Autentificare post-cuantică: Ghidul complet (2026)

TL;DR

• Autentificarea post-cuantică protejează sistemele de identitate împotriva unui viitor calculator cuantic care ar putea falsifica semnăturile digitale în care are încredere SSO-ul tău.
• Pentru un furnizor de identitate (IdP), riscul cuantic este în primul rând un risc de falsificare a semnăturilor, nu doar un risc de criptare — și lovește mai întâi cheia ta de semnare.
• Standardele NIST relevante sunt FIPS 203 (ML-KEM) pentru schimbul de chei și FIPS 204 (ML-DSA) / FIPS 205 (SLH-DSA) pentru semnături, finalizate în august 2024.
• Calea pragmatică de migrare este criptografia hibridă (composite) — clasică + post-cuantică împreună — pe parcursul unei ferestre care se întinde aproximativ de acum până în 2030–2035.

Ultima actualizare: 2026-06-12

Ce este autentificarea post-cuantică?

Autentificarea post-cuantică este practica de a securiza sistemele de identitate și de autentificare cu algoritmi criptografici care rămân siguri împotriva atacurilor de la calculatoare cuantice de mare amploare. Aceasta înlocuiește sau completează semnăturile clasice și schimbul de chei (RSA, ECDSA, Ed25519) cu primitive post-cuantice standardizate de NIST, astfel încât semnarea token-urilor, stabilirea sesiunilor și încrederea în federație să nu poată fi falsificate sau sparte de un viitor adversar cuantic.

În practică, asta înseamnă că un furnizor de identitate continuă să demonstreze „acest token a venit cu adevărat de la mine” chiar și după ce există un calculator cuantic relevant criptografic. Matematica clasică pe care se bazează autentificarea astăzi — dificultatea factorizării și a logaritmului discret pe curbe eliptice — este exact ceea ce demontează algoritmul lui Shor. Așadar, autentificarea post-cuantică este mai puțin o singură funcționalitate și mai degrabă o migrare a fiecărui ancoraj de încredere din stiva ta de autentificare către o bază rezistentă cuantic.

Acest ghid este nucleul unei serii mai ample. Modelul de amenințare mai detaliat se află în harvest now, forge later: amenințarea cuantică asupra SSO; detaliile standardelor în NIST FIPS 204 (ML-DSA) pentru ingineri; iar stratul de încredere la nivel de dispozitiv în autentificare prin atestare hardware.

De ce sunt în pericol semnăturile clasice (RSA, ECDSA, Ed25519)

Fiecare furnizor de identitate OIDC semnează token-urile pe care le emite. Un ID token sau un JWT access token poartă o semnătură pe care părțile care se bazează pe el (relying parties, RP) o verifică cu cheia publică a IdP-ului, publicată de obicei într-un document JWKS. Acea semnătură este întreaga bază a încrederii: un RP acceptă un token pentru că matematica spune că doar deținătorul cheii private de semnare l-ar fi putut produce.

Calculul cuantic distruge această presupunere pentru algoritmii folosiți astăzi. Algoritmul lui Shor, rulat pe un calculator cuantic suficient de mare și tolerant la erori, recuperează o cheie privată RSA sau pe curbă eliptică din omoloaga sa publică. În momentul în care asta devine fezabil, un atacator care a văzut doar cheia ta publică poate calcula cheia ta privată și poate emite token-uri care se verifică perfect. Fără phishing, fără furt de chei, fără insider — doar identitate falsificată chiar de la rădăcină.

Aceasta este partea pe care multe echipe o subestimează. Eșecurile de criptare expun date; eșecurile de semnătură expun însăși încrederea. Pentru un IdP, cheia de semnare este o rădăcină de încredere de care depinde tot ce urmează în aval — fiecare aplicație federată, fiecare API. O semnătură IdP falsificată nu înseamnă un singur cont compromis; este o fabrică de credențiale.

Cum se citește diagrama: Această diagramă de flux arată unde lovește mai întâi riscul post-cuantic într-o implementare OIDC. Săgețile continue reprezintă fluxul normal — un utilizator se autentifică, IdP-ul semnează un token cu cheia sa privată de semnare, iar părțile care se bazează pe el îl verifică folosind cheia publică corespondentă din JWKS. Săgețile punctate arată atacul: deoarece cheia publică este, prin proiectare, publicată tuturor, un adversar cuantic care rulează algoritmul lui Shor poate deriva cheia privată din ea și poate falsifica token-uri pe care fiecare parte care se bazează pe ele le acceptă ca fiind autentice. Concluzia este că unica cheie de semnare este ținta cu cea mai mare valoare din întregul sistem, iar protejarea ei este prima sarcină a autentificării post-cuantice.

Standardele NIST care contează pentru autentificare: FIPS 203, 204, 205

În august 2024, NIST a publicat primele standarde post-cuantice finalizate, rezultatul unui proces global de selecție de opt ani. Trei documente contează pentru identitate:

• FIPS 203 — ML-KEM (Module-Lattice Key-Encapsulation Mechanism, derivat din CRYSTALS-Kyber). Acesta este pentru schimbul de chei — stabilirea de chei de sesiune cu forward-secrecy. Este răspunsul post-cuantic la problema „harvest now, decrypt later” în transport și la stabilirea sesiunii.
• FIPS 204 — ML-DSA (Module-Lattice Digital Signature Algorithm, derivat din CRYSTALS-Dilithium). Acesta este standardul de semnătură cel mai relevant pentru autentificare — cel care îți protejează cheia de semnare a IdP-ului. Seturile de parametri sunt ML-DSA-44, -65 și -87, corespunzând categoriilor de securitate NIST 2, 3 și 5.
• FIPS 205 — SLH-DSA (Stateless Hash-Based Digital Signature Algorithm, derivat din SPHINCS+). O alternativă de semnătură conservatoare, bazată pe hash, a cărei securitate se sprijină pe presupuneri diferite de cele ale rețelelor (lattices) — valoroasă ca asigurare.

Întregul program se află sub proiectul NIST Post-Quantum Cryptography. Pentru o cheie de semnare care este rădăcină de încredere, alegerea prudentă este nivelul cel mai înalt, ML-DSA-87 (Categoria 5) — tratat în profunzime în referința pentru ingineri privind FIPS 204.

O notă practică: semnăturile post-cuantice sunt mari. O semnătură ML-DSA-87 brută are aproximativ 4,6 KB față de 64 de octeți pentru Ed25519. Această dimensiune este o provocare de inginerie binecunoscută la nivelul întregii industrii pentru orice transportă semnături în interiorul HTTP — și fiecare furnizor serios trebuie să țină cont de ea. (Modul în care un anumit produs gestionează acest lucru eficient face parte din propriul său design; acest ghid rămâne la nivelul standardelor.)

Risc de criptare vs. risc de semnătură: harvest-now-decrypt-later vs. forge-later

Amenințarea cuantică se împarte clar în două cronologii, iar confundarea lor face echipele să planifice pentru cea greșită.

Harvest now, decrypt later este riscul de confidențialitate. Un adversar înregistrează astăzi trafic criptat și îl stochează până când un calculator cuantic îl poate decripta. Datele trebuie să rămână sensibile doar suficient de mult timp pentru ca acea zi să sosească. Acesta este ceea ce abordează FIPS 203 / ML-KEM și transportul post-cuantic și este motivul pentru care organisme precum ENISA îndeamnă la migrare acum pentru secretele cu durată lungă de viață.

Forge later este riscul de autentificare și, pentru un IdP, este probabil mai grav. O semnătură nu trebuie recoltată în prealabil — un atacator așteaptă pur și simplu până când există capacitatea cuantică, apoi falsifică semnături noi împotriva unei chei publice care a fost publicată deschis ani de zile. Deoarece cheia de semnare a IdP-ului este o rădăcină de încredere, o singură falsificare compromite deodată pe toți cei din aval. Argumentul complet se află în harvest now, forge later: amenințarea cuantică asupra SSO-ului tău. Pe scurt: riscul de criptare ține de datele tale vechi; riscul de semnătură ține de încrederea ta viitoare.

Cum se citește diagrama: Această cronologie cadrează fereastra de migrare împotriva căreia ar trebui să planifice majoritatea organizațiilor, de la standardizarea din 2024 a FIPS 203/204/205 până aproximativ în 2035. Nu este, în mod deliberat, o numărătoare inversă către o singură dată apocaliptică; în schimb, marchează etapele care ar trebui să îți ghideze foaia de parcurs — sosirea standardelor, piloții hibrizi, presiunea de reglementare a UE și așteptarea NSA CNSA 2.0 ca post-cuanticul să fie standard în toate sistemele noi până în 2030. Ideea cheie este că acel „later” din forge-later nu este abstract: munca de migrare a cheilor, de actualizare a părților care se bazează pe ele și de demonstrare a conformității durează ani, așa că termenul practic pentru a începe este acum, nu atunci când un calculator cuantic ajunge în știri.

Strategii de migrare: rip-and-replace vs. hibrid (composite)

Există două moduri de a muta autentificarea pe o bază post-cuantică.

Rip-and-replace schimbă semnăturile clasice cu ML-DSA pur. Este simplu de raționat, dar riscant: presupunerile bazate pe rețele (lattices) sunt tinere, iar a-ți angaja întreaga rădăcină de încredere către o singură nouă familie de matematică — fără niciun plan de rezervă dacă se descoperă o slăbiciune în timpul tranziției — este agresiv pentru ceva atât de critic precum identitatea.

Hibrid (composite) combină o semnătură clasică și una post-cuantică, astfel încât un token este valid doar dacă ambele părți se verifică. Încrederea se menține atât timp cât oricare dintre primitive rămâne nespartă: ești protejat împotriva unei spargeri cuantice a algoritmului clasic și împotriva unei slăbiciuni neașteptate în cel post-cuantic, încă tânăr. IETF standardizează această abordare în draft-ietf-lamps-pq-composite-sigs. Conceptul — și doar conceptul — este detaliat în explicația noastră despre semnăturile composite; acest ghid îl menține la nivel conceptual și trimite mai departe prin linkuri, în loc să detalieze vreo tehnică de transport.

Ca exemplu concret, CAI-AUTH, un furnizor OIDC post-cuantic din UE, își semnează token-urile cu o schemă composite ML-DSA-87 + Ed25519 (id-ul alg CAI-PQ-HYBRID-87-Ed25519, urmând draftul composite IETF) și folosește un KEM hibrid X25519 + ML-KEM-1024 pentru sesiuni cu forward-secrecy. CAI Technology nu este o autoritate guvernamentală. Ideea de aici este modelul — centură-și-bretele — nu vreun anumit furnizor; designul patent-pending care face acest lucru practic peste transportul standard este descris la nivel înalt pe pagina patent-pending design.

Unde lovește mai întâi post-cuanticul un OIDC / IdP

Dacă mapezi expunerea post-cuantică pe o implementare tipică de identitate, apare o ordine clară de prioritate:

1. Cheia de semnare a IdP-ului — activul cu cea mai mare valoare, deoarece falsificarea ei compromite deodată fiecare RP. Migrează asta mai întâi.
2. Federația și ancorele de încredere — încrederea SAML/OIDC între furnizori și orice material de semnare cu durată lungă de viață partajat între organizații.
3. Stabilirea cheilor de sesiune — stratul ML-KEM / forward-secrecy care abordează harvest-now-decrypt-later pentru datele de sesiune.
4. Verificarea de către partea care se bazează (relying party) — bibliotecile RP de astăzi înțeleg RS256, ES256 și EdDSA, nu algoritmi composite, așa că lansarea necesită negociere ghidată de discovery și fallback elegant.

Credențialele legate de hardware (hardware-bound) și atestarea dispozitivului stau alături de aceasta: chiar și un token sigur cuantic este mai slab dacă poate fi emis pe un dispozitiv rootat sau emulat, motiv pentru care autentificarea obligatorie prin atestare hardware face parte din aceeași discuție. Iar de ce acum pentru firmele din UE este accentuat de presiunea suveranității — vezi identitate suverană UE vs. US CLOUD Act — și de mișcarea către MFA rezistent la phishing. Echipele care evaluează furnizori încep adesea cu alternative la Okta și Auth0 pentru companiile din UE.

O verificare proprie în 5 pași a pregătirii post-cuantice

Folosește această verificare originală cu cinci întrebări pentru a evalua cât de expusă este stiva ta de autentificare astăzi. Răspunde sincer; fiecare „nu” este o lacună.

1. Inventar — Cunoști fiecare cheie de semnare din stiva ta de identitate (token-uri IdP, federație, semnare de cod) și ce algoritm folosește fiecare?
2. Crypto-agilitate — Poți schimba un algoritm de semnare prin configurare și discovery, fără să re-arhitecturezi părțile care se bazează pe el?
3. Prioritatea semnăturii — Ai clasificat riscul forge-later asupra cheii de semnare a IdP-ului ca fiind separat de (și mai urgent decât) riscul decrypt-later asupra datelor?
4. Pregătire hibridă — Poate IdP-ul tău să publice o cheie de semnare hibridă/composite în JWKS și să o anunțe prin discovery OIDC standard?
5. Cronologia migrării — Ai un plan cu date care se aliniază cu fereastra 2030–2035 și cu regimurile relevante de conformitate ale UE (DORA, NIS2)?

Cinci răspunsuri „da” înseamnă că ești crypto-agil și înaintea curbei. Trei sau mai puține înseamnă că riscul forge-later asupra rădăcinii tale de încredere este în prezent negestionat.

FAQ

Ce este autentificarea post-cuantică?

Autentificarea post-cuantică securizează sistemele de autentificare și de identitate cu algoritmi standardizați de NIST care rezistă atacurilor cuantice. Aceasta înlocuiește sau completează semnăturile clasice și schimbul de chei (RSA, ECDSA, Ed25519) cu primitive precum ML-DSA și ML-KEM, astfel încât semnarea token-urilor, sesiunile și încrederea în federație să nu poată fi falsificate sau sparte de un viitor calculator cuantic relevant criptografic.

Vor sparge calculatoarele cuantice SSO-ul?

Riscul principal pentru SSO este falsificarea semnăturilor, nu decriptarea datelor. Un calculator cuantic suficient de mare care rulează algoritmul lui Shor ar putea recupera cheia privată de semnare a unui IdP din cheia sa publică și ar putea emite token-uri pe care fiecare parte care se bazează pe ele le acceptă ca fiind autentice. Deoarece acea cheie este o rădăcină de încredere, o singură falsificare compromite simultan fiecare aplicație federată din aval.

Când trebuie să migrez către autentificarea post-cuantică?

Începe acum. NIST a finalizat FIPS 203/204/205 în 2024, iar NSA CNSA 2.0 așteaptă criptografie post-cuantică în toate sistemele noi până în 2030, cu o depreciere amplă a metodelor exclusiv clasice până în jurul anului 2035. Logica forge-later înseamnă că cheile de semnare publicate astăzi sunt deja expuse falsificării cuantice viitoare, așa că planificarea migrării nu poate aștepta un calculator cuantic funcțional.

Care este diferența dintre semnăturile hibride și cele pur post-cuantice?

O semnătură pur post-cuantică folosește doar un algoritm nou, precum ML-DSA. O semnătură hibridă (composite) combină o semnătură clasică și una post-cuantică, astfel încât un token este valid doar dacă ambele se verifică. Hibridul te menține protejat atât timp cât oricare dintre primitive rezistă, asigurându-te împotriva atât a unei spargeri cuantice, cât și a unei slăbiciuni nedescoperite în schema post-cuantică mai tânără în timpul tranziției.

Vezi un document live de discovery OIDC post-cuantic la auth.caitech.ro/.well-known/openid-configuration — JWKS-ul și algoritmii anunțați împotriva cărora o parte care se bazează pe el ar negocia efectiv.