Mật mã hậu lượng tử (post-quantum cryptography) là các thuật toán mật mã khoá công khai chạy trên máy tính thông thường nhưng được thiết kế để chống lại cả máy tính lượng tử. Chúng thay cho RSA và mật mã đường cong elliptic (ECC), hai họ thuật toán đang bảo vệ phần lớn kết nối internet, chữ ký số và giao dịch ngân hàng, vốn sẽ bị thuật toán Shor phá nếu có máy lượng tử đủ lớn.
Tháng 8 năm 2024, Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) ban hành ba tiêu chuẩn đầu tiên: FIPS 203 cho trao đổi khoá (ML-KEM, gốc từ thuật toán Kyber), FIPS 204 và FIPS 205 cho chữ ký số (ML-DSA từ Dilithium, SLH-DSA từ SPHINCS+). Máy lượng tử phá được mật mã hiện nay chưa tồn tại, nhưng việc chuyển đổi đã bắt đầu vì một lý do đơn giản: kẻ tấn công có thể thu dữ liệu mã hoá hôm nay và giải mã nó nhiều năm sau.
Vì sao máy lượng tử đe doạ RSA nhưng không đe doạ nhiều tới AES
Mật mã khoá công khai dựa trên những bài toán dễ tính theo một chiều nhưng khó đảo ngược. RSA dựa trên độ khó phân tích một số rất lớn thành thừa số nguyên tố; ECC dựa trên bài toán logarit rời rạc trên đường cong elliptic. Trên máy cổ điển, thuật toán tốt nhất đã biết cho các bài toán này cần thời gian tăng gần theo hàm mũ khi kích thước khoá tăng, nên khoá đủ dài là an toàn trong thực tế.
Năm 1994, Peter Shor chỉ ra rằng máy tính lượng tử giải được cả hai bài toán trong thời gian đa thức, bằng cách quy chúng về việc tìm chu kỳ của một hàm — việc mà biến đổi Fourier lượng tử làm rất hiệu quả. Tăng độ dài khoá không giúp được gì đáng kể vì chi phí tấn công chỉ tăng theo đa thức. Đó là lý do RSA và ECC phải được thay thế hoàn toàn chứ không thể “vá” bằng khoá dài hơn.
Mật mã đối xứng như AES và hàm băm như SHA-2 ở tình huống khác. Thuật toán Grover cho tốc độ tăng bậc hai khi dò khoá, nên về lý thuyết khoá 128 bit chỉ còn độ an toàn tương đương khoảng 64 bit trước máy lượng tử. Trên thực tế, Grover rất khó song song hoá và cần mạch lượng tử cực sâu, nên nhiều chuyên gia cho rằng AES-128 vẫn khá an toàn; dù vậy, khuyến nghị phổ biến là dùng AES-256 cho dữ liệu cần bảo vệ lâu dài.
Thu trước, giải mã sau: vì sao không thể chờ
Mối đe doạ trước mắt không phải bản thân máy lượng tử, mà là chiến lược “thu thập bây giờ, giải mã sau” (harvest now, decrypt later). Một tổ chức có năng lực giám sát mạng có thể ghi lại lưu lượng mã hoá hôm nay, lưu trữ với chi phí ngày càng rẻ, và chờ tới khi có máy lượng tử để mở ra. Với dữ liệu chỉ có giá trị vài phút như mã xác thực một lần, rủi ro này không đáng kể; với hồ sơ y tế, bí mật thương mại, dữ liệu quốc phòng, thông tin định danh công dân, giá trị có thể kéo dài hàng chục năm.
Nhà nghiên cứu mật mã Michele Mosca đưa ra một bất đẳng thức đơn giản để tư duy về thời điểm. Gọi x là số năm dữ liệu cần giữ bí mật, y là số năm cần để chuyển toàn bộ hệ thống sang mật mã mới, z là số năm cho tới khi có máy lượng tử đủ mạnh. Nếu x cộng y lớn hơn z, bạn đã muộn. Điều đáng chú ý là y thường bị đánh giá thấp: kinh nghiệm chuyển từ hàm băm SHA-1 sang SHA-2, hay loại bỏ các phiên bản giao thức cũ, cho thấy tổ chức lớn mất nhiều năm, có khi hơn một thập kỷ.
Ví dụ giả định: một bệnh viện lưu hồ sơ bệnh án cần bảo mật 25 năm, và hệ thống công nghệ thông tin cần 7 năm để chuyển đổi. Nếu máy lượng tử có thể xuất hiện trong khoảng 15 đến 20 năm, thì dữ liệu truyền qua mạng từ hôm nay đã nằm trong vùng rủi ro. Không ai biết chắc z, nhưng chính sự bất định đó là lý do để bắt đầu sớm.
Năm họ thuật toán hậu lượng tử
Các thuật toán hậu lượng tử dựa trên những bài toán mà đến nay chưa ai tìm được thuật toán lượng tử hiệu quả để giải. Mỗi họ có đặc điểm kích thước và hiệu năng riêng.
| Họ | Bài toán nền | Đại diện | Đặc điểm |
|---|---|---|---|
| Lưới | Học có lỗi (LWE), tìm vectơ ngắn trong lưới nhiều chiều | ML-KEM, ML-DSA, Falcon | Nhanh, khoá và bản mã cỡ một đến vài kilobyte; là lựa chọn chính |
| Hàm băm | Độ an toàn của hàm băm | SLH-DSA, các sơ đồ chữ ký có trạng thái như XMSS, LMS | Giả định an toàn tối thiểu nên rất đáng tin; chữ ký lớn, ký chậm |
| Mã sửa lỗi | Giải mã một mã tuyến tính ngẫu nhiên | Classic McEliece, HQC | McEliece đề xuất từ năm 1978 và chưa bị phá; khoá công khai rất lớn, từ hàng trăm kilobyte tới hơn một megabyte |
| Đa biến | Giải hệ phương trình bậc hai nhiều biến | Rainbow (đã bị phá) | Chữ ký nhỏ, nhưng lịch sử có nhiều sơ đồ bị phá |
| Isogeny | Tìm ánh xạ giữa các đường cong elliptic | SIKE (đã bị phá) | Khoá rất nhỏ; SIKE bị phá bằng máy cổ điển năm 2022 |
Lưới được chọn làm trụ cột vì cân bằng tốt giữa hiệu năng và kích thước. Bài toán học có lỗi do Oded Regev giới thiệu năm 2005, kèm chứng minh liên hệ độ khó trung bình với độ khó trường hợp xấu nhất của bài toán lưới — một đảm bảo lý thuyết hiếm có trong mật mã. Tháng 3 năm 2025, NIST chọn thêm HQC thuộc họ mã sửa lỗi làm thuật toán trao đổi khoá dự phòng, để không phụ thuộc vào một họ toán học duy nhất.
Cuộc thi của NIST và những thuật toán bị phá giữa chừng
Quá trình chuẩn hoá được tổ chức như một cuộc thi mở, mời cộng đồng mật mã toàn cầu tấn công các ứng viên. Các mốc chính:
- 2016: NIST kêu gọi đề xuất thuật toán hậu lượng tử.
- 2017: nhận 82 bài nộp, trong đó 69 bài đủ điều kiện vào vòng một.
- 2019–2020: vòng hai và vòng ba thu hẹp danh sách qua phân tích công khai.
- 2022: NIST chọn CRYSTALS-Kyber cho trao đổi khoá; CRYSTALS-Dilithium, Falcon và SPHINCS+ cho chữ ký. Cùng năm, Ward Beullens phá sơ đồ chữ ký Rainbow, một ứng viên chung kết, bằng một máy tính xách tay trong khoảng một cuối tuần; Wouter Castryck và Thomas Decru phá SIKE, ứng viên vòng bốn, bằng máy cổ điển trong khoảng một giờ với bộ tham số thấp nhất.
- Tháng 8/2024: ban hành FIPS 203, 204 và 205.
- Tháng 3/2025: chọn HQC làm thuật toán trao đổi khoá bổ sung; tiêu chuẩn cho Falcon (FN-DSA) đang được soạn.
Việc Rainbow và SIKE bị phá thường được nhắc như lý do lo ngại, nhưng thực ra đó là dấu hiệu quy trình hoạt động đúng: thuật toán yếu bị loại trước khi thành tiêu chuẩn. Bài học cho người triển khai là không dùng thuật toán chưa qua đủ thời gian phân tích công khai, và thiết kế hệ thống sao cho thay thuật toán được dễ dàng.
Chuyển đổi trong thực tế: lai ghép và linh hoạt mật mã
Trao đổi khoá lai ghép. Thay vì bỏ ngay thuật toán cũ, nhiều hệ thống kết hợp một thuật toán cổ điển như X25519 với ML-KEM, sao cho kẻ tấn công phải phá được cả hai. Cách này chống “thu trước, giải mã sau” mà vẫn an toàn nếu thuật toán mới lộ điểm yếu chưa biết. Các trình duyệt lớn và nhà cung cấp hạ tầng internet đã bật trao đổi khoá lai ghép trong TLS từ khoảng 2023–2024; Signal và iMessage cũng đã bổ sung giao thức hậu lượng tử.
Chữ ký số chuyển chậm hơn. Chuyển đổi chữ ký khó hơn trao đổi khoá, vì chữ ký nằm trong chứng thư số, chuỗi tin cậy, phần cứng nhúng và quy định pháp lý. Chữ ký hậu lượng tử lớn hơn nhiều: chữ ký ML-DSA cỡ vài kilobyte so với 64 byte của Ed25519, ảnh hưởng tới băng thông, thẻ thông minh và thiết bị IoT.
Linh hoạt mật mã. Nguyên tắc thiết kế quan trọng nhất là thay được thuật toán mà không viết lại hệ thống: tách lớp mật mã thành mô-đun, không mã hoá cứng tên thuật toán và kích thước khoá, có cơ chế thương lượng phiên bản. Hệ thống linh hoạt sẽ chịu được cả khả năng một thuật toán hậu lượng tử bị phá trong tương lai.
Thiết bị vòng đời dài. Công tơ điện thông minh, bộ điều khiển công nghiệp, vệ tinh, ô tô có thể vận hành 10–20 năm; mật mã cài vào chúng hôm nay cần tính tới thời điểm có máy lượng tử, nhất là khoá ký dùng để xác thực bản cập nhật phần mềm.
Lộ trình chuyển đổi cho một tổ chức
Hướng dẫn của các cơ quan an ninh mạng ở nhiều nước có cấu trúc khá giống nhau. Một lộ trình thực tế có thể gồm sáu bước:
- Kiểm kê mật mã: lập danh sách nơi dùng mật mã khoá công khai — TLS, VPN, chữ ký văn bản, xác thực người dùng, mã hoá cơ sở dữ liệu, phần mềm nhúng, thư viện bên thứ ba. Phần lớn tổ chức chưa có danh sách này, và đây thường là bước tốn công nhất.
- Phân loại dữ liệu theo thời hạn bảo mật: dữ liệu cần giữ bí mật trên mười năm được ưu tiên trước.
- Làm việc với nhà cung cấp: hỏi lộ trình hỗ trợ ML-KEM, ML-DSA của các sản phẩm đang dùng; đưa yêu cầu hậu lượng tử vào hồ sơ mua sắm mới.
- Thử nghiệm lai ghép: bật trao đổi khoá lai ghép ở các kết nối ra ngoài, đo ảnh hưởng tới hiệu năng và tương thích với thiết bị cũ.
- Chuyển đổi hạ tầng khoá công khai: lập kế hoạch cho chứng thư số, chữ ký văn bản điện tử và thiết bị phần cứng, phối hợp với tổ chức cung cấp dịch vụ chứng thực.
- Theo dõi và cập nhật: tiêu chuẩn và hướng dẫn còn thay đổi; giao trách nhiệm cho một nhóm cụ thể thay vì coi đây là dự án làm một lần.
Với tổ chức tại Việt Nam, nhất là ngân hàng, dịch vụ chữ ký số và hệ thống dữ liệu công, việc chuyển đổi còn phụ thuộc quy định về tiêu chuẩn mật mã và chữ ký số do cơ quan quản lý ban hành. Hãy kiểm tra văn bản hiện hành và hướng dẫn chính thức trước khi chọn thuật toán cho hệ thống phải tuân thủ.
Phân phối khoá lượng tử có thay được mật mã hậu lượng tử không?
Một giải pháp khác hay được nhắc là phân phối khoá lượng tử (QKD), dùng trạng thái lượng tử của photon để hai bên tạo khoá chung và phát hiện nghe lén dựa trên nguyên lý vật lý. Giao thức BB84 do Charles Bennett và Gilles Brassard đề xuất năm 1984 là nền tảng của lĩnh vực này. QKD đã được thử nghiệm trên mạng cáp quang đô thị và qua vệ tinh.
Tuy vậy, cơ quan an ninh mạng của một số nước, trong đó có Mỹ, Anh, Pháp và Đức, đã công bố quan điểm rằng QKD không phải giải pháp ưu tiên cho phần lớn ứng dụng. Lý do: QKD chỉ giải quyết trao đổi khoá, không thay được chữ ký số; vẫn cần một cơ chế xác thực cổ điển để chống tấn công người đứng giữa; cần thiết bị chuyên dụng và đường truyền riêng, bị giới hạn khoảng cách; và độ an toàn thực tế phụ thuộc phần cứng, nơi đã có nhiều tấn công kênh kề được công bố.
Điều đó không có nghĩa QKD vô dụng; nó có thể hợp với một số liên kết cố định, giá trị cao. Nhưng với phần lớn tổ chức, mật mã hậu lượng tử chạy trên phần cứng và mạng sẵn có là con đường thực tế. Hai hướng bổ sung chứ không loại trừ nhau, và cả hai minh hoạ một điều: chuẩn bị cho một công nghệ tương lai đôi khi cấp bách hơn chính công nghệ đó.
Câu hỏi thường gặp
Bitcoin có bị máy tính lượng tử phá không?
Bitcoin dùng chữ ký số trên đường cong elliptic, về lý thuyết bị thuật toán Shor phá nếu có máy lượng tử đủ lớn; phần khai thác dùng hàm băm SHA-256 chỉ chịu ảnh hưởng bậc hai từ Grover. Các địa chỉ đã lộ khoá công khai dễ tổn thương hơn. Chuyển sang chữ ký hậu lượng tử đòi hỏi thay đổi giao thức có đồng thuận của cộng đồng, và các đề xuất đang được thảo luận.
Người dùng cá nhân cần làm gì với mật mã hậu lượng tử?
Phần lớn việc chuyển đổi diễn ra ở tầng phần mềm và hạ tầng, do nhà phát triển trình duyệt, hệ điều hành, ứng dụng và dịch vụ đám mây thực hiện. Người dùng cá nhân nên cập nhật phần mềm thường xuyên, vì bản cập nhật mang theo thuật toán mới. Với dữ liệu cá nhân nhạy cảm cần lưu lâu dài, mã hoá đối xứng với khoá 256 bit vẫn là lựa chọn an toàn.
Thuật toán hậu lượng tử có chậm hơn RSA không?
Không nhất thiết. ML-KEM thường nhanh hơn RSA và tương đương mật mã đường cong elliptic về tốc độ tính toán. Điểm trừ chính là kích thước: khoá công khai và bản mã cỡ khoảng một kilobyte, có thể làm gói tin bắt tay vượt kích thước khung truyền và gây trục trặc với một số thiết bị mạng cũ. Chữ ký dựa trên hàm băm thì chậm và lớn hơn đáng kể.
Có chứng minh được thuật toán hậu lượng tử không bị phá không?
Không. Cũng như RSA, độ an toàn của chúng dựa trên giả định một bài toán toán học là khó với cả máy cổ điển lẫn máy lượng tử, chứ không có chứng minh tuyệt đối. Niềm tin đến từ nhiều năm phân tích công khai không tìm ra tấn công hiệu quả. Họ lưới có thêm kết quả liên hệ độ khó trung bình với trường hợp xấu nhất, nhưng vẫn dựa trên giả định về bài toán lưới.
Máy tính lượng tử có phá được mật khẩu không?
Mật khẩu thường được lưu dưới dạng băm có muối với hàm làm chậm. Thuật toán Grover chỉ tăng tốc tìm kiếm theo căn bậc hai và rất khó triển khai, nên mối đe doạ lượng tử với mật khẩu nhỏ hơn nhiều so với mật mã khoá công khai. Rủi ro lớn nhất với mật khẩu hiện nay vẫn là mật khẩu yếu, dùng lại ở nhiều nơi và lừa đảo, không phải máy lượng tử.
Tổ chức nào ở Việt Nam nên ưu tiên chuyển đổi?
Những tổ chức giữ dữ liệu cần bảo mật dài hạn và có hệ thống vòng đời dài nên ưu tiên: ngân hàng và trung gian thanh toán, nhà cung cấp dịch vụ chứng thực chữ ký số, cơ quan quản lý dữ liệu dân cư, bệnh viện, doanh nghiệp viễn thông và nhà sản xuất thiết bị công nghiệp. Bước đầu không tốn kém là kiểm kê mật mã và đưa yêu cầu hậu lượng tử vào hợp đồng mua sắm mới.
