Urządzenia IoT projektuje się dziś na 10–15 lat pracy w terenie, a klucze, które zaszywamy w nich w 2026 roku, będą chronić dane długo po tym, jak wystarczająco duży komputer kwantowy stanie się realny. Dlatego kryptografia postkwantowa w IoT przestała być tematem akademickim — NIST opublikował finalne standardy (FIPS 203, 204 i 205), a regulatorzy wyznaczyli daty wycofania RSA i krzywych eliptycznych. Dla producenta sprzętu to konkretne decyzje projektowe: ile pamięci zarezerwować, jak podpisywać firmware i czy dzisiejszy mikrokontroler udźwignie nowe algorytmy.
W skrócie: kryptografia postkwantowa w IoT to zastąpienie RSA i ECC algorytmami odpornymi na atak kwantowy — ML-KEM do wymiany kluczy, ML-DSA lub SLH-DSA do podpisów, LMS/XMSS do podpisywania firmware. Urządzenia wprowadzane dziś na rynek powinny być kryptoelastyczne, bo według projektu wytycznych NIST klasyczne algorytmy mają być wycofane do 2030 roku i zakazane po 2035.
Czym jest kryptografia postkwantowa?
Kryptografia postkwantowa (PQC, post-quantum cryptography) to zbiór algorytmów działających na klasycznych procesorach, ale odpornych na ataki z użyciem komputera kwantowego. Ich bezpieczeństwo opiera się na problemach matematycznych — kratach, funkcjach skrótu, kodach korekcyjnych — dla których nie znamy wydajnego algorytmu kwantowego.
Zagrożeniem jest algorytm Shora, łamiący RSA i krzywe eliptyczne w czasie wielomianowym. Grover osłabia szyfry symetryczne tylko pierwiastkowo, więc AES-256 i SHA-384 pozostają bezpieczne: wymianie podlega asymetryczna część stosu, a nie całe szyfrowanie w urządzeniu.
Dlaczego IoT jest szczególnie narażony?
Ryzyko dla IoT wynika z długiego cyklu życia sprzętu i ograniczonej zdolności do aktualizacji. Licznik energii, sterownik przemysłowy czy zamek hotelowy instalowany w 2026 roku może pracować do 2040 — przekroczy więc horyzont, w którym zakłada się pojawienie kryptograficznie istotnego komputera kwantowego.
Drugi element to model ataku „harvest now, decrypt later”: przeciwnik przechwytuje dziś zaszyfrowaną telemetrię i deszyfruje ją za dekadę. Trzecie ryzyko jest najpoważniejsze — klucz publiczny weryfikacji firmware zapisany na stałe w sprzętowym root of trust jest w praktyce niewymienny, więc złamanie go otwiera drogę do podszycia się pod producenta.
Które algorytmy postkwantowe wybrać do urządzeń wbudowanych?
NIST ustandaryzował trzy podstawowe mechanizmy, a czwarty — stanowe podpisy oparte na skrótach — opisał wcześniej w SP 800-208. Dobór zależy od roli w systemie:
- ML-KEM (FIPS 203, dawniej Kyber) — hermetyzacja klucza, następca ECDH w TLS/DTLS. ML-KEM-768 ma klucz publiczny 1184 B i szyfrogram 1088 B.
- ML-DSA (FIPS 204, dawniej Dilithium) — podpis ogólnego przeznaczenia. ML-DSA-44: klucz publiczny 1312 B, podpis 2420 B, czyli około 38 razy więcej niż 64-bajtowy podpis ECDSA P-256.
- SLH-DSA (FIPS 205, dawniej SPHINCS+) — podpis bezstanowy oparty wyłącznie na funkcjach skrótu; klucz publiczny 32 B, ale podpis rzędu 7–8 kB w wariancie „small”. Konserwatywny wybór tam, gdzie rozmiar nie jest krytyczny.
- LMS/HSS i XMSS (NIST SP 800-208) — stanowe podpisy do firmware. Klucz publiczny ma około 60 B, więc mieści się w OTP mikrokontrolera, a liczba podpisów jest z góry ograniczona parametrami drzewa. To dziś najczęściej rekomendowana ścieżka dla bezpiecznego rozruchu.
Ile kosztuje PQC na mikrokontrolerze?
Koszt kryptografii postkwantowej na MCU to przede wszystkim pamięć, nie czas obliczeń. Publiczne pomiary projektu pqm4 na rdzeniu Cortex-M4 pokazują, że pełna operacja ML-KEM-768 (kapsułkowanie lub dekapsułkowanie) mieści się w około miliona cykli — przy zegarze 64 MHz to kilkanaście milisekund, a więc mniej niż typowy handshake sieciowy.
Problemem jest zapotrzebowanie na RAM i rozmiar komunikatów. Podpisywanie ML-DSA potrafi wymagać kilkudziesięciu kilobajtów stosu, co eliminuje część układów z 32–64 kB RAM. Handshake TLS 1.3 z hybrydą X25519MLKEM768 rośnie o mniej więcej 2 kB, a certyfikat X.509 z kluczem i podpisem ML-DSA puchnie z ~800 B do kilku kB. W sieciach NB-IoT i LoRaWAN, gdzie liczy się każdy bajt transmisji i budżet energetyczny, to zmienia całą arytmetykę projektu — warto zestawić ją z założeniami opisanymi w tekście o energooszczędności urządzeń bateryjnych.
Praktyczne konsekwencje dla doboru sprzętu
Dla nowych projektów rozsądnym minimum jest MCU z co najmniej 256 kB RAM i akceleratorem skrótów. Weryfikacja podpisu jest znacznie tańsza niż jego złożenie, więc urządzenie końcowe zwykle tylko sprawdza podpisy — składa je serwer w fabryce.
Jak zaplanować migrację floty IoT?
Migracja postkwantowa to proces rozłożony na lata, nie podmiana biblioteki. Sprawdza się następująca kolejność:
- Inwentaryzacja. Zestawienie, gdzie w produkcie występuje RSA i ECC: rozruch, podpis obrazu, TLS, provisioning, klucze API. Punktem wyjścia bywa SBOM.
- Kryptoelastyczność. Wydzielenie warstwy abstrakcji nad operacjami kryptograficznymi i wersjonowanie formatu nagłówka firmware, tak aby dodanie nowego algorytmu nie wymagało przeprojektowania bootloadera.
- Podpis hybrydowy. Obraz firmware podpisany równolegle ECDSA i LMS — starsze urządzenia weryfikują jedno pole, nowsze oba. To najbezpieczniejszy sposób przejścia bez utraty kompatybilności w aktualizacjach OTA.
- Hybrydowy kanał TLS. Włączenie zestawu X25519MLKEM768 po stronie brokera i urządzenia, gdy stos to umożliwia.
- Rotacja kluczy urządzeniowych. Ponowne wydanie certyfikatów w cyklu, który mieści się przed 2030 rokiem.
Kiedy trzeba to zrobić?
Ramy czasowe wyznaczają dwa dokumenty. Projekt NIST IR 8547 zakłada uznanie RSA-2048 i ECC-256 za wycofywane od 2030 roku i niedozwolone po 2035. Amerykański CNSA 2.0 idzie dalej i dla podpisywania oprogramowania oraz firmware wskazuje przejście na algorytmy postkwantowe jako priorytet już w tej dekadzie.
W Unii Europejskiej nakazu PQC wprost nie ma, ale Cyber Resilience Act wymaga utrzymywania bezpieczeństwa produktu przez cały okres wsparcia. Urządzenie, które w 2032 roku nie będzie mogło otrzymać odpornej kryptograficznie aktualizacji, stanie się problemem zgodnościowym producenta, a nie tylko technicznym.
Najczęściej zadawane pytania (FAQ)
Czy muszę już teraz wdrażać kryptografię postkwantową w IoT?
Nie w każdym produkcie od razu, ale każdy nowy projekt powinien być kryptoelastyczny. Jeśli urządzenie ma pracować po 2030 roku, zaplanuj rezerwę pamięci na większe klucze i podpisy oraz format firmware pozwalający dodać nowy algorytm zdalnie. Pełne wdrożenie PQC jest pilne tam, gdzie dane mają wieloletnią wartość.
Który algorytm postkwantowy nadaje się do podpisywania firmware?
Najczęściej LMS lub XMSS z NIST SP 800-208. Ich klucz publiczny ma około 60 bajtów, więc mieści się w pamięci OTP mikrokontrolera, a weryfikacja jest tania obliczeniowo. Ceną jest stanowość: serwer podpisujący musi śledzić zużyte indeksy, bo ponowne użycie indeksu łamie schemat.
Czy AES-256 trzeba wymieniać na coś innego?
Nie. Algorytm Grovera skraca efektywną siłę szyfru symetrycznego mniej więcej o połowę wykładnika, więc AES-256 zachowuje około 128 bitów bezpieczeństwa, a SHA-384 i SHA-512 pozostają odpowiednie. Migracja dotyczy wymiany kluczy i podpisów, czyli kryptografii asymetrycznej.
Podsumowanie i najważniejsze wnioski
Kryptografia postkwantowa w IoT jest problemem architektury, a nie samego algorytmu: standardy są gotowe, ale ich koszt w pamięci i transmisji planuje się przy doborze mikrokontrolera i projekcie bootloadera. Zacznij od inwentaryzacji użycia RSA i ECC, wprowadź warstwę abstrakcji kryptograficznej, a następnie podpis hybrydowy w kanale OTA — dzięki temu przejście na ML-KEM i ML-DSA stanie się aktualizacją, a nie wymianą sprzętu w terenie.
W FSS Technology projektujemy urządzenia IoT od schematu i firmware po backend chmurowy, więc bezpieczeństwo planujemy przekrojowo: od root of trust w krzemie po rotację certyfikatów. Jeśli chcesz sprawdzić, czy Twoja flota przetrwa migrację postkwantową, porozmawiajmy o projektowaniu urządzeń podłączonych lub o integracjach z istniejącą infrastrukturą.