Summary

  • В ходе проверки с февраля 2024 по сентябрь 2025 года GAO не обнаружило испытаний постквантовой криптографии в собственной среде ни одного из 24 ведомств. Одно изучило поставщиков, но не провело тест; остальные 23 не выполнили проверенные подготовительные действия.
  • Указания OMB от 2022 года требовали инвентаризации, оценки расходов и испытаний. NIST утвердил основные стандарты в августе 2024 года. Между федеральным решением и реальной системой остался пустой участок ответственности.

У стандарта нет карты старого оборудования

Публичный отчёт GAO опубликован 6 октября 2026 года и уточнён 14 октября. Сама проверка шла с февраля 2024 по сентябрь 2025 года. Цифра «ноль» относится именно к изученному периоду; отчёт не проводит новую перепись испытаний по состоянию на ноябрь 2026 года. Эта граница не смягчает вывод. В момент, когда следовало переходить от планов к инженерным данным, ведомствам было нечего предъявить.

В ноябре 2022 года Административно-бюджетное управление потребовало определить приоритетные системы с уязвимой криптографией, оценить финансирование перехода и проверить новые методы в ведомственной среде. В августе 2024 года NIST окончательно утвердил первые ключевые стандарты, включая FIPS 203. Стандарт отвечает на вопрос о методе. Он не сообщает, выдержит ли старое приложение другую длину ключа, кто обновит устройство и как восстановить службу после сбоя проверки подлинности. Эти ответы возникают только при испытании конкретного комплекса.

Одно ведомство исследовало рынок возможных реализаций, но не проверило их у себя. Другие 23 не завершили даже те подготовительные действия, которые оценивал GAO. Перечень предложений поставщиков полезен для закупки; он ничего не говорит о совместимости с действующим сервисом. Управленческая опасность в том, что такая бумага может выглядеть как движение вперёд, пока технический риск остаётся нетронутым.

Кто объявил испытания добровольными

Шестнадцать ведомств считали выбор решений и тестирование преждевременными: поставщики ещё встраивали стандарты в продукцию. Представители Управления национального директора по кибербезопасности назвали ведомственные испытания добровольными и сослались на нехватку ресурсов. GAO возразило, что указания OMB не обозначали их как добровольные. Прототипы с открытыми инструментами можно было собирать ещё до появления полного коммерческого ассортимента. Слово «добровольно» здесь меняло не тон документа, а распределение риска задержки.

Исходные списки систем тоже были ненадёжны. Лишь одно ведомство полностью выполнило применимые действия по инвентаризации. У одного вообще не было списка приоритетных систем, у 22 списки оставались частичными. Отдельно GAO проверило точность записей об уязвимых алгоритмах в шести выбранных ведомствах; ни одно не выполнило это требование полностью. Результат выборки из шести нельзя переносить на все 24. Общая картина инвентаризации и без того показывает, насколько неясным оставался объём замены.

Ни одно ведомство не выполнило полностью проверенную оценку затрат. Двадцать одно представило частичные расчёты с признанными неточностями, три не представили расчётов. Только одна оценка опиралась на полный список приоритетных систем. OMB и офис национального директора характеризовали суммы как приблизительный порядок величины для политических решений, а не как бюджетные заявки. Примерная сумма может обозначить масштаб разговора, но не заменит смету после проверки оборудования.

Полный текст GAO аккуратно объясняет и временной риск. Нынешние квантовые компьютеры не способны взломать рассматриваемую криптографию; достаточно мощная будущая машина сможет поставить её под угрозу. Перехваченные сегодня зашифрованные данные могут сохранять ценность к тому времени. Поэтому промедление с поиском уязвимых систем и испытанием замены имеет цену уже сейчас, без рассказа о несуществующей подтверждённой атаке.

GAO вынесло 89 рекомендаций в закрытом отчёте сентября 2025 года; публичная версия октября 2026 года новых рекомендаций не добавила. Следующим убедительным свидетельством стали бы датированные перечни систем, прототипы внутри ведомств, зафиксированные несовместимости, ответственные исполнители и пересчитанные затраты. Рассуждение Heng Lu об общей исходной спецификации и локальной реализации помогает увидеть структуру этого спора; факты о США взяты из первичных материалов GAO и NIST.

Sources