Оглавление

Интернет переживает один из самых сложных переходов в своей истории — миграцию на постквантовую криптографию. Но защита от квантовых атак — это не просто замена эллиптических кривых и RSA на постквантовые аналоги вроде ML-KEM и ML-DSA. Эти алгоритмы имеют более высокую стоимость по сравнению с классическими аналогами, что делает их неподходящими для прямой замены во многих ситуациях.

Прогресс и вызовы перехода

Тем не менее, мы наблюдаем устойчивый прогресс в самых важных системах. На момент написания статьи около 50% TLS-соединений с edge-серверами Cloudflare защищены от атак типа «сохранить сейчас, расшифровать позже». Квантово-безопасная аутентификация находится на более отдаленном горизонте, поскольку потребует более значительных изменений в работе сертификатов.

Однако TLS — это лишь самая низко висящая ветка. Существует множество других способов использования криптографии помимо обмена ключами и аутентификации, которые не так легко мигрировать. В этом посте мы рассмотрим анонимные учетные данные.

Что решают анонимные учетные данные

Анонимные учетные данные решают распространенную дилемму приватности: как доказать конкретный факт (например, что у человека есть действующие водительские права более трех лет), не раскрывая избыточную личную информацию (например, место рождения)? Такие проблемы являются фундаментальными для ряда случаев использования.

Как и в случае с TLS, центральный вопрос для анонимных учетных данных заключается в том, существуют ли прямые постквантовые замены для их классических примитивов, которые будут работать в требуемом масштабе, или потребуется перепроектировать приложение для снижения стоимости постквантовых решений.

Пока регуляторы спорят о стандартах, реальные системы уже начинают внедрять технологии, которые могут оказаться уязвимыми квантовыми компьютерами уже через несколько лет. Переход на постквантовую криптографию напоминает бег с препятствиями, где правила меняются прямо во время забега.

Реальные примеры использования

В 2026 году Европейский союз планирует запустить свой цифровой кошелек идентификации — систему, которая позволит гражданам ЕУ, резидентам и предприятиям цифровым способом подтверждать свои личные атрибуты. Это позволит им, например, отображать свои водительские права на телефоне или выполнять проверку возраста.

Текущий технический план амбициозен, как изложено в Architecture Reference Framework (ARF). Он определяет ключевые цели приватности, включая невозможность связывания, чтобы гарантировать, что если пользователь предъявляет атрибуты несколько раз, получатели не могут связать эти отдельные представления, чтобы сделать вывод, что они касаются одного и того же пользователя.

Проблемы текущих решений

Однако текущие предлагаемые решения не достигают этой цели. Фреймворк правильно идентифицирует основную проблему: аттестации содержат уникальные, фиксированные элементы, такие как хеш-значения, открытые ключи и подписи, которые коллидирующие субъекты могут хранить и сравнивать для отслеживания лиц.

В своей нынешней форме рекомендация ARF для смягчения возможности связывания между сессиями — это аттестации с ограниченным сроком действия. Фреймворк признает в тексте, что это лишь частично смягчит возможность связывания зависимой стороной.

Альтернативное предложение, которое могло бы смягчить риски связывания, — это одноразовые учетные данные. В настоящее время они не рассматриваются из-за сложности и накладных расходов на управление. Поэтому фреймворк полагается на организационные и принудительные меры для предотвращения сговора вместо предоставления более сильной гарантии, поддерживаемой криптографией.

Квантовые угрозы и будущее

Эта зависимость от предположений о доверии может стать проблематичной, особенно в контексте цифровой идентичности. При запросе обратной связи криптографические исследователи соглашаются, что правильным решением было бы принятие анонимных учетных данных. Однако это решение представляет собой долгосрочную проблему.

Хорошо изученные методы для анонимных учетных данных, такие как основанные на BBS-подписях, уязвимы для квантовых компьютеров. Хотя некоторые анонимные схемы являются постквантово-несвязываемыми, новые учетные данные могут быть подделаны. Это может быть привлекательной целью для, скажем, государственного актора.

Новая криптография также сталкивается с проблемами развертывания: в ЕС можно использовать только утвержденные криптографические примитивы, перечисленные в каталоге SOG-IS. На момент написания этот каталог ограничен установленными алгоритмами, такими как RSA или ECDSA.

Первое развертывание кошелька не будет квантово-безопасным. Однако с переходом к постквантовым алгоритмам, который предстоит нам, уже к 2030 году для случаев использования с высоким риском согласно дорожной карте ЕС, исследования в области постквантовой совместимой альтернативы для анонимных учетных данных становятся критически важными.

По материалам Cloudflare Blog.