Что такое квантово-устойчивое шифрование и зачем оно понадобится так скоро

Проблема: Классические асимметричные криптосистемы (RSA, ECDH, ECDSA) и хэш-функции (SHA-256) будут взломаны алгоритмом Шора на достаточно мощном квантовом компьютере. «Собрал сейчас — расшифрую потом» (Harvest Now, Decrypt Later) делает уязвимыми уже перехваченные трафики, включая VPN, TLS, SSH и цифровые подписи. Для корпоративной форензики это означает потерю доказательной базы, защищённой такими алгоритмами.

Причины срочности:
1. Квантовое превосходство — IBM, Google, Китай демонстрируют 1000+ физических кубитов. Оценка: 2–5 лет для взлома RSA-2048.
2. Атака «собрал сейчас» — злоумышленники скачивают текущий зашифрованный трафик (например, архив переписки с Госуслуг или банка) и расшифруют его через 3–4 года.
3. Миграционная инерция — переход на постквантовые стандарты (CRYSTALS-Kyber, Dilithium, Falcon) требует 3–5 лет на обновление всей PKI, прошивок и протоколов (IPsec, IKEv2, OpenSSL). Промедление означает «окно уязвимости» для конфиденциальности.

Решение:
1. Аудит криптостойкости текущих систем — выявить все места использования RSA/ECDSA (сертификаты, VPN-ключи, ЭЦП в документах для судебных экспертиз).
2. Гибридное шифрование — внедрение двойных схем (классика + PQ) прямо сейчас без выключения старого (например, OpenQuantumSafe для OpenSSL 3.x). Пример настройки TLS 1.3 с гибридным KEM:

3. Защита от «собрал сейчас» — для долгоживущих данных (архивы на ForensicAnvil.ru, логи SIEM, базы evidence) использовать только PQ-алгоритмы (Kyber-1024 для шифрования, Dilithium-5 для подписи).
4. Мониторинг NIST и ФСБ — отслеживать выход финальных постквантовых стандартов (ожидаются в 2024–2025). В РФ — следить за рекомендациями ТК 26 (закон не нарушаем).
5. Песочница для форензики — тестировать PQ-протоколы на изолированных ВМ при анализе инцидентов (например, pq-wireshark с поддержкой Kyber).

Практический минимум: замена сертификатов X.509 на ML-KEM/ML-DSA (по стандарту NIST FIPS 203/204) в пилотных сегментах до 2026 года.