Подготовка к постквантовой криптографии заключается не только в защите зашифрованных данных от угрозы их сбора сегодня и расшифровки в будущем: системы аутентификации на основе сертификатов также потребуют масштабных изменений. Эти изменения затронут центры сертификации, якоря доверия, службы инфраструктуры открытых ключей, приложения, устройства и модули аппаратной безопасности.
Microsoft считает, что задача заключается не только в выпуске сертификата с новым алгоритмом или его проверке, но и в понимании того, как существующие цепочки сертификатов, платформы и операционные процедуры будут взаимодействовать с требованиями постквантовой аутентификации. Раннее тестирование может выявить проблемы совместимости, размера сертификатов, производительности и управления жизненным циклом до того, как обработка в производственном масштабе станет необходимой.
От защиты конфиденциальности к готовности экосистемы доверия
В дискуссиях о готовности к постквантовой криптографии основное внимание уделялось конфиденциальности коммуникаций, особенно угрозе «собери сейчас, расшифруй позже». Аутентификация же требует управления более широкой сетью отношений доверия: ключи и сертификаты необходимо выпускать, распространять, хранить, проверять, обновлять и администрировать в различных средах и у разных поставщиков.
Кроме того, инфраструктура организаций обычно формировалась на протяжении десятилетий и включает встроенные устройства, операционные системы, устройства безопасности, специализированные приложения, внешние службы и аппаратно поддерживаемые системы доверия. Некоторые из этих компонентов могут иметь длительные циклы обновления или фиксированные криптографические предположения, ограничения которых проявятся только после начала тестирования.
Пилотная программа Microsoft
27 августа 2026 года Microsoft запустила программу PQC TLS Pilot Program, чтобы помочь соответствующим требованиям центрам сертификации оценить постквантовые корни и сертификаты TLS. Программа ограничена одобренными центрами сертификации, соблюдающими требования Microsoft Trusted Root Program, и использует устойчивый к квантовым атакам алгоритм подписи ML-DSA-87.
Выпуск августа 2026 года добавил семь экспериментальных корней, которыми управляют ComSign, DigiCert, HARICA, IdenTrust Services, Sectigo, Shanghai Electronic Certification Authority и SSL.com. Приём продолжается поэтапно до конца 2026 года.
Сертификаты, выпущенные в рамках программы, не являются общедоверенными и предназначены исключительно для тестирования совместимости и готовности экосистемы в закрытых средах, специализированных приложениях и лабораториях организаций. Их нельзя использовать для общедоступных сайтов или производственных сценариев доверия. Поддержка ML-DSA на этапе эксперимента по-прежнему ограничена и развивается, поэтому полагаться на неё в производственной среде не следует.
Что организации могут тестировать уже сейчас?
Сертификаты ML-DSA можно тестировать в контролируемых непроизводственных сценариях на поддерживаемых и надлежащим образом настроенных системах Windows 11. Поддержка начинается с обновлений от 28 июля 2026 года: KB5101681 с номером сборки операционной системы 28000.2608 для выпуска 26H1 и KB5101684 с номерами сборок 26200.8973 и 26100.8973 для выпуска 25H2. Сертификаты также можно использовать с Secure Channel (Schannel) в поддерживаемых сценариях после проверки требований платформы.
Microsoft рекомендует командам безопасности, администраторам PKI и архитекторам начать с инвентаризации систем, зависящих от сертификатов, построения схем общедоступных и частных отношений доверия, оценки планов поставщиков, определения долгоживущей инфраструктуры и создания непроизводственных тестовых сред. Результаты следует преобразовать в многолетнюю дорожную карту, определяющую зоны ответственности и устанавливающую порядок зависимостей обновления.
Почему это важно?
Фактическое изменение заключается в переносе подготовки к постквантовой криптографии из обсуждения алгоритмов в практическое тестирование всей экосистемы доверия. Основная польза состоит в выявлении ограничений по размеру, производительности, совместимости и рабочим процессам до внедрения новых сертификатов в производственные среды. Однако программа не подтверждает общую готовность или производственную поддержку: это ограниченная экспериментальная среда, а успех тестирования по-прежнему будет зависеть от возможностей поставщиков, устройств и приложений, имеющихся у каждой организации.