Кратко

  • RFC 10024 определяет группы X25519MLKEM768, SecP256r1MLKEM768 и SecP384r1MLKEM1024, сочетающие ML-KEM с традиционным эллиптическим компонентом согласования ключей TLS 1.3.
  • Секрет сеанса и аутентификация сервера — разные результаты. Гибридная группа не заменяет автоматически цепочку сертификатов и подпись CertificateVerify.
  • Bas Westerbaan написал RFC вместе с Krzysztof Kwiatkowski, Panos Kampanakis и Douglas Stebila. Стандарт даёт проверяемый этап миграции, а не доказательство постквантовой защиты всей службы.

Термин «постквантовое соединение» удобен до тех пор, пока не требуется понять, какой именно риск закрыт. Записанный сегодня трафик и поддельная в будущем подпись сервера — два разных сценария. Они встречаются в одном протоколе, но требуют разных изменений.

RFC 10024 опубликован в августе 2026 года как Proposed Standard IETF. Документ закрепляет три группы TLS 1.3: X25519 вместе с ML-KEM-768, secp256r1 с ML-KEM-768 и secp384r1 с ML-KEM-1024. Клиент и сервер передают компоненты обеих схем и формируют общий секрет в заданном формате и порядке.

Главная угроза имеет отсроченный эффект. Пассивный противник сохраняет шифротекст и ждёт криптографически значимого квантового компьютера, способного сломать традиционное установление ключей. PQ/T-гибрид нужен для того, чтобы безопасность сеансового секрета не зависела только от классического или только от нового постквантового компонента.

Это существенная защита. Её область — согласование ключей.

Одна стенограмма, разные доказательства

TLS 1.3 передаёт результат обмена ключами в расписание ключей и выводит из него секреты трафика. При сертификатном handshake цепочка доверия и подпись CertificateVerify аутентифицируют сервер. Операции связаны общей стенограммой, но отвечают на разные вопросы.

Согласование ключей показывает, каким способом стороны получили секрет соединения. Аутентификация показывает, что сторона контролирует закрытый ключ доверенного сертификата и подписала стенограмму допустимой схемой. Первый факт не включает второй.

RFC 9794 специально разделяет PQ/T-гибридное установление ключей, гибридные KEM, гибридное шифрование с открытым ключом и гибридные цифровые подписи. Их стандартизация и внедрение могут идти с разной скоростью. RFC 9935 задаёт идентификаторы ML-KEM для X.509, но идентификатор ещё не означает развёрнутую выдачу и доверие, а ML-KEM не становится схемой подписи.

Для пассивного архиватора гибридное согласование уменьшает шанс будущей расшифровки. Для активного противника, способного подделать классическую подпись и выдать себя за сервер, нужны постквантовые подписи, сертификаты, выпуск и проверка. Обе угрозы относятся к квантовой эпохе, но их нельзя закрыть одной отметкой.

Этапность, которую не следует прятать

Cloudflare Research представляет Bas Westerbaan как Research Engineer, продвигающего постквантовую криптографию от инженерной работы и стандартизации до масштабных экспериментов и внедрения. В официальной карточке IETF есть RFC 10024 и другие связанные документы.

При этом авторство остаётся коллективным. Соавторы — Krzysztof Kwiatkowski, Panos Kampanakis и Douglas Stebila. Документ опирается на общую конструкцию RFC 9954, терминологию RFC 9794, TLS 1.3 и стандарт ML-KEM NIST. Профиль Westerbaan связывает стандарты с эксплуатацией, но не делает его единственным автором всей конструкции.

В сентябре 2025 года Cloudflare публично описала полезное сочетание достигнутого и незавершённого. Более трети созданного людьми трафика к её сети использовало TLS 1.3 с гибридным постквантовым согласованием ключей. В той же публикации компания указала, что постквантовые подписи и сертификаты для TLS и интернет-PKI ещё стандартизируются, а WARP тогда ещё не был на них переведён.

Это датированное измерение сети Cloudflare, не глобальная доля и не аудит каждой последующей конфигурации. Но оно показывает реальный порядок работ: одна криптографическая функция может работать в массовом производстве, пока соседняя функция аутентификации остаётся классической. Этапная миграция нормальна; неточным становится только общий ярлык, скрывающий этапы.

Граница наблюдения

Запись группы в supported_groups доказывает возможность или предпочтение клиента, но не выбор. Выбор сервером группы RFC 10024 доказывает результат переговоров на видимом конце, но не отсутствие ошибок реализации, слабой случайности, побочных каналов или скрытого отката.

Завершённый handshake дополнительно показывает, что стороны получили рабочие ключи трафика. Для проверки аутентификации нужны цепочка сертификатов и алгоритм подписи. Для проверки покрытия — место терминации TLS, прокси, соединение с origin, возобновление, 0-RTT, туннели и внутренние переходы.

После расшифрования данные попадают под другие правила. Журналы, базы, очереди и резервные копии могут использовать иные ключи или хранить открытый текст. Отзыв сертификатов, ротация сеансовых билетов, секреты приложений и восстановление хранимых данных не выводятся из названия согласованной группы.

RFC 10024 предупреждает, что похожую гибридизацию нельзя автоматически считать безопасной в других протоколах. Комбинатор, порядок, длины, transcript и модель угроз входят в аргументацию безопасности. Простое соседство двух алгоритмов не заменяет анализа.

RFC 9851 замораживает новые функции TLS 1.2 и направляет развитие в TLS 1.3. Правильное поколение протокола важно, но не синхронизирует сертификаты, библиотеки, аппаратные модули, прокси и хранение.

От заявления к воспроизводимому чеку

Принцип приоритета работающего кода Heng Lu предлагает проверять фактический результат, а не формулировку. Чек должен позволить другому оператору повторить наблюдение.

В него входят клиент, конечная точка, время, версия TLS, предложенные и выбранные группы, версия реализации, цепочка сертификатов, подпись CertificateVerify, место терминации, возобновление, защита следующих переходов и граница появления открытого текста. Метод измерения и его слепые зоны также должны быть записаны.

Поля распределяют ответственность. IETF определяет механизм. Браузеры и библиотеки реализуют. Оператор настраивает. Удостоверяющие центры выпускают. Сеть управляет прокси. Приложения хранят. Команда реагирования отзывает и восстанавливает. Один успешный handshake не завершает работу всех владельцев.

RFC 10024 делает ключевой шаг миграции именуемым, согласуемым и проверяемым. Зрелый отчёт закрывает именно этот шаг и оставляет сертификаты, подписи и путь данных видимыми до появления их собственных доказательств.

Источники