Mật mã hậu lượng tử ML-KEM: chuẩn NIST và việc cần chuẩn bị

Mật mã hậu lượng tử là nhóm thuật toán chạy trên máy tính thông thường nhưng được thiết kế để vẫn an toàn khi máy tính lượng tử đủ mạnh xuất hiện. Thuật toán trung tâm hiện nay là ML-KEM, được Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) chuẩn hóa trong FIPS 203, dùng để thỏa thuận khóa khi hai bên thiết lập kết nối mã hóa. Với đội IT, việc cần làm từ bây giờ là kiểm kê nơi đang dùng RSA và mật mã đường cong elliptic, rồi lên kế hoạch chuyển dần sang các chuẩn mới, ưu tiên dữ liệu phải giữ bí mật nhiều năm.

Phân biệt với mã hóa lượng tử

Hai khái niệm này hay bị nhầm. Mã hóa lượng tử, hay phân phối khóa lượng tử, dùng chính hiện tượng vật lý lượng tử để trao đổi khóa và cần phần cứng chuyên dụng như đường truyền quang riêng; site đã có bài giới thiệu mã hóa lượng tử về hướng này. Mật mã hậu lượng tử thì ngược lại: chỉ là phần mềm, chạy trên máy chủ, điện thoại, trình duyệt hiện có, nhưng dựa trên những bài toán mà theo hiểu biết hiện nay máy tính lượng tử cũng không giải nhanh được.

Vì không cần phần cứng mới, mật mã hậu lượng tử là con đường thực tế cho hầu hết tổ chức, từ ngân hàng đến cửa hàng trực tuyến.

Ba chuẩn đầu tiên và một chuẩn dự phòng

Ngày 13/8/2024, NIST công bố bộ ba chuẩn mật mã hậu lượng tử đầu tiên đã hoàn thiện, theo thông cáo chính thức của NIST:

ML-KEM và ML-DSA dựa trên toán học mạng tinh thể (lattice) có cấu trúc. SLH-DSA được chọn chính vì nó dùng cách tiếp cận khác hẳn, để nếu một ngày ML-DSA bị phát hiện điểm yếu thì vẫn còn phương án thay thế. Cũng trong thông cáo này, NIST cho biết đang chuẩn bị thêm một chuẩn chữ ký dựa trên FALCON, dự kiến mang tên FN-DSA trong FIPS 206.

Tháng 3/2025, NIST chọn thêm thuật toán HQC làm phương án dự phòng cho ML-KEM. Theo thông báo của NIST ngày 11/3/2025, HQC dựa trên mã sửa lỗi thay vì mạng tinh thể, nặng hơn và tốn tài nguyên hơn, và không nhằm thay thế ML-KEM; ML-KEM vẫn là lựa chọn được khuyến nghị cho mã hóa chung. NIST dự kiến công bố bản dự thảo chuẩn HQC để lấy ý kiến trong khoảng một năm, qua 90 ngày góp ý và chốt chuẩn vào năm 2027.

“Thu thập trước, giải mã sau”: lý do không thể đợi

Câu hỏi hay gặp là: chưa ai có máy tính lượng tử phá được RSA, sao phải đổi bây giờ? Câu trả lời nằm ở kiểu tấn công thường gọi là thu thập trước, giải mã sau. Kẻ tấn công ghi lại lưu lượng đã mã hóa ngày hôm nay, cất đi, và chờ tới khi có máy đủ mạnh để giải mã. Bài viết của Cloudflare đầu năm 2024 dùng chính lập luận này để giải thích vì sao bước thỏa thuận khóa cần được nâng cấp trước tiên: dữ liệu đã bị ghi lại thì không thể “mã hóa lại” được nữa.

NIST cũng nhắc rằng một số chuyên gia dự đoán thiết bị lượng tử đủ sức phá mật mã hiện hành có thể xuất hiện trong vòng một thập kỷ. Đây là dự đoán, không phải mốc chắc chắn, nhưng với hồ sơ y tế, hợp đồng dài hạn, bí mật kinh doanh hay dữ liệu định danh, mười năm không phải là lâu.

Phương án lai: chưa bỏ hẳn thuật toán cũ

Cách triển khai phổ biến hiện nay là ghép thuật toán cổ điển với thuật toán hậu lượng tử. Cloudflare mô tả việc kết hợp X25519 với ML-KEM-768 (khi đó còn gọi là Kyber) trong bước thỏa thuận khóa của TLS 1.3. Lý do giữ lại X25519 là để phòng trường hợp mạng tinh thể bị phá hoặc phần mềm triển khai ML-KEM có lỗi; kẻ tấn công phải phá được cả hai thì mới đọc được dữ liệu.

Thời điểm bài viết đó, gần 2% kết nối TLS 1.3 tới Cloudflare đã dùng thỏa thuận khóa hậu lượng tử, và hãng kỳ vọng tỷ lệ này tăng lên hai chữ số trong năm 2024. Con số này đã cũ nhưng cho thấy hướng đi: thay đổi diễn ra âm thầm ở tầng giao thức, người dùng cuối hầu như không cần làm gì, còn quản trị viên cần bảo đảm máy chủ và thư viện mật mã của mình theo kịp. Nếu cần ôn lại cách TLS thiết lập kết nối, xem bài chứng chỉ SSL/TLS hoạt động thế nào trên website.

Lộ trình bốn bước cho đội IT

1. Kiểm kê mật mã. Lập danh sách nơi dùng RSA, ECDH, ECDSA: máy chủ web, VPN, email, chữ ký số hóa đơn, ký mã phần mềm, thiết bị IoT. Nhiều tổ chức ngạc nhiên vì số lượng thư viện và thiết bị không ai còn nhớ.
2. Phân loại theo tuổi thọ dữ liệu. Dữ liệu cần giữ bí mật trên mười năm được ưu tiên chuyển trước, vì chúng chịu rủi ro thu thập trước, giải mã sau.
3. Ưu tiên thỏa thuận khóa. Bật các nhóm khóa lai có ML-KEM ở máy chủ TLS và VPN khi phần mềm hỗ trợ. Chữ ký số có thể theo sau, vì chữ ký chỉ cần an toàn tại thời điểm kiểm tra.
4. Thiết kế linh hoạt. Hệ thống mới nên cho phép đổi thuật toán bằng cấu hình thay vì sửa mã, vì danh sách chuẩn còn thay đổi, ví dụ HQC sẽ chốt năm 2027.

Đừng đợi danh sách chuẩn đầy đủ mới bắt đầu. Trong thông cáo năm 2024, trưởng dự án chuẩn hóa của NIST, ông Dustin Moody, khẳng định không cần chờ các chuẩn tương lai, và NIST khuyến khích tích hợp ngay vì việc chuyển đổi trọn vẹn sẽ mất thời gian.

Bài học từ những lần chuyển đổi trước

Ngành mật mã từng trải qua nhiều cuộc chuyển đổi kéo dài: từ MD5 sang SHA-2, từ SHA-1 trong chứng chỉ sang thuật toán mạnh hơn. Mỗi lần, khó khăn lớn nhất không nằm ở thuật toán mà ở những hệ thống cũ không ai dám chạm vào. Kinh nghiệm với MD5, SHA-1 cho thấy thuật toán lỗi thời có thể tồn tại nhiều năm sau khi đã bị khuyến cáo bỏ. Chuyển sang mật mã hậu lượng tử sẽ lặp lại bài toán đó ở quy mô lớn hơn, nên bắt đầu sớm là cách giảm áp lực về sau.