznych i możliwości ich wykazania. Żaden nie wskazuje dziś algorytmów postkwantowych, ale udokumentowana inwentaryzacja kryptograficzna i plan przejścia coraz częściej są tym, co oznacza „adekwatny” dla podmiotów o długim horyzoncie poufności — i w obu przypadkach znacząco skracają przyszłą rozmowę z organem nadzoru.