Нова дата, а не нова паніка

27 жовтня 2026 року NIST (Національний інститут стандартів і технологій США) опублікував фінальну версію документа NIST IR 8547 «Transition to Post-Quantum Cryptography Standards». Якщо коротко, у ньому записано графік відмови від алгоритмів, на яких тримається більшість захищеного зв'язку в інтернеті. Тижнем раніше, 20 жовтня, Єврокомісія оновила сторінку про постквантову криптографію, де нагадала: усі держави-члени мають почати перехід до кінця 2026 року.

Заголовки на цю тему зазвичай лякають. Спокійне прочитання таке: ніхто не вимикає ваш сайт у 2030 році. Але відповісти на питання «де в нас використовується криптографія, яка колись застаріє, і які дані мають лишатися таємними ще багато років» краще зараз, поки це інвентаризація, а не аварійний проєкт.

Спершу терміни. Постквантова криптографія (PQC) це алгоритми, розраховані так, щоб їх не зламав майбутній квантовий комп'ютер. Нинішня захищена пошта, VPN, HTTPS і цифрові підписи спираються на асиметричну криптографію: у сторін є пара ключів, відкритий і приватний. Найвідоміші алгоритми тут: RSA та ECC (криптографія на еліптичних кривих, до неї належать ECDSA і ECDH), а також обмін ключами Діффі-Геллмана (DH). Достатньо потужний квантовий комп'ютер зможе їх зламати за допомогою алгоритму Шора. Такого комп'ютера ще не збудовано: NIST прямо пише, що перехід починається до його появи.

Що саме написано в NIST

Головне в IR 8547: RSA, ECDSA, EdDSA, Діффі-Геллман і його варіант на еліптичних кривих отримали статус «Deprecated after 2030» і «Disallowed after 2035». Важливо, що ці слова означають.

• Deprecated (не рекомендовано): використовувати можна, але є ризик. Власник даних має оцінити його й вирішити, чи продовжувати.

• Disallowed (заборонено): алгоритм більше не дозволений для заявленої мети.

Тож формулювання «RSA заборонять у 2030» неточне. У 2030 році алгоритм стане «не рекомендованим», а заборона, за планом NIST, настане після 2035-го. Ще два уточнення. По-перше, ці дати стосуються стандартів і настанов NIST, і документ прямо каже, що галузеві настанови можуть вимагати раніших переходів, насамперед для обміну ключами в мережевих протоколах на кшталт TLS (Transport Layer Security, протокол, що захищає HTTPS). По-друге, перехід не зводиться до заміни всього шифрування: симетричні алгоритми, такі як AES, до квантових атак значно стійкіші, а затверджені NIST примітиви зі стійкістю від 128 біт, за його оцінкою, відповідають принаймні першій категорії безпеки в постквантовій шкалі. Проблема передусім в асиметричній частині.

Замінники вже існують. У серпні 2024 року NIST опублікував три стандарти: FIPS 203 (ML-KEM, обмін ключами), FIPS 204 (ML-DSA, підписи) та FIPS 205 (SLH-DSA, підписи на основі хеш-функцій). Для обміну ключами NIST радить ML-KEM-768 як набір параметрів за замовчуванням.

«Зібрати зараз, розшифрувати потім»

Здається, що 2035 рік далеко. Тому варто пояснити, чому відкладати інвентаризацію не можна. Назва загрози, «harvest now, decrypt later» (HNDL, «збери зараз, розшифруй пізніше»), майже все пояснює. Зловмисник перехоплює й зберігає зашифрований трафік або викрадені архіви вже зараз, а розшифровує тоді, коли квантовий комп'ютер стане доступним. Для нього зберігання дешеве, терпіння безкоштовне.

NIST пише, що саме ця загроза є однією з головних причин терміновості. Єврокомісія на своїй сторінці йде ще далі: дані, які не захищені від квантових атак і мають лишатися конфіденційними довго, вже можуть бути під ризиком, а атаки такого типу, ймовірно, відбуваються вже зараз. Це оцінка Комісії, а не доведений факт, але для планування її варто враховувати.

Важливе розрізнення: загроза HNDL стосується конфіденційності, тобто шифрування й обміну ключами. Підписи їй не піддаються: NIST пояснює, що автентифікація лишається надійною, поки алгоритми й ключі надійні в момент самої перевірки. Тому автентифікація, за NIST, може користуватися вразливими алгоритмами, доки відповідного комп'ютера немає. Однак із підписами теж не варто зволікати, бо перехід довгий і потребує узгодження багатьох сторін. Йдеться про довірчу інфраструктуру: центри сертифікації, смарт-картки, апаратні токени.

Чому «десять років» це не запас

NIST наводить просту логіку Моски (Mosca). Нехай X це скільки років ваші дані мають лишатися таємними, Y скільки років триватиме перехід, а Z через скільки років з'явиться потрібний квантовий комп'ютер. Якщо X + Y більше за Z, дані вже під загрозою. Ніхто не знає Z: у першоджерелах, на які ми спираємось, дати його появи немає, і ми її не вгадуємо. Але X і Y ви можете оцінити самі.

Y зазвичай більше, ніж здається. NIST нагадує, що від стандартизації алгоритму до повної інтеграції в системи раніше минало від десяти до двадцяти років: треба, щоб виробники вбудували алгоритми у продукти, а замовники ці продукти закупили та інтегрували.

Умовний приклад (вигаданий, цифри ілюстративні). Компанія зберігає договори й медичні довідки, які за правилами лишаються конфіденційними п'ятнадцять років, а перехід її систем, на думку команди, займе п'ять. X + Y дорівнює двадцяти. Тож питання в тому, чи можна бути певним, що такого комп'ютера не буде протягом двадцяти років.

Що кажуть ЄС і Британія

Єврокомісія в квітні 2024 року видала Рекомендацію щодо PQC, а в червні 2025 року держави-члени ухвалили скоординовану дорожню карту. Її вимоги формулюються для держав, а не для кожної компанії: усі держави-члени мають почати перехід до кінця 2026 року, а захист високоризикових сценаріїв слід перевести якнайшвидше, не пізніше кінця 2030 року. Але на практиці національні плани доходять до бізнесу через регуляторів, замовників і ланцюг постачання, тому європейським партнерам варто бути готовими відповісти на запитання про ваш план.

Британський NCSC дає найконкретніші орієнтири для організацій у настанові про строки міграції:

• до 2028 року: визначити цілі, провести повне виявлення (discovery) криптографії в усьому господарстві й скласти початковий план;

• до 2031 року: виконати перші, найпріоритетніші кроки та уточнити план;

• до 2035 року: завершити міграцію всіх систем, сервісів і продуктів.

NCSC пише, що настанова адресована насамперед великим організаціям, операторам критичної інфраструктури та компаніям із нестандартним ІТ. Для малих і середніх компаній, які користуються типовими браузерами й операційними системами, перехід має відбутися «безшовно», разом з оновленнями від вендорів. Це заспокоює, але є застереження: власне чи специфічне програмне забезпечення йде за тим самим графіком, що й у великих організацій.

Шість кроків без паніки

Це практика, а не вимога стандарту. Кожен крок спирається на попередній.

1. Інвентаризація криптографії. Почніть із простого питання: де в нас використовується асиметрична криптографія? NCSC наголошує, що на цьому етапі потрібне розуміння кожної системи, а не формальний реєстр кожного елемента. Для кожної системи зафіксуйте:

• де вона працює і хто нею опікується (власна, хмара, підрядник);

• які протоколи й алгоритми використовує: TLS, VPN, SSH, поштове шифрування, підпис документів і коду, внутрішній центр сертифікації;

• які сертифікати й ключі є, де зберігаються (файли, апаратний модуль безпеки HSM, хмарна служба ключів) і коли спливає їхній строк;

• які бібліотеки, версії й постачальники задіяні.

Не забудьте про підпис коду, прошивки пристроїв, токени працівників, VPN між офісами й API (програмні інтерфейси) партнерів. Саме там криптографію найчастіше забувають.

2. Пріоритети за строком життя даних. Запишіть, як довго дані кожної системи мають лишатися таємними, і порівняйте з оцінкою тривалості переходу, як у логіці Моски. Спершу йдуть системи, де строк секретності довгий, а дані проходять каналами, які можна перехопити: міжофісні VPN, передавання архівів, інтеграції з партнерами. NCSC радить те саме: виділити сервіси з найціннішими або довгоживучими даними та ті, що залежать від довгоживучого обладнання.

3. Стратегія для кожної системи. Не все треба мігрувати. NCSC описує п'ять варіантів: міграція на місці, перенесення на нову платформу, виведення з експлуатації, робота до кінця життєвого циклу або свідоме прийняття ризику.

4. Криптографічна гнучкість. Це здатність змінити алгоритм, не переробляючи систему; NIST закликає закладати її в інфраструктуру. Практично: алгоритми й довжини ключів задаються налаштуваннями, а не зашиті в код; бібліотеки оновлюються централізовано; сертифікатами керує процес, а не одна людина з таблицею. Перш ніж купувати нову систему, з'ясуйте, чи вона вміє змінювати алгоритм. NIST додає застереження для пристроїв, де перевірку підпису не можна оновити після випуску: якщо вони можуть пережити появу відповідного комп'ютера, постквантові підписи потрібні від початку.

5. Вимоги до постачальників. Значну частину вашої криптографії надають інші: хмара, SaaS (програмне забезпечення як послуга), підрядник, що адмініструє ІТ, виробники мережевого обладнання. NCSC зазначає, що управлювані провайдери теж мають провести таку оцінку для всіх своїх сервісів. Поставте питання письмово:

• чи знаєте ви, де сервіс, який ви нам надаєте, використовує асиметричну криптографію?

• який ваш план і орієнтовні строки переходу на постквантові алгоритми?

• чи можна змінити алгоритм налаштуванням, чи потрібна нова версія?

• як ви повідомите нас про зміни, що вплинуть на сумісність?

Занесіть відповіді в договори й угоди про рівень сервісу (SLA) для нових і поновлюваних контрактів. Вендор-нейтральне правило: «ми стежимо за ситуацією» не є планом.

6. Дорожня карта. Зведіть усе в один короткий документ і візьміть горизонти NCSC як каркас: спершу виявлення, цілі й початковий план, далі найпріоритетніші переходи, потім решта. У кожного пункту мають бути власник, залежності, план відкату й рядок у бюджеті. NCSC радить закласти гроші і на підготовчі дії, а не лише на саму міграцію.

Гібриди й TLS: не поспішайте і не відмовляйтеся

Для обміну ключами NIST описує гібридні схеми, де постквантовий і класичний алгоритми працюють разом: ключ безпечний, поки стійкий принаймні один із них. Це страховка від помилки в новому алгоритмі, але, за NIST, гібриди додають складності й ризиків і зазвичай лишаються тимчасовим заходом. Рішення залежить від застосування.

Окремо NIST називає TLS раннім пріоритетом, а TLS 1.3 практичним шляхом до постквантового обміну ключами. Тож якщо ваші сервіси ще працюють на старих версіях TLS, оновлення до TLS 1.3 є хорошою підготовкою за будь-яких квантових планів.

Типові помилки

• Чекати 2035-го. Строк X у ваших даних може сягати далі, а перехід (Y) довгий.

• Вважати, що все треба шифрувати заново. Проблема в асиметричній частині.

• Купити «квантовий захист» до інвентаризації. Без списку систем незрозуміло, що саме він захищає.

• Покладатися на постачальників без запитань. «Це робить хмара» не відповідає, що з вашими ключами.

• Вести реєстр без власника. Без дати наступного перегляду він застаріє швидше за сертифікати.

Що це означає для українських компаній

Окремих українських вимог щодо постквантового переходу ми тут не розбираємо й не стверджуємо: якщо ви працюєте під наглядом регулятора, уточніть це в нього. Практична картина для більшості така.

Українські ІТ-компанії й експортери, що працюють із європейськими й американськими замовниками, можуть отримати запитання про криптографічну готовність у чергових опитувальниках безпеки, бо плани держав ЄС доходять до бізнесу саме через ланцюг постачання. Банки, страховики та інші компанії, що тривалий час зберігають персональні, фінансові чи медичні дані, мають довгий строк X: їм варто почати з класифікації даних. Хто розробляє власне програмне забезпечення чи пристрої, мусить подумати про підпис коду й оновлення прошивок. А хто винятково користується типовими хмарними сервісами, значною мірою залежить від плану своїх постачальників, тому вимоги до них і є головним важелем.

Практичний вхід: аудит кібербезпеки показує, де криптографія і її керування в організації слабкі вже зараз: прострочені сертифікати, застарілі версії протоколів, ключі без власника. Оцінка безпеки системної інфраструктури допомагає побачити, які протоколи й налаштування реально працюють у мережі, VPN і серверах. А якщо у вас уже є система управління інформаційною безпекою за ISO 27001, реєстр криптографії природно вести в тому самому обліку активів і ризиків; про це більше на сторінці впровадження ISO 27001.

З чого почати цього місяця

Не з вибору алгоритму. Візьміть три найважливіші системи: ту, що найбільше зберігає, ту, що найбільше передає назовні, і ту, що найдовше проживе. Для кожної дайте відповідь на п'ять запитань: що шифрується, чим, ким керується, скільки років ці дані мають лишатися таємними, чи можна змінити алгоритм без переробки. Далі додайте решту систем, надішліть питання постачальникам і складіть першу версію дорожньої карти.

Якщо відповідей не знайшлося, це нормальний початок, а не провал. Криптографія в більшості організацій складалася десятиліттями, і ніхто не вів її облік.

Часті запитання

Чи справді RSA заборонять у 2030 році?

Ні. За IR 8547 RSA, ECDSA, EdDSA та обмін ключами на DH і ECDH матимуть статус «Deprecated after 2030» (не рекомендовано, власник даних сам оцінює ризик) і «Disallowed after 2035» (заборонено). Настанови для окремих застосувань можуть вимагати раніших строків.

Чи стосується це малого бізнесу?

Так, але легше. NCSC пише, що для організацій на типовому ІТ перехід має відбуватись разом з оновленнями вендорів. Оновлюйте системи, спитайте ключових постачальників про плани й складіть перелік власного: код, пристрої, інтеграції.

Що таке криптографічна гнучкість простими словами?

Можливість змінити алгоритм чи довжину ключа налаштуванням або оновленням бібліотеки, а не переписуванням системи. Це страховка і на випадок, якщо нові алгоритми виявляться слабшими, ніж очікувалось, і для майбутніх змін стандартів.

Чи потрібні гібридні рішення?

Не обов'язково. NIST їх дозволяє, але попереджає про складність і ризики й очікує, що вони будуть тимчасовими. Перед запуском гібриду потрібен окремий огляд безпеки.

Чи може дорожня карта ЄС зобов'язувати мою компанію?

Документ адресований державам-членам: старт переходу до кінця 2026 року, високоризикові сценарії не пізніше кінця 2030. Обов'язки компаній визначають національні регулятори, галузеві правила й договори із замовниками. Це питання до вашого юриста й регулятора.

Хочете подивитися разом, де криптографія живе у вашій інфраструктурі й що з цього справді терміново? Поговоримо.