Postkvantové šifrovanie ľudsky: čo je ML-KEM

Stručne: Postkvantové šifrovanie chráni dáta aj pred budúcimi kvantovými počítačmi. Rieši sa už teraz kvôli útoku „ulož teraz, rozlúšti neskôr“: zašifrovanú komunikáciu môže niekto uložiť dnes a prečítať o roky. ML-KEM je štandardizovaný algoritmus na výmenu kľúčov, ktorý sa dnes používa v kombinácii s klasickým X25519.

Keď som klientom začal hovoriť, že moje systémy používajú postkvantové šifrovanie, najčastejšia reakcia bola: „Veď kvantové počítače ešte neexistujú.“ Majú pravdu. A napriek tomu to má zmysel riešiť dnes. Poďme si to vysvetliť bez vzorcov.

Ako dnes funguje šifrované spojenie

Keď otvoríte web cez https, váš prehliadač a server sa najprv dohodnú na tajnom kľúči. Všetko ďalšie sa ním šifruje. Tá dohoda je najcitlivejšia chvíľa — ak by ju niekto vedel spätne „rozlúštiť“, prečíta aj všetko, čo sa potom poslalo.

Dnešné dohody o kľúči stoja na matematických úlohách, ktoré sú pre bežné počítače prakticky neriešiteľné. Kvantový počítač dostatočnej veľkosti by však niektoré z nich vedel riešiť výrazne rýchlejšie. Týka sa to práve metód, ktoré sa dnes používajú na výmenu kľúčov a digitálne podpisy.

Prečo teraz: „ulož teraz, rozlúšti neskôr“

Útočník nemusí mať kvantový počítač dnes. Stačí mu dnes nahrať šifrovanú komunikáciu a počkať. Keď raz bude mať dostatočne silný stroj, rozlúšti si ju.

Pri väčšine vecí to nevadí — kto bude o desať rokov riešiť váš dnešný nákup? Ale sú dáta, ktoré majú byť tajné dlho:

zdravotné záznamy,
zmluvy a obchodné tajomstvá,
osobné údaje,
prístupové kľúče, ktoré sa nemenia.

Pri nich je rozumné chrániť sa už dnes.

Čo je ML-KEM

ML-KEM je metóda na dohodu o kľúči, ktorá je navrhnutá tak, aby odolala aj kvantovým počítačom. Americký úrad pre štandardy NIST ju vydal ako štandard FIPS 203 v auguste 2024 (predtým bola známa pod menom Kyber).

Dôležité je, ako sa dnes nasadzuje: hybridne. Spojenie sa dohodne naraz klasickou metódou (napríklad X25519) aj ML-KEM. Útočník by musel prelomiť obe. Ak by sa v novej metóde časom našla slabina, stále vás chráni tá stará — a naopak.

Veľké prehliadače a poskytovatelia ako Cloudflare hybridnú výmenu kľúčov v TLS už podporujú. Ak váš web beží za takouto infraštruktúrou, časť ochrany môžete mať bez toho, aby ste o tom vedeli.

Čo to znamená pre bežného vývojára

Dobrá správa: matematiku robiť nemusíte. Nikdy si nepíšte vlastné šifrovanie. Používajte overené knižnice a štandardné protokoly.

Praktické kroky:

Web a API – nechajte TLS na infraštruktúre, ktorá podporuje hybridnú výmenu kľúčov. Často je to len o tom, cez akú službu web beží.
Vlastná aplikácia, ktorá komunikuje so serverom – ak ide o citlivé dáta, zistite, či vaša TLS knižnica hybridnú výmenu podporuje, a zapnite ju.
Šifrované zálohy a súbory – pri dlhodobo uchovávaných dátach zvážte knižnice, ktoré ML-KEM podporujú, opäť ideálne hybridne.
Inventúra – spíšte si, kde všade používate šifrovanie a kľúče. Pri zmene je to najťažšia časť.

Čo netreba robiť

Nepanikárte. Symetrické šifrovanie (napríklad AES s dostatočne dlhým kľúčom) a hašovanie sú kvantovými počítačmi ohrozené podstatne menej. Týka sa to hlavne výmeny kľúčov a podpisov.
Nenasadzujte „postkvantové“ riešenia od neznámych autorov. Držte sa štandardov (FIPS 203 pre výmenu kľúčov, FIPS 204 a FIPS 205 pre podpisy) a knižníc s dobrou povesťou.
Nesľubujte klientom „nerozlúštiteľné“. Bezpečnosť je proces, nie nálepka.

Úloha na precvičenie: pozrite sa, čím sa pripája váš prehliadač

Nemusíte nič inštalovať. V Chrome otvorte ľubovoľný web cez https, stlačte F12 a prejdite na kartu Security (Zabezpečenie). Uvidíte, akým protokolom a akou výmenou kľúča sa spojenie dohodlo. Pri niektorých weboch tam nájdete hybridnú výmenu s ML-KEM, pri iných klasickú.

Skúste porovnať pár webov — veľké služby, malý firemný web, web za CDN. Rýchlo pochopíte, že postkvantová ochrana dnes často nezávisí od programátora webu, ale od toho, cez akú infraštruktúru web beží.

Časté otázky

Kedy budú kvantové počítače také silné? Nikto to nevie presne. Odhady sa líšia o roky až desaťročia. Práve preto sa oplatí pripraviť skôr — výmena šifrovania vo veľkých systémoch trvá dlho.

Spomalí to web? Hybridná výmena kľúča pridá pri nadväzovaní spojenia trochu dát navyše. Pri bežnom používaní to nepoznáte.

Týka sa to hesiel používateľov? Heslá sa správne ukladajú ako haš, nie šifrovane. Tam je dôležitejšie používať moderné hašovacie funkcie a dlhé heslá. Postkvantové šifrovanie rieši hlavne prenos a dlhodobo uložené šifrované dáta.

Prečo to riešim ja

Robím systémy, v ktorých sú osobné a firemné údaje. Keď sa dá chrániť ich budúcnosť za rozumnú cenu, je to podľa mňa súčasť slušnej práce. Nie reklamný trik, ale to isté ako zamknúť dvere, aj keď ste zlodeja ešte nevideli.

Zdroje: NIST, FIPS 203 – Module-Lattice-Based Key-Encapsulation Mechanism Standard (august 2024), csrc.nist.gov/pubs/fips/203/final.