Строим

Methmailприватная почта

Что такое постквантовое шифрование

Обновлено: · Источники проверены:

Коротко. Постквантовое шифрование использует алгоритмы, которые, как ожидается, не взломает и будущий квантовый компьютер. Важно оно уже сейчас: зашифрованную почту можно скопировать сегодня и расшифровать через годы. Стандарты готовы: основные NIST опубликовал в 2024 году [1], а у почты с OpenPGP свой стандарт появился в июне 2026-го [4]. Обычно новый алгоритм сочетают с классическим, чтобы взлома одного было мало.

Что сломает квантовый компьютер

Шифрование почты сегодня держится на двух видах криптографии [5]:

  • Алгоритмы с открытым ключом: RSA и эллиптические кривые (ECDH, ECDSA, EdDSA). Ими договариваются о ключах и подписывают письма. Достаточно большой квантовый компьютер сможет вычислить закрытый ключ по открытому [7], а значит, прочитать или подделать письма.
  • Симметричное шифрование, например AES. Им шифруется само содержимое. Квантовые компьютеры заметно его не ослабляют: ключи от 128 бит можно использовать и дальше [5].

Выходит, слабое место в обмене ключами. Кто восстановит закрытый ключ, тот расшифрует всё, что этим ключом защищено.

«Собрать сейчас, расшифровать потом»

Злоумышленнику не нужно ждать квантового компьютера, чтобы начать. Зашифрованный трафик и копии зашифрованной почты можно собрать уже сегодня, а расшифровать, когда такая машина появится [5] [7]. Для писем, которые должны оставаться тайной годами, например медицинских, юридических или деловых, риск есть уже сейчас.

Когда появится такой компьютер, не знает никто. Оценки того, насколько большим он должен быть, падают: в 2019 году считалось, что для взлома ключа RSA длиной 2048 бит нужно 20 миллионов «шумных» кубитов, а по оценке 2025 года от одного из авторов той работы хватит меньше миллиона и меньше недели работы [6]. В черновике плана перехода NIST предлагает после 2035 года запретить нынешние подписи с открытым ключом, в том числе RSA и ECDSA [3].

Новые стандарты

  • Август 2024. NIST опубликовал три стандарта: FIPS 203 (ML-KEM) для шифрования, FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA) для подписей [1].
  • Март 2025. NIST выбрал запасным к ML-KEM алгоритм HQC. Он построен на другой математике, поэтому, если в одном найдут слабость, останется второй [2].
  • Июнь 2026. RFC 9980 добавил постквантовые алгоритмы в OpenPGP, стандарт зашифрованной почты: ML-KEM в паре с X25519 или X448 для шифрования, ML-DSA в паре с Ed25519 или Ed448, а также SLH-DSA для подписей [4].

Почему гибрид

Новые алгоритмы молоды. Поэтому классический и постквантовый алгоритмы используют вместе, и ключ зависит от обоих: чтобы расшифровать письмо, придётся взломать оба [4].

В вебе это уже норма. Chrome, Firefox и системы Apple по умолчанию договариваются о ключах именно так, и к октябрю 2025 года больше половины HTTPS-трафика от людей к Cloudflare шло с гибридным X25519MLKEM768 [9]. Мессенджеры перешли раньше: Signal в сентябре 2023 года [7], iMessage в феврале 2024-го [8].

Постквантовая почта сегодня

  • Между пользователями одного сервиса. Некоторые почтовые сервисы уже используют гибридную схему: Tuta включила её по умолчанию для новых аккаунтов в марте 2024 года [10], Proton предлагает её как опцию с мая 2026-го [11].
  • Между разными сервисами. Только через OpenPGP и только если обе стороны поддерживают ключи по RFC 9980. Такие ключи понимают ещё не все PGP-программы: GnuPG, например, по умолчанию их не поддерживает [12]. Подробнее в статье «Что такое PGP».
  • Почта без сквозного шифрования. Между почтовыми серверами она идёт по TLS. Будет ли этот участок постквантовым, зависит от серверов на обоих концах.

Чего постквантовое шифрование не меняет

  • Метаданные. Адреса, время и часто тема остаются видны, как и при классическом шифровании. Подробнее в статье «Метаданные письма».
  • Подписи. Там, где они остаются классическими, будущий квантовый компьютер сможет их подделать. Подпись подтверждает авторство, но содержимого не скрывает.
  • Ваше устройство и получатель. Шифрование не защищает от вредоносной программы на вашем устройстве и от получателя, который перешлёт ваше письмо.

Постквантовое шифрование и Methmail

Письма между пользователями Methmail и вся хранимая почта будут защищены гибридным постквантовым шифрованием (ML-KEM-768 и X25519), по умолчанию и с первого дня. Чтобы расшифровать письмо, придётся взломать оба алгоритма. Внешнему PGP-адресату письмо уйдёт постквантовым, только если его ключ поддерживает стандарт RFC 9980. Для внешней почты без PGP защита в пути будет зависеть от TLS сервера получателя. Письмо от внешнего PGP-отправителя без постквантовой части получит её, когда Methmail у вас в браузере впервые его синхронизирует; до этого оно будет защищено классически. Подписи и проверка входа пока останутся классическими: они подтверждают авторство и доступ и не раскрывают содержимое. На постквантовые подписи перейдём, когда стандарт поддержат основные PGP-программы. Остальные ограничения описаны в разделе «Чего Methmail не сможет».

Источники

  1. NIST: NIST Releases First 3 Finalized Post-Quantum Encryption Standards. 13 августа 2024. https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
  2. NIST: NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption. 11 марта 2025. https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption
  3. NIST IR 8547, черновик для обсуждения: Transition to Post-Quantum Cryptography Standards. Ноябрь 2024. https://csrc.nist.gov/pubs/ir/8547/ipd
  4. RFC 9980: Post-Quantum Cryptography in OpenPGP. IETF, июнь 2026. https://www.rfc-editor.org/rfc/rfc9980
  5. NCSC (Великобритания): Next steps in preparing for post-quantum cryptography (обновлено в апреле 2026). https://www.ncsc.gov.uk/whitepaper/next-steps-preparing-for-post-quantum-cryptography
  6. Craig Gidney: How to factor 2048 bit RSA integers with less than a million noisy qubits. arXiv, май 2025. https://arxiv.org/abs/2505.15917
  7. Signal: Quantum Resistance and the Signal Protocol. 19 сентября 2023. https://signal.org/blog/pqxdh/
  8. Apple Security Research: iMessage with PQ3. 21 февраля 2024. https://security.apple.com/blog/imessage-pq3/
  9. Cloudflare: State of the post-quantum Internet in 2025. 28 октября 2025. https://blog.cloudflare.com/pq-2025/
  10. Tuta: Celebrating one year of quantum-safe encryption in Tuta Mail & Tuta Calendar. 11 марта 2025. https://tuta.com/blog/celebrating-one-year-pq-launch
  11. Proton: Proton Mail introduces post-quantum encryption. 5 мая 2026. https://proton.me/blog/introducing-post-quantum-encryption
  12. GnuPG: GnuPG 2.5.24 and Gpg4win 5.1.1 released (опция --allow-9980, по умолчанию выключена). 23 сентября 2026. https://lists.gnupg.org/pipermail/gnupg-announce/2026q3/000516.html