A posztkvantum-pánik marketingproblémája
Szinte minden CISO-prezentációban ott van ugyanaz a dia: a kvantumszámítógép fel fogja törni az RSA- és ECDSA-algoritmusokat, a támadók pedig már most a „harvest now, decrypt later” (most begyűjt, később visszafejt) módszert alkalmazzák. Ma gyűjtik a titkosított forgalmat, hogy akkor olvassák el, amikor ez a gép elkészül. A TLS-forgalom, az archivált e-mailek és minden olyan adat esetében, amelynek egy évtizedig titokban kell maradnia, ez valós fenyegetés. A hitelesítésnél viszont nagyrészt csak zaj.
Ezt az álláspontot képviseltük Budapesten, a Hacktivity 2026 konferencián, a Yubicóval közös előadásblokkban. Ez a cikk az előadás írott változata. Megmutatja, hol rejlik valójában a posztkvantum-kockázat egy hitelesítési rendszerben, miért a passkey-alapú bejelentkezés a legkisebb gond, és mit kell jeleznie a kriptográfiai leltárnak az uniós 2030-as határidő előtt.
Röviden: a passkeyek miatt nem kell pánikba esnie. A gyökértanúsítványok miatt viszont egy kicsit érdemes.
Miért nem vonatkozik a „harvest now, decrypt later” a bejelentkezésekre?
A titkosítás és a digitális aláírás más időskálán sérülékeny. A 2026-ban rögzített titkosított adat azon a napon visszafejthetővé válik, amikor megjelenik egy kriptográfiailag releváns kvantumszámítógép, vagyis a kár visszamenőleges. Ezért sürgős a TLS átállítása posztkvantum kulcscserére.
A hitelesítés másként működik. A bejelentkezési aláírást a rendszer abban a pillanatban ellenőrzi, amikor megérkezik, és ott helyben dönt. Egy 2036-os kvantumszámítógéppel nem lehet belépni egy 2026-os munkamenetbe. A „most begyűjt, később visszafejt” valós veszély, a „most begyűjt, később belép” viszont nem az.
Hitelesítésnél ezért egyetlen dolgot érdemes mérni: mennyi ideig kell egy nyilvános kulcsnak hamisíthatatlannak maradnia. A Mosca-egyenlőtlenséget általában arra használják, hogy meddig kell egy adatnak titokban maradnia. Alkalmazza inkább a bizalmi horgonyokra: ha egy kulcs élettartama és az átállás ideje együtt hosszabb, mint a kvantumszámítógép megjelenéséig hátralévő idő, szervezete ki van téve a kockázatnak. Egy bejelentkezési kihívás másodpercekig él, egy gyökértanúsítvány évtizedekig.
Egy hitelesítési rendszer öt rétege, pontozva
A kockázatot az élettartam és a kitettség határozza meg, nem az algoritmus neve. A gyártók által leginkább hangoztatott réteg kapja a legalacsonyabb pontszámot, a senki diáin nem szereplő háttér-infrastruktúra a legmagasabbat.
| Réteg | Mit tör fel a kvantumszámítógép? | Élettartam | Kockázat (5-ös skálán) |
|---|---|---|---|
| Bejelentkezési aláírások (passkeyek) | Visszamenőleg semmit | Másodpercek | 1 |
| Eszköz-tanúsítási (attestation) gyökerek | A hardver eredetiségének igazolását | Gyakran évtizedek | 4 |
| Eszközhöz kötött és chipkártyás tanúsítványok | A felhasználó személyazonosságát | Tanúsítványok: 1-3 év, CA-gyökerek: 10-20 év | 4-5 |
| Firmware-aláíró láncok | Magát a hitelesítő eszközt | Az eszköz élettartama | 2-5 |
| FIDO Metadata Service | Minden szolgáltató bizalmi döntéseit | A gyökér 2046-ig érvényes | 3 |
Bejelentkezési aláírások. Minden WebAuthn-bejelentkezés egy friss, a származási helyhez (origin) kötött szerverkihívást ír alá, jellemzően ES256 algoritmussal. Nincs mit később visszajátszani. A regisztráció TLS-en keresztül történik, ahol a hibrid posztkvantum kulcscsere (X25519 és ML-KEM-768) már alapértelmezett a Chrome, az Edge, a Firefox és a Safari böngészőben.
A csavar. A Q-nap után a hitelesítést fogadó szolgáltatás (relying party) által tárolt nyilvános kulcsok táblája gyakorlatilag jelszóadatbázissá válik. Egy kiszivárgott táblából a támadó visszaszámíthatja a magánkulcsokat, és bármelyik felhasználó nevében érvényes bejelentkezést írhat alá. Már most úgy védje ezt a táblát, mint a jelszó-hasheket: hozzáférés-szabályozással, szivárgásfigyeléssel és újraregisztrálási tervvel.
Eszköz-tanúsítási gyökerek. Az eszköz-tanúsítás (attestation) igazolja, hogy a hitelesítő adat valódi hardverben található. Egy gyártói gyökértanúsítványhoz kapcsolódik, amely eleve nyilvános. A kvantumszámítógép ebből a nyilvános gyökérből magánkulcsot állít elő, és ettől kezdve az AAGUID-engedélylisták és a „csak hardverkulcs” szabályok értelmüket vesztik.
Eszközhöz kötött tanúsítványok. A tanúsítványalapú hitelesítéshez, a Windows-bejelentkezéshez és az S/MIME-hoz használt PIV- és chipkártyás tanúsítványok gyakran RSA-2048-as kulcsra épülnek, 10-20 évig érvényes CA-gyökerek alatt. A passkeyekkel ellentétben ezek nyilvános kulcsait szándékosan közzéteszik: címtárakban, címjegyzékekben és minden aláírt e-mailben. Amint a matematika megtörik, a támadáshoz nincs szükség adathalászatra, az eszközre vagy a felhasználó közreműködésére. Számos biztonsági kulcs, köztük a YubiKey 5 sorozat is, PIV chipkártya-alkalmazást is tartalmaz, és az ezen tárolt tanúsítványokra ugyanez a kockázati profil érvényes.
Firmware-aláírás. A frissíthető hitelesítő eszközök (telefonok, TPM-mel rendelkező laptopok, egyes biztonsági kulcsok) kriptográfiailag rugalmasak, de a kódaláíró gyökértanúsítványuk a legféltettebb elemükké válik. A fix firmware-ű kulcsokon, például a YubiKey-eken, nincs a használat helyén támadható frissítési útvonal, ezért ezek eszközcserével állnak át. Ezt a cserét önálló projektként tervezze meg.
FIDO Metadata Service. Egyetlen aláírt adatfolyam mondja meg a szolgáltatóknak, milyen hitelesítő eszközök léteznek, mire tanúsították őket, és melyek kompromittálódtak. 2026 augusztusában az aláíró lánc a GlobalSign Root R46 gyökérre költözött, amely egy 2046-ig érvényes RSA-4096-os gyökér. A csere mutatja, hogy a gyökér lecserélhető, az új azonban továbbra is klasszikus kriptográfiára épül.
Közép-Európa már átélte a főpróbát: ROCA, 2017
2017-ben a brnói Masaryk Egyetem kutatói felfedezték a ROCA nevű hibát egy széles körben használt chipkártya-könyvtárban. A hiba lehetővé tette, hogy a támadó a nyilvános kulcsból kiszámítsa az RSA-magánkulcsot. Észtország egyik napról a másikra mintegy 760 000 személyi igazolvány tanúsítványát függesztette fel. Ugyanilyen hibás chipek kerültek szlovák, lengyel, osztrák és bolgár személyazonosító okmányokba is, Szlovákia pedig mintegy 300 000 aláíró tanúsítványt cserélt le.
Észtország azért tudta kezelni a helyzetet, mert távolról meg tudta újítani a tanúsítványokat, és visszavonás helyett felfüggeszthette őket. Egy kvantumszámítógép viszont ROCA minden RSA- és ECC-kulcs számára, minden gyártónál, egyszerre. Nem marad érintetlen sorozat, amelyre vissza lehetne állni.
Ez azért különösen fontos a régióban, mert itt mindenütt jelen van a chipkártyás PKI. Lettországban a 14 év feletti kártyabirtokosok személyi igazolványa alapértelmezetten hitelesítő és aláíró tanúsítványt is tartalmaz. A lengyel e-dowód szintén hitelesítő és aláíró tanúsítványt hordoz. A cseh eObčanka gyártáskor rögzített, le nem cserélhető azonosító tanúsítványt tartalmaz, így ott a posztkvantum átállás új kártyát jelent. Magyarországon az eSzemélyi elektronikus aláírása választható szolgáltatás, az ingyenes minősített tanúsítvány két évig érvényes.
| eID vagy PIV chipkártya | Passkey | |
|---|---|---|
| Nyilvános kulcs | Közzétett: címtárakban és minden aláírt dokumentumban | Csak a szolgáltatónál tárolt |
| A kulcs hatóköre | Egy hitelesítő kulcs, több ezer szolgáltatás | Webhelyenként egy kulcs, a származási helyhez kötve |
| Mit ér egy visszaszámított magánkulcs? | A teljes személyazonosságot, plusz jogilag kötelező erejű aláírásokat | Egyetlen fiókot egyetlen webhelyen |
| Az aláírás élettartama | Évek: a minősített aláírásnak hosszú távon ellenőrizhetőnek kell maradnia | Másodpercek |
| Átállás | A kártyák újrakiadása, gyakran személyes megjelenéssel | A hitelesítő adat újraregisztrálása |
Ez nem azt jelenti, hogy „a chipkártya rossz, a passkey jó”. A kártyák és a minősített aláírások jogi okokból léteznek, és ezeket a passkeyek nem váltják ki. A lényeg az, hogy Közép- és Kelet-Európában a kvantumátállás terhe elsősorban a chipkártyás PKI-ra esik, ezért ott kell először tervezni és költségvetést biztosítani.
A szabványok állása és az uniós PQC-ütemterv
A specifikációk készen állnak, az ökoszisztéma még felzárkózik. Az alábbiakra már most építhet, a többit érdemes figyelemmel kísérnie.
Lezárt kérdések. A W3C WebAuthn Level 3 2026 augusztusában ajánlás (Recommendation) státuszt kapott, és algoritmusfüggetlen: a szolgáltató egyszerűen felsorolja, mely algoritmusokat fogadja el. Az RFC 9964 COSE-azonosítókat rendelt az ML-DSA-44, ML-DSA-65 és ML-DSA-87 algoritmusokhoz. A mai teendő egyszerű és olcsó: ellenőrizze, hogy a szerveroldali könyvtár nem rögzíti-e fixen az ES256 vagy az RS256 algoritmust.
Nyitott kérdések. Az ML-DSA-ra vonatkozó FIDO megfelelőségi tesztesetek egyelőre csak javaslatként léteznek, és a szerveroldali könyvtárak ezekre várnak, mielőtt bevezetnék a támogatást. A kompozit (hibrid) tanúsítványaláírások még IETF-tervezetek. Az eszköz-tanúsítási és metaadat-láncok posztkvantum aláírása éles környezetben még nem indult el.
A szabályozók határidőket tűztek ki, pedig a Q-nap időpontját senki sem ismeri:
| Határidő | A NIS Együttműködési Csoport ütemterve | NIST IR 8547 (tervezet) |
|---|---|---|
| 2026 vége | A tagállamok elindítják az átállást: felmérés, függőségi térképek, tudatosítás | |
| 2030 vége | A magas kockázatú felhasználási esetek és a kritikus infrastruktúra átáll a PQC-re | Javasolja a 112 bites RSA és ECC, például az RSA-2048 elavulttá nyilvánítását |
| 2035 vége | A közepes kockázatú rendszerek átállása, a többi a lehetőségek szerint | Javasolja minden RSA és ECC tiltását |
A NIS Együttműködési Csoport ütemterve a tagállamoknak szóló iránymutatás, nem kötelező jogszabály, de az auditorok és a beszerzők hivatkozni fognak rá. Érdemes észrevenni az aszimmetriát a NIST tervezetében: a legtöbb passkey által használt P-256 2030-ban nem válik elavulttá, a legtöbb chipkártya által használt RSA-2048 viszont igen.
Mit jelezzen a kriptográfiai anyagjegyzék (CBOM)?
A legtöbb CBOM-eszköz a forráskódot és a TLS-végpontokat vizsgálja, és az algoritmusok nevét rögzíti. Hitelesítésnél így kimarad az a két adat, amely a kockázatot valóban meghatározza: az élettartam és a kitettség. A hardveres hitelesítő eszközök szinte meg sem jelennek a leltárban. Minden hitelesítési elemhez rögzítse a következőket:
| Mező | Miért fontos? |
|---|---|
| Algoritmus és kulcsméret | A kézenfekvő adat, önmagában mégis a legkevésbé informatív |
| Minden bizalmi horgony lejárata | Az élettartam a kockázat szorzója |
| A nyilvános kulcs kitettsége | Közzétett (PIV-tanúsítványok, gyökerek), vagy csak a szolgáltatónál tárolt |
| Átállási útvonal | Távoli frissítés, újrakiadás vagy hardvercsere |
| Ki rendelkezik a gyökér felett? | Az Ön szervezete, egy gyártó vagy a FIDO Alliance |
| Az eszközflotta kivezetésének dátuma | Mikor kerül ki a használatból az utolsó, ma beszerzett eszköz |
Három jelzésre érdemes odafigyelni, egyet pedig nyugodtan elengedhet:
- Magas kockázat: minden 2030 után is érvényes RSA- vagy ECC-alapú bizalmi horgony, például eszköz-tanúsítási gyökerek, vállalati CA-k és firmware-aláíró gyökerek.
- Magas kockázat: minden olyan fix kriptográfia, amely 2030 után is használatban lesz. Ez beszerzési döntés, nem javítócsomag kérdése, ezért a beszerzési dokumentációkban kérjen posztkvantum fejlesztési ütemtervet a szállítóktól.
- Közepes kockázat: közzétett, személyazonossághoz kötött kulcsok, például PIV- és S/MIME-tanúsítványok. Tervezze meg újrakiadásukat posztkvantum-képes kártyákon, a kormányzati és nemzeti eID-rendszereket pedig kezelje magas kockázatúként.
- Elengedhető: a bejelentkezésenkénti ES256 passkey-aláírások. Erre nem érdemes keretet fordítani.
Mit jelent mindez a hardverkulcsok beszerzésénél?
Minden, amit idén vásárol, klasszikus kriptográfiára épül, és 2030 után is az eszközflottájában lesz. A Yubico 2027 első félévére várja a PQC-kész kulcsokat. Ha nagyobb bevezetés előtt áll, érdemes átgondolni az időzítést. Ha viszont felhasználóit már ma is adathalász támadások érik, ne várjon: az adathalász eszközkészletek már most kijátsszák az SMS- és alkalmazásalapú kódokat, a kvantumszámítógépek viszont még nem léteznek.
Ha erre az időszakra tervez nagyobb bevezetést, vállalati beszerzési és kiszállítási szolgáltatásunk közvetlenül a munkatársak címére szállít az EGT teljes területén, identitáskezelési szakértőink pedig segítenek felmérni és megtervezni az átállást. A modellválasztáshoz olvassa el, melyik YubiKey-t érdemes választania vállalatának, és hogyan viszonyul egymáshoz a YubiKey 5 sorozat és a YubiKey Bio. Belső jóváhagyásra készül? Döntéshozóknak szóló útmutatónk ebben segít, nagyobb mennyiségre pedig egyedi ajánlatot adunk.
Gyakran ismételt kérdések
Mit jelent a „harvest now, decrypt later”?
A támadók ma rögzítik a titkosított forgalmat, és addig tárolják, amíg egy kvantumszámítógép fel nem töri az azt védő kulcscserét. Azokat az adatokat fenyegeti, amelyeknek évekig bizalmasnak kell maradniuk, nem a valós idejű bejelentkezéseket.
Biztonságosak-e a passkeyek a kvantumszámítógépekkel szemben?
Maga a bejelentkezés igen: minden aláírás egy friss kihívásra vonatkozik, amelyet utólag nincs értelme visszajátszani. A valódi kitettséget a szolgáltatónál tárolt nyilvános kulcsok jelentik, valamint az, hogy milyen gyorsan tudja újraregisztrálni a hitelesítő adatokat, amint megjelennek a posztkvantum hitelesítő eszközök.
Mi az a Q-nap?
Az a nap, amikor egy kriptográfiailag releváns kvantumszámítógép képes lesz feltörni az RSA- és az elliptikus görbés kriptográfiát. Senki sem tudja, mikor jön el, ezért a szabályozók 2030-as és 2035-ös átállási határidőket tűztek ki.
Mi az a CBOM?
A kriptográfiai anyagjegyzék (Cryptographic Bill of Materials) a rendszerekben használt kriptográfia leltára. Hitelesítésnél nemcsak az algoritmust kell rögzítenie, hanem minden bizalmi horgony élettartamát, és azt is, hogy a nyilvános kulcs közzétett-e.
Mit jelent a kriptográfiai rugalmasság (crypto agility)?
Azt a képességet, hogy az algoritmusokat a rendszerek újraépítése nélkül le lehessen cserélni. A frissíthető hitelesítő eszközök rendelkeznek vele, a fix firmware-ű kulcsok viszont eszközcserével állnak át.
Mikor lesznek elérhetők posztkvantum biztonsági kulcsok?
A Yubico 2027 első félévére várja a PQC-kész kulcsokat. A szerveroldali támogatás az ML-DSA-ra vonatkozó FIDO megfelelőségi tesztektől függ, amelyek egyelőre csak javaslatként léteznek.
Előírja-e a NIS2 a posztkvantum kriptográfiát?
Közvetlenül nem. A NIS Együttműködési Csoport ütemterve iránymutatás, de azt várja a szervezetektől, hogy már most mérjék fel rendszereiket, és 2030-ig állítsák át a magas kockázatúakat. A NIS2 21. cikk (2) bekezdés j) pontja viszont már ma előírja a többfaktoros vagy folyamatos hitelesítést, ahol az indokolt. Az ENISA 2025 júniusi technikai végrehajtási útmutatója pedig az adathalászat-álló megoldásokat részesíti előnyben, például a FIDO2 biztonsági kulcsokat és a passkeyeket, különösen a magas kockázatú és kiemelt jogosultságú hozzáféréseknél. Részletek a NIS2 21. cikkéről szóló útmutatónkban.
