ML-KEM-768 post-quantum

Kyber · первый пост-квантовый стандарт для обмена ключами

Что это

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) — механизм инкапсуляции ключей на решётчатой криптографии. Опубликован NIST как FIPS 203 в августе 2024 года. Основан на схеме CRYSTALS-Kyber, победителе конкурса NIST PQC (2016-2022).

Число 768 — уровень безопасности:

• ML-KEM-512 — ~AES-128, самый быстрый
• ML-KEM-768 — ~AES-192, компромисс скорость/размер, рекомендуется для TLS
• ML-KEM-1024 — ~AES-256, самый безопасный

Зачем нужен

Все классические схемы обмена ключами (RSA, DH, ECDH включая X25519) ломаются алгоритмом Шора на квантовом компьютере. Как только появится достаточно мощный квантовый компьютер — весь перехваченный TLS-трафик прошлых лет можно расшифровать задним числом (атака «harvest now, decrypt later»).

ML-KEM основан на задаче Module Learning With Errors (M-LWE) — решётчатой задаче, для которой пока нет эффективного квантового алгоритма.

Как работает KEM (не как DH)

ML-KEM — это не Diffie-Hellman. Это Key Encapsulation Mechanism:

Сервер                                    Клиент
─────────────────────────────────────────────
(pk, sk) = KeyGen()
                    ────pk────►
                                          (ct, K) = Encaps(pk)
                    ◄────ct────
K = Decaps(sk, ct)                        K

       ── оба получили одинаковый ~32-байтовый ключ ──

Клиент инкапсулирует случайный секрет с помощью публичного ключа сервера, получая шифротекст ct и общий ключ K. Сервер приватным ключом декапсулирует шифротекст и получает тот же K.

Размеры (это боль)

Гибридные схемы в TLS 1.3

Никто не использует ML-KEM «в одиночку» — в TLS применяют гибрид:

Итоговый общий секрет = конкатенация обоих shared secrets, затем HKDF. Так что даже если ML-KEM неожиданно окажется сломан, X25519 держит защиту от классических атак; если Шор станет реальностью — держит ML-KEM.

Развёртывание

Проверить самому

Открыть в Chromium-браузере:

chrome://net-export

Или зайти на pq.cloudflareresearch.com — там показывают, какая group использована. Если X25519MLKEM768 — значит соединение защищено от квантовых атак.

Или в nginx поднять переменную $ssl_curve в лог/заголовок:

add_header X-SSL-Group $ssl_curve always;

Почему именно 768

NIST рекомендует ML-KEM-768 как «золотую середину»:

• ML-KEM-512 — на грани минимума, при обнаружении атак может ослабнуть.
• ML-KEM-1024 — избыточная защита для большинства TLS-сценариев, зато размеры ключей ещё больше.
• ML-KEM-768 — соответствует безопасности AES-192 против квантовых атак, что комфортно на 20+ лет вперёд.

Криптографическая основа

Задача M-LWE (Module Learning With Errors):
Даны матрица A и вектор b = A·s + e (mod q).
Найти s, зная A и b, где e — маленькая ошибка.

Для параметров ML-KEM-768: q = 3329, размерность модуля k=3, полиномы степени 256. Кванторезистентность гарантирована, если M-LWE остаётся сложной задачей.