Post quantum TLS: защо започнахме миграцията на API тата си през 2026

Post quantum криптографията доскоро беше тема за изследователски лаборатории. След като NIST финализира Module Lattice KEM стандарта и двата основни браузъра пуснаха ML KEM 768 хибриден обмен на ключове по подразбиране в края на 2025, тя спря да бъде опционална за всеки, който държи дълготрайни TLS endpoint и с регулирани данни.

Защо 2026, а не 2030

Заплахата не е квантов компютър утре. Тя е моделът „запиши днес, разшифровай по късно“: трафик, записан днес, може да чака в архив, докато се появи достатъчно мощна машина, при което класическите ECDHE ключове стават ретроактивно четими. За интеграция в петролния бизнес или с фискални данни, с изискване за двадесетгодишно съхранение, това е въпрос на съответствие, не на спекулация.

Какво променихме първо

Преминахме публичните API edge ове на хибриден X25519+ML KEM 768 обмен, запазвайки класическите подписи засега. Нашите reverse proxy (nginx 1.27 с OpenSSL 3.5 provider) договарят хибридната група, когато клиентът я поддържа, и правят чист fallback. Измерихме 1.8 ms медианно забавяне на handshake и 1.1 KB увеличение на ClientHello достатъчно малко, за да не се налага промяна в клиентски настройки.

Какво се счупи

Не много, но провалите бяха шумни. Три по стари B2B клиента с pinned CA bundle отхвърлиха по големия ServerHello. Две embedded устройства при клиенти фърмуер за POS терминал от 2019 и ATG gateway от 2021 не поддържаха новите групи и трябваше да останат на legacy listener за определен период. Документирайте ги в плана; не ги откривайте в продукция.

Какво следва

Хибриден KEM е лесната стъпка. Post quantum подписите са по трудната: ML DSA сертификатите са значително по големи и ще принудят честни разговори за OCSP stapling и дълбочина на веригата. Очакваме пилот с PQ подписи на вътрешни endpoint и през Q3 и решение, обърнато към клиентите, в края на годината.