Криптографічні правильні відповіді оновлено на 2026 рік: постквантовий термін визначено 2029 роком

Оновлення криптографічної традиції на 2026 рік

Filippo Valsorda опублікував нове видання «Cryptographic Right Answers», яке оновлює серію, розпочату 2009 року Colin Percival, продовжену 2015 року Thomas Ptacek та оновлену Latacora у 2018 і 2024 роках. Редакція 2026 року відображає кардинально змінені терміни постквантового переходу: консенсус тепер формується на термін до кінця 2029 року. Симетрична криптографія майже незмінна, оскільки алгоритм Гровера суттєво не змінює вимоги до безпеки, однак порівняно з попередніми виданнями майже всі рекомендації з асиметричної криптографії змінилися.

Оновлення також зазначає значну зміну в практиці розробки: LLM тепер достатньо добре знаходять баги, тому отримання рев'ю від найкращої доступної моделі стало криптографічно правильною відповідню, так само як і стара порада використовувати безпечну для пам'яті мову.

Симетричні рекомендації незмінні

Для шифрування даних використовуйте cloud KMS, якщо можливо, інакше XAES-256-GCM або XChaCha20Poly1305 з випадковими nonce мінімум 128 біт. Для повідомлень розміром кілька мегабайт Cobblestone-128, варіант STREAM, похідний від TLS, кращий за передачу одного великого повідомлення AEAD. Рекомендація щодо довжини симетричного ключа незмінна: використовуйте 256-бітні ключі, оскільки Гровер не змінює значущість і 256 біт виключають багатоцільові атаки. HMAC-SHA-256 залишається вибором для симетричного підпису, SHA-2 знову прийнятний для хешування; де можливо, бажано використовувати стійкість до атак розширення довжини SHA-512/256. Випадкові ID мають бути 32 випадкові байти, отримані з CSPRNG операційної системи.

Асиметрична криптографія суттєво змінюється

Для обміну ключами рекомендується X25519 разом з ML-KEM-768 у стандартному протоколі, такому як TLS, SSH або HPKE. Непостквантовий обмін ключами вважається активним і нечесним ризиком через атаки harvest-now-decrypt-later. Основна рекомендація для асиметричного шифрування — HPKE MLKEM768-X25519 (X-Wing) з комбінатором, HKDF-SHA256 та AES-128-GCM, або age з ключами з новим префіксом age1pq. Для асиметричних підписів використовуйте ML-DSA-44, а не класичні алгоритми, зокрема Ed25519, RSA чи ECDSA. Гібридні схеми підпису в більшості випадків не рекомендуються, хоча ключі SSH є винятком: OpenSSH 10.6 досягає ssh-mldsa44-ed25519.

Безпека транспорту та резервні копії

Для безпеки вебсайтів та клієнт-серверних застосунків використовуйте cloud ALB/NLB у хмарі, інакше rustls, crypto/tls від Go, BoringSSL, AWS-LC або s2n-tls з добре підтримуваним ACME-клієнтом. Уникайте OpenSSL, де можливо; автор пояснює це кількома роками незрозумілих рішень. Кожна TLS-конфігурація має надавати пріоритет обміну ключами X25519MLKEM768, що вимагає TLS 1.3. Для онлайн-резервних копій рекомендується restic з довгим випадковим паролем, а не Tarsnap, чий асиметричний шар на основі RSA позначений як небезпечна пастка на тлі наближення квантових комп'ютерів, незважаючи на іншому розумний дизайн 2008 року.

Джерела: Lobsters