Komputer kwantowy a szyfrowanie: co się zmienia

Komputer kwantowy a szyfrowanie to temat, który brzmi jak scenariusz filmu, a jest zwykłym projektem migracyjnym z konkretnymi datami w kalendarzu. Krótka odpowiedź na najczęstsze pytanie: nie, żadna istniejąca maszyna nie łamie dziś Twojego bankowego połączenia. Ale dane, które wysyłasz w tej chwili, ktoś może zapisać i rozszyfrować za dziesięć lat. Dlatego świat po cichu przestawia fundament bezpieczeństwa sieci, a Twoja przeglądarka najprawdopodobniej robi to już od dawna, nie pytając Cię o zdanie. Poniżej wyjaśniamy, co dokładnie się zmienia, co jest faktem, a co marketingiem, i co z tego wynika dla Ciebie.

Komputer kwantowy a szyfrowanie: na czym polega problem

Współczesny internet stoi na dwóch rodzajach kryptografii i tylko jeden z nich jest zagrożony.

Pierwszy to kryptografia z kluczem publicznym: RSA i krzywe eliptyczne. Używasz jej za każdym razem, gdy przeglądarka uzgadnia klucz z serwerem i sprawdza certyfikat strony. Jej bezpieczeństwo opiera się na tym, że rozkład wielkiej liczby na czynniki albo obliczenie logarytmu dyskretnego zajmuje klasycznemu komputerowi tysiące lat. Algorytm Shora, opisany jeszcze w 1994 roku, skraca to do godzin lub dni, ale wymaga maszyny kwantowej o skali, której nikt jeszcze nie zbudował.

Drugi rodzaj to szyfry symetryczne, przede wszystkim AES, który chroni sam strumień danych po uzgodnieniu klucza. Tu komputer kwantowy daje znacznie mniej: algorytm Grovera zmniejsza efektywną siłę klucza mniej więcej o połowę, więc AES-256 pozostaje bezpieczny.

Wniosek jest praktyczny. Zagrożone jest uzgadnianie kluczy i podpisy cyfrowe, a nie samo szyfrowanie treści. I właśnie te dwa elementy są dziś wymieniane w całym internecie.

Zbierz teraz, odszyfruj później: dlaczego to problem na dziś

Mechanizm nazywa się “harvest now, decrypt later”. Napastnik nie musi umieć złamać szyfru dzisiaj. Wystarczy, że zarchiwizuje przechwycony ruch i poczeka na maszynę, która to zrobi za niego.

Ile trzeba czekać, nie wie nikt, ale szacunki wyraźnie się skracają. W maju 2025 roku Craig Gidney z Google Quantum AI opublikował pracę, w której wykazał, że rozłożenie klucza RSA-2048 mieści się w mniej niż milionie zaszumionych kubitów i tygodniu pracy. Jego własne oszacowanie z 2019 roku mówiło o około 20 milionach kubitów, więc w sześć lat poprzeczka spadła dwudziestokrotnie, i to bez żadnego przełomu w sprzęcie.

Sprzęt też idzie do przodu, choć wolniej niż nagłówki. IBM zapowiada na 2029 rok system Starling, zdolny wykonać 100 milionów bramek na 200 logicznych kubitach, a na 2026 rok procesor Nighthawk ze 120 kubitami fizycznymi. Do miliona wciąż bardzo daleko.

Kluczowe pytanie nie brzmi więc “kiedy”, tylko “jak długo moje dane muszą pozostać tajne”. Dokumentacja medyczna, akta prawne, skany dowodów, umowy, klucze do systemów przemysłowych: to wszystko ma okres przydatności liczony w dekadach. Zwykła rozmowa o zakupach nie ma.

Nowe standardy już działają, także w Twojej przeglądarce

W sierpniu 2024 roku amerykański NIST opublikował pierwsze finalne standardy odporne na komputery kwantowe: FIPS 203, 204 i 205, czyli ML-KEM do uzgadniania kluczy oraz ML-DSA i SLH-DSA do podpisów cyfrowych. W marcu 2025 roku dołączył piąty algorytm, HQC, wybrany jako zapasowa opcja oparta na kodach korekcyjnych zamiast na kratach; jego finalny standard zapowiadany jest na 2027 rok.

Wdrożenie ruszyło szybciej, niż zwykle bywa z bezpieczeństwem. Przeglądarki oparte na Chromium używają domyślnie hybrydowego uzgadniania X25519MLKEM768 od wersji 131, czyli od listopada 2024 roku. Hybryda jest tu ważna: klasyczny mechanizm działa równolegle z postkwantowym, więc nawet gdyby w nowym algorytmie znaleziono błąd, nie tracisz ochrony.

Efekt widać w statystykach. Według danych Cloudflare udział ruchu generowanego przez ludzi i chronionego postkwantowo wzrósł w 2025 roku z 29 procent na początku roku do 52 procent na początku grudnia, a w marcu 2026 przekroczył 60 procent. Skokowy wzrost przyniosło wrześniowe wydanie iOS 26: w cztery dni udział urządzeń Apple korzystających z takiego szyfrowania podskoczył z poniżej 2 procent do 11 procent globalnie.

Komunikatory poszły tą samą drogą. Apple wprowadziło PQ3 w iMessage w 2024 roku, a Signal uzupełnił w październiku 2025 roku swój protokół o mechanizm SPQR oparty na ML-KEM-768, nazywany potrójną zapadką. Nic z tego nie wymaga Twojego działania poza aktualizacją aplikacji.

Kalendarz: 2030, 2035 i co z tego wynika w Polsce

Terminy przestały być hipotetyczne. Projekt dokumentu NIST IR 8547 zakłada, że algorytmy o sile około 112 bitów, czyli RSA-2048 i popularne krzywe eliptyczne, będą uznane za wycofywane po 2030 roku i niedozwolone po 2035 w amerykańskich systemach federalnych.

Unia Europejska przyjęła podobny rytm. Wspólna roadmapa państw członkowskich zakłada, że do końca 2026 roku każdy kraj rozpoczyna krajową strategię przejścia, do końca 2030 roku migrują zastosowania wysokiego ryzyka, czyli energetyka, telekomunikacja, finanse i administracja, a do 2035 roku reszta systemów, dla których jest to wykonalne.

Polska działa w tym samym harmonogramie. Strategia Cyberbezpieczeństwa RP na lata 2025-2029, przyjęta w marcu 2026 roku, przewiduje opracowanie krajowego planu migracji do kryptografii postkwantowej, a za jego przygotowanie odpowiada Instytut Łączności. Jeśli obsługujesz podmiot objęty przepisami o krajowym systemie cyberbezpieczeństwa, to jest Twój zegar.

Co zrobić dziś, a czego nie kupować

Dla osoby prywatnej lista jest krótka i nudna: aktualizuj przeglądarkę i system, bo cała ochrona włącza się sama. Jeśli chcesz sprawdzić, czy Twoje połączenie jest już hybrydowe, wejdź na stronę testową pq.cloudflareresearch.com. Do rozmów, które mają pozostać tajne przez lata, używaj komunikatora z postkwantowym protokołem. Przy okazji warto domknąć starsze zaległości w bezpieczeństwie, bo w praktyce Twoje konto padnie raczej przez wyłudzone hasło niż przez fizykę kwantową; tu pomaga logowanie bez hasła i passkeys.

W małej firmie najtrudniejsza jest nie wymiana algorytmów, tylko odnalezienie wszystkich miejsc, w których szyfrowanie w ogóle występuje. Zrób spis: strona i certyfikaty, poczta, kopie zapasowe, tunele do biura, podpisy elektroniczne, integracje z płatnościami. Potem zadaj dostawcom jedno pytanie: czy i kiedy wspierają hybrydowe ML-KEM. Dotyczy to również sieci prywatnych, bo hybrydowe uzgadnianie kluczy trafiło już do IPsec, czyli do fundamentu firmowych połączeń; jeśli temat jest dla Ciebie nowy, zacznij od tego, jak działa VPN.

Czego nie robić? Nie kupuj sprzętu reklamowanego jako “kwantowo bezpieczny”, jeśli sprzedawca nie potrafi nazwać konkretnego standardu z rodziny FIPS 203-205. Nie myl też kryptografii postkwantowej z kwantową dystrybucją klucza: ta druga wymaga własnych światłowodów i nie jest odpowiedzią na problem zwykłej firmy. Uczciwa wersja tej zmiany jest znacznie mniej efektowna niż nagłówki: to porządkowanie, spis inwentarza i aktualizacje, rozłożone na kilka lat.