Mật mã hậu lượng tử (PQC, Post-Quantum Cryptography)

1. Tổng quan

A. Định nghĩa

Mật mã hậu lượng tử (PQC) là công nghệ mật mã khóa công khai dựa trên các bài toán toán học được cho là khó giải trong thời gian đa thức ngay cả với máy tính lượng tử quy mô lớn, tức "mật mã kháng lượng tử (Quantum-Resistant Cryptography)" nhằm chuẩn bị cho thời đại máy tính lượng tử vô hiệu hóa mật mã khóa công khai hiện có. Điểm khác biệt bản chất so với phân phối khóa lượng tử (QKD) là PQC chạy nguyên vẹn trên máy tính và mạng thông thường ngày nay, chứ không cần thiết bị lượng tử chuyên dụng.

Lý do căn bản khiến PQC trở nên cấp bách là "máy tính lượng tử có thể phá vỡ toàn bộ mật mã khóa công khai hiện nay". Các hệ mật khóa công khai như RSA·ECC bảo đảm an toàn dựa vào những bài toán mà máy tính (cổ điển) hiện có trên thực tế không thể giải được, như phân tích thừa số nguyên tố hay logarit rời rạc. Chẳng hạn, RSA-2048 lấy làm căn cứ an toàn việc phân tích một hợp số 2048 bit bằng thuật toán cổ điển cần thời gian vượt quá tuổi của vũ trụ. Thế nhưng, nếu một máy tính lượng tử đủ lớn chạy thuật toán Shor, bài toán phân tích thừa số và logarit rời rạc có thể được giải trong thời gian đa thức, khiến RSA·ECC·DH·DSA·ECDSA về nguyên lý bị vô hiệu hóa cùng một lúc. Nền tảng niềm tin của Internet như HTTPS (TLS), chữ ký số (ký mã, xác thực chính phủ điện tử), VPN, ví blockchain đồng loạt bị lung lay.

Điều cần phân biệt rõ ở đây là mức độ tác động lên mật mã khóa công khai và mật mã khóa đối xứng là khác nhau. Khóa đối xứng (AES)·hàm băm (SHA-2/3) chỉ chịu mức tăng tốc căn bậc hai của thuật toán Grover, nên không gian tìm kiếm chỉ giảm từ 2^n xuống 2^(n/2). Tức là AES-128 bị suy yếu về cường độ thực tế xuống khoảng 64 bit, nhưng AES-256 vẫn an toàn ở cấp 128 bit, và hàm băm cũng có thể phòng thủ bằng cách tăng độ dài đầu ra.

Rốt cuộc, thứ mà máy tính lượng tử phá vỡ trực diện là mật mã "khóa công khai", còn khóa đối xứng có thể đối phó bằng cách tăng gấp đôi độ dài khóa. Đây là lý do thảo luận về PQC tập trung vào lĩnh vực chữ ký·trao đổi khóa (khóa công khai). Nói ngược lại, cơ sở để tổ chức xây dựng chiến lược nhị nguyên "nâng khóa đối xứng lên AES-256, thay khóa công khai bằng PQC" khi chuẩn bị cho thời đại lượng tử cũng xuất phát từ tác động bất đối xứng này.

Đáng sợ hơn là mối đe dọa "thu thập bây giờ, giải mã sau (HNDL, Harvest Now, Decrypt Later)". Đây là kịch bản kẻ tấn công lưu trữ toàn bộ thông tin liên lạc đã mã hóa ngay bây giờ, rồi giải mã hồi tố khi máy tính lượng tử xuất hiện trong tương lai. Những dữ liệu cần giữ bí mật từ 10~30 năm trở lên như hồ sơ y tế·bí mật quốc gia·thông tin định danh công dân·bí mật kinh doanh thực chất đã bị phơi nhiễm rủi ro ngay hôm nay, dù máy tính lượng tử chưa tồn tại. Do đó, cách tiếp cận "khi máy tính lượng tử thương mại hóa thì hãy đổi" đã là quá muộn. PQC chủ động đối phó mối đe dọa này bằng cách xây dựng mật mã trên những bài toán toán học mới như lưới·băm·mã sửa lỗi mà máy tính lượng tử cũng khó giải. Nếu QKD "phân phối" khóa an toàn nhờ vật lý lượng tử (trạng thái sụp đổ khi quan sát), thì thế mạnh thực tiễn của PQC là có thể cấy ghép ngay vào hệ thống hiện có chỉ bằng thuật toán phần mềm thuần túy. [[quantum-crypto]]

B. Bối cảnh mối đe dọa và tính cấp bách của việc ứng phó

Tóm lại, có ba yếu tố thúc đẩy chuyển đổi sang PQC. Thứ nhất, sự sụp đổ về nguyên lý của mật mã khóa công khai do thuật toán Shor. Thứ hai, mối đe dọa đã bắt đầu từ trước khi máy tính lượng tử thương mại hóa do HNDL. Thứ ba, việc thay thế mật mã của hạ tầng quy mô lớn mất từ vài năm đến hơn mười năm, nên nếu tính ngược từ thời điểm xuất hiện máy tính lượng tử hữu dụng cho tin tặc (Q-Day), thì bắt đầu ngay bây giờ cũng đã sát nút.

Sự kết hợp của ba yếu tố này thường được biểu diễn bằng "bất đẳng thức Mosca (Mosca's Theorem)". Logic là nếu tổng thời gian cần bảo vệ dữ liệu (X) và thời gian chuyển đổi hệ thống sang PQC (Y) lớn hơn thời gian còn lại đến khi máy tính lượng tử xuất hiện (Z) (X+Y>Z) thì đã nguy hiểm. Ví dụ, dữ liệu cần bảo vệ 30 năm (X=30), chuyển đổi mất 5 năm (Y=5), và máy tính lượng tử xuất hiện sau 20 năm (Z=20), thì vì 35>20 nên dữ liệu này về thực chất đã nằm trong vùng nguy hiểm ngay hôm nay.

C. Đặc điểm

Bản chất của PQC được tóm tắt bằng các đặc điểm sau.

Chạy trên phần cứng cổ điển: Thực thi bằng phần mềm trên CPU·máy chủ·mạng hiện có mà không cần thiết bị lượng tử đặc biệt, nên có thể cấy ghép ngay.
Tập trung thay thế khóa công khai: Thay thế lĩnh vực trao đổi khóa (KEM)·chữ ký số vốn bị đe dọa trực diện, còn khóa đối xứng·hàm băm được bổ sung bằng cách tăng độ dài khóa.
Song hành đa họ: Áp dụng song song các bài toán toán học khác nhau như lưới·băm·mã để phân tán rủi ro khi một họ cụ thể bị phá.
Kèm chi phí kích thước·hiệu năng: Kích thước khóa·bản mã·chữ ký lớn hơn trước, làm tăng gánh nặng băng thông·độ trễ·lưu trữ.
Lan tỏa do tiêu chuẩn dẫn dắt: Lộ trình của các cơ quan tiêu chuẩn hóa·quản lý như NIST·NSA thúc đẩy tốc độ triển khai.

2. Các loại bài toán nền tảng của PQC và cấu trúc tổng thể

PQC không phải là một thuật toán cụ thể mà là tên gọi chung của nhiều họ được xây dựng trên những bài toán toán học khác nhau được tin là "khó ngay cả với máy tính lượng tử". Lý do có nhiều họ là để phân tán rủi ro. Vì cần có thể chuyển sang họ khác nếu một họ bị phá trong tương lai, nên các tổ chức tiêu chuẩn hóa cũng áp dụng song song những bài toán có bản chất khác nhau.

flowchart TB
  P["PQC (mật mã khóa công khai kháng lượng tử)"] --> L["Dựa trên lưới<br/>(Lattice / LWE·SVP)"]
  P --> H["Dựa trên băm<br/>(Hash-based)"]
  P --> C["Dựa trên mã<br/>(Code / mã sửa lỗi)"]
  P --> M["Dựa trên đa biến<br/>(Multivariate)"]
  P --> I["Dựa trên isogeny<br/>(Isogeny, phần lớn đã bị tổn hại)"]
  L --> K["ML-KEM (Kyber) trao đổi khóa"]
  L --> D["ML-DSA (Dilithium) chữ ký"]
  H --> S["SLH-DSA (SPHINCS+) chữ ký"]
  C --> HQC["HQC KEM dự phòng"]
  style L fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
  style K fill:#eafbea,stroke:#2f9e44,stroke-width:1px
  style D fill:#eafbea,stroke:#2f9e44,stroke-width:1px

A. Dựa trên lưới (Lattice-based). Hiện là dòng chủ đạo. Dựa vào độ khó của bài toán vector ngắn nhất (SVP) — tìm vector ngắn nhất trong lưới n chiều — hoặc bài toán học có lỗi (LWE, Learning With Errors) — giải hệ phương trình tuyến tính có nhiễu — và biến thể Module-LWE. Lý do dựa trên lưới trở thành chủ đạo rất rõ ràng. Kích thước khóa·bản mã nhỏ hơn nhiều so với dựa trên mã, tốc độ sinh khóa·mã hóa/giải mã nhanh nên cân bằng hiệu năng và kích thước tốt nhất, và có thể hiện thực cả trao đổi khóa (KEM) lẫn chữ ký trên cùng một cấu trúc toán học nên mang tính đa dụng. Tuy nhiên, độ an toàn của bài toán lưới phần nào dựa vào niềm tin thực nghiệm rằng "về mặt toán học chưa bị phá", nên đòi hỏi sự cẩn trọng trong lựa chọn tham số và phòng thủ kênh kề.

B. Dựa trên băm (Hash-based). Căn cứ an toàn quy về duy nhất "tính kháng va chạm của hàm băm", nên giả định thận trọng nhất và độ tin cậy cao nhất. Tiêu biểu là SPHINCS+ (tên tiêu chuẩn SLH-DSA), một lược đồ chữ ký phi trạng thái (stateless) không cần quản lý trạng thái. Nhược điểm là kích thước chữ ký lớn tới hàng chục KB và việc tạo chữ ký chậm, nên phù hợp với mục đích "ký không thường xuyên nhưng cần xác minh lâu dài·chắc chắn" như ký firmware. Nó đóng vai trò lớn như một van an toàn (phương án thận trọng) phòng khi họ lưới bị lung lay trong tương lai.

C. Dựa trên mã (Code-based). Dựa vào việc giải mã (decoding) mã sửa lỗi nói chung là NP-khó. Được đề xuất năm 1978 dưới dạng mật mã McEliece, thế mạnh là lịch sử kiểm chứng lâu dài tồn tại hơn 40 năm mà không có tấn công lớn, nhưng khóa công khai rất lớn, cỡ hàng trăm KB~MB, nên việc áp dụng bị hạn chế. Việc NIST chọn HQC dựa trên mã làm KEM dự phòng (sẽ trình bày sau) cũng nhằm bảo đảm một phương tiện dự bị dựa trên "toán học khác" với lưới.

D. Dựa trên đa biến·isogeny. Bài toán giải hệ phương trình đa thức đa biến (Multivariate) và bài toán isogeny đường cong elliptic (Isogeny) cũng từng là ứng viên. Tuy nhiên, hai họ này là bài học phản diện cho thấy độ an toàn của PQC tuyệt nhiên không tuyệt đối. Lược đồ chữ ký đa biến Rainbow bị Beullens và KEM isogeny SIKE bị Castryck–Decru, cả hai trong năm 2022, phá vỡ trên thực tế chỉ bằng tính toán cỡ một máy tính xách tay thông thường. Các sự kiện này trở thành ví dụ tiêu biểu chứng minh sự cần thiết của tính linh hoạt mật mã (Crypto-Agility) sẽ được nhấn mạnh ở phần "Những điểm cần cân nhắc".

Loại	Bài toán nền tảng	Thế mạnh	Điểm yếu
Lưới (Lattice)	LWE·Module-LWE·SVP	Cân bằng tốc độ·kích thước tốt nhất, đa dụng (KEM·chữ ký)	Tranh luận về biên độ an toàn
Băm (Hash)	Tính kháng va chạm của hàm băm	Giả định tối thiểu·tin cậy cao nhất	Chữ ký lớn·chậm
Mã (Code)	Độ khó giải mã mã sửa lỗi	Lịch sử kiểm chứng 40 năm	Khóa công khai rất lớn
Đa biến (Multivariate)	Đa thức đa biến	Chữ ký ngắn và nhanh	Rainbow bị phá (2022)
Isogeny	Isogeny đường cong elliptic	Khóa nhỏ	SIKE bị phá (2022)

3. Tiêu chuẩn hóa của NIST và kiến trúc chuyển đổi

Bước ngoặt quyết định cho sự lan tỏa của PQC là tiêu chuẩn hóa của NIST (Hoa Kỳ). NIST mở cuộc tuyển chọn công khai từ năm 2016, trải qua nhiều năm kiểm chứng bởi giới mật mã học toàn cầu, và tháng 8/2024 đã ban hành 3 tiêu chuẩn PQC đầu tiên. KEM (đóng gói khóa) dựa trên lưới CRYSTALS-Kyber được tiêu chuẩn hóa thành FIPS 203 (ML-KEM), chữ ký dựa trên lưới CRYSTALS-Dilithium thành FIPS 204 (ML-DSA), và chữ ký dựa trên băm SPHINCS+ thành FIPS 205 (SLH-DSA). Tiếp đó, chữ ký lưới Falcon đang được chuẩn bị thành FIPS 206 (FN-DSA), và tháng 3/2025 NIST bổ sung chọn HQC dựa trên mã làm KEM dự bị thuộc họ khác với lưới (dự kiến tiêu chuẩn hóa khoảng năm 2027) để phân tán rủi ro. Sau khi tiêu chuẩn được ban hành, an toàn hơn cả là trích dẫn cố định phiên bản·tham số chính xác của từng thuật toán.

Tóm lại, họ tiêu chuẩn NIST như sau.

FIPS 203 (ML-KEM, trước đây là CRYSTALS-Kyber): KEM dựa trên lưới. Là tiêu chuẩn trao đổi khóa chủ lực, cung cấp các bộ tham số ML-KEM-512/768/1024.
FIPS 204 (ML-DSA, trước đây là CRYSTALS-Dilithium): Chữ ký số dựa trên lưới. Được khuyến nghị làm mặc định cho chữ ký đa dụng.
FIPS 205 (SLH-DSA, trước đây là SPHINCS+): Chữ ký phi trạng thái dựa trên băm. Giả định thận trọng nên đóng vai trò van an toàn cho họ lưới.
FIPS 206 (FN-DSA, trước đây là Falcon): Chữ ký dựa trên lưới. Kích thước chữ ký nhỏ nên có lợi trong môi trường băng thông hạn hẹp; đang được chuẩn bị.
HQC (KEM dự phòng dựa trên mã): Phương tiện trao đổi khóa dự bị dựa trên toán học khác với lưới, đang được tiêu chuẩn hóa riêng.

Dưới đây là sơ đồ chi tiết thể hiện quy trình chuyển đổi và kiến trúc triển khai lai (hybrid) khi một tổ chức thực tế chuyển sang PQC. Cốt lõi là chuyển đổi theo giai đoạn "kiểm kê → ưu tiên hóa → chạy song song lai → chuyển đổi hoàn toàn" chứ không phải "thay thế một lần".

flowchart TB
  subgraph PREP["Giai đoạn chuẩn bị"]
    A["Kiểm kê tài sản mật mã<br/>(Crypto Inventory)"] --> B["Ưu tiên hóa theo rủi ro<br/>(ưu tiên dữ liệu lưu trữ dài hạn·HNDL)"]
    B --> AG["Bảo đảm tính linh hoạt mật mã<br/>(thiết kế dễ thay thuật toán)"]
  end
  subgraph TRANS["Giai đoạn chuyển đổi"]
    AG --> HYB["Áp dụng lai<br/>(cổ điển + PQC song song)"]
    HYB --> TEST["Kiểm chứng tương thích·hiệu năng"]
    TEST --> FULL["Chuyển sang chỉ dùng PQC"]
  end
  subgraph TLS["Ví dụ trao đổi khóa TLS lai"]
    C1["Máy khách"] -->|"Giá trị chia sẻ X25519 + gói ML-KEM"| S1["Máy chủ"]
    S1 -->|"Kết hợp hai bí mật chung (KDF)"| C1
  end
  style HYB fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
  style FULL fill:#eafbea,stroke:#2f9e44,stroke-width:2px

A. Vì sao phương thức lai là lời giải thực tế. Nếu trong giai đoạn chuyển tiếp đột ngột chuyển sang chỉ dùng PQC, tổ chức sẽ đồng thời gánh rủi ro phát hiện lỗi trong chính thuật toán PQC trong tương lai (tiền lệ Rainbow·SIKE) và vấn đề tương thích với hệ thống cũ. Vì vậy, phương thức lai — thực hiện đồng thời mật mã cổ điển hiện có (ví dụ X25519) và PQC (ví dụ ML-KEM-768) rồi kết hợp hai bí mật chung bằng KDF — được khuyến nghị. Khi đó chỉ cần một trong hai an toàn là phiên được bảo vệ, nên bù trừ được rủi ro của giai đoạn chuyển tiếp "mật mã cổ điển đã an toàn, PQC chưa được kiểm chứng".

Trên thực tế, Google·Cloudflare đã triển khai quy mô lớn lược đồ lai X25519+Kyber (X25519MLKEM768) cho TLS trong giai đoạn 2022~2024, và Apple đưa PQ3 vào iMessage năm 2024, Signal đưa PQXDH năm 2023, kết hợp trao đổi khóa dựa trên lưới vào mã hóa đầu cuối của ứng dụng nhắn tin. Đây là ví dụ cụ thể cho thấy PQC đã vượt khỏi phòng thí nghiệm và đang vận hành ở quy mô hàng trăm triệu người dùng. Điểm chung là tất cả đều khởi đầu bằng lai "cổ điển + PQC", một lựa chọn thận trọng có tính đến sự bất định của giai đoạn đầu tiêu chuẩn hóa.

B. Chi phí thực tế về hiệu năng·kích thước. Chuyển đổi PQC không miễn phí. Tiêu biểu, khóa công khai của ML-KEM-768 khoảng 1.184 byte, gói (bản mã) khoảng 1.088 byte, lớn hơn khoảng 10~~20 lần~~ so với khóa ECC chỉ vài chục byte. Điều này có nghĩa là gói tin bắt tay TLS lớn hơn, có thể gây phân mảnh IP hoặc độ trễ ở vòng khứ hồi (RTT) ban đầu. Chữ ký cũng vậy, chữ ký SLH-DSA lên tới vài KBhàng chục KB. Do đó, trong môi trường băng thông·bộ nhớ hạn hẹp như nhúng·IoT, việc chọn thuật toán·tham số chính là sự đánh đổi thiết kế.

4. So sánh với QKD

PQC dễ bị nhầm với QKD (phân phối khóa lượng tử), nhưng hai công nghệ giải quyết vấn đề ở những tầng hoàn toàn khác nhau. QKD là công nghệ phần cứng dùng trạng thái phân cực của photon để phân phối khóa an toàn về mặt vật lý, đặt an toàn vào định luật vật lý rằng khi nghe lén, trạng thái lượng tử bị nhiễu loạn và bị phát hiện. Ngược lại, PQC là phần mềm dựa trên độ khó tính toán (độ phức tạp tính toán). Sự khác biệt này dẫn tới khác biệt về cách triển khai. QKD cần thiết bị truyền thông quang chuyên dụng và bộ lặp nên chi phí xây dựng lớn và bị giới hạn khoảng cách, trong khi PQC có thể áp dụng trên toàn Internet chỉ bằng cập nhật phần mềm. Vì vậy trong thực tiễn, người ta phân vai "thay thế mật mã khóa công khai bằng PQC, phân phối khóa cho các đoạn bảo mật cao đặc thù bằng QKD", xem chúng là quan hệ bổ sung chứ không loại trừ nhau.

Tiêu chí	PQC (mật mã kháng lượng tử)	QKD (phân phối khóa lượng tử)
Nền tảng	Bài toán toán học khó (độ phức tạp tính toán, SW)	Vật lý cơ học lượng tử (sụp đổ khi quan sát, HW)
Môi trường hoạt động	Hệ thống hiện có·Internet đa dụng	Thiết bị truyền thông quang chuyên dụng·bộ lặp
Khả năng áp dụng	Thay thế phần mềm nên rộng rãi·chi phí thấp	Cần xây dựng hạ tầng·giới hạn khoảng cách
Vai trò	Thay thế mật mã khóa công khai (trao đổi khóa·chữ ký)	Bảo vệ kênh phân phối khóa cho đoạn cụ thể
Mức độ trưởng thành	Đã có tiêu chuẩn NIST, triển khai thương mại quy mô lớn	Chủ yếu thí điểm·mạng đặc thù

5. Chuyên sâu: Xu hướng trong nước và quốc tế, hướng ra đề dự kiến

A. Lộ trình chuyển đổi toàn cầu. Hoa Kỳ, thông qua CNSA 2.0 của NSA, đã đưa ra lịch trình về thực chất bắt buộc chuyển đổi PQC cho các hệ thống an ninh quốc gia đến đầu thập niên 2030, và thông qua NSM-10 của Nhà Trắng cùng các luật liên quan, buộc các cơ quan liên bang kiểm kê mật mã và lập kế hoạch chuyển đổi. NIST cũng ban hành hướng dẫn chuyển đổi (như dự thảo IR 8547) và đang thảo luận lịch trình loại bỏ dần (deprecation) các thuật toán hiện có. Như vậy, cốt lõi của xu hướng gần đây là tiêu chuẩn đang chuyển từ giai đoạn "được tạo ra" sang giai đoạn "bị bắt buộc thực thi".

B. Xu hướng tại Hàn Quốc. Tại Hàn Quốc, thông qua cuộc tuyển chọn KpqC (Korean PQC) do KISA·Cơ quan Tình báo Quốc gia dẫn dắt, các thuật toán mật mã kháng lượng tử nội địa đã được tìm kiếm·kiểm chứng, và các ứng viên Hàn Quốc thuộc họ lưới·mã v.v. đã trải qua các vòng tuyển chọn. Tuy nhiên, kết quả tuyển chọn chi tiết·lịch trình tiêu chuẩn hóa là vấn đề liên tục cập nhật, nên khi viết bài thi, an toàn hơn là trình bày xoay quanh sự thật "cuộc tuyển chọn PQC nội địa đã được tiến hành dưới sự chủ trì của KISA" và xác nhận kết quả mới nhất bằng tài liệu cập nhật. Khu vực công·tài chính có hệ thống chính phủ điện tử·chứng thư số rộng khắp, nên dự kiến việc chuyển đổi tại Hàn Quốc sẽ theo lộ trình dài hạn "kiểm kê tài sản mật mã → chứng thư lai → chuyển đổi hoàn toàn".

C. Hướng ra đề dự kiến và chiến lược viết bài. Từ góc nhìn Kỹ sư chuyên nghiệp (Professional Engineer), PQC nhiều khả năng được ra đề dạng luận gộp (1) thuật toán Shor/Grover và khác biệt tác động lên khóa đối xứng·khóa công khai, (2) họ·mục đích của 4 tiêu chuẩn NIST, (3) tính cấp bách của chuyển đổi nhìn qua HNDL và bất đẳng thức Mosca, (4) chiến lược chuyển đổi xoay quanh lai·tính linh hoạt mật mã. Thay vì liệt kê định nghĩa đơn thuần, cấu trúc theo dòng nhân quả "vì sao phải chuyển ngay bây giờ (HNDL) → chuyển sang gì (tiêu chuẩn NIST) → chuyển thế nào (lai·linh hoạt)" sẽ tạo nên bài làm chuyên sâu.

6. Những điểm cần cân nhắc và hàm ý

Chuyển đổi chủ động (Migration) không phải là lựa chọn mà là vấn đề quản lý thời điểm. Theo mối đe dọa HNDL và bất đẳng thức Mosca (X+Y>Z), cần kiểm kê ngay bây giờ và khởi động chuyển đổi từ những dữ liệu·hệ thống cần bảo vệ dài hạn. "Ứng phó khi máy tính lượng tử xuất hiện" không thể bảo vệ dữ liệu đã bị rò rỉ.
Bảo đảm tính linh hoạt mật mã (Crypto-Agility) là năng lực bản chất. Như việc Rainbow·SIKE bị phá cho thấy, ngay cả thuật toán PQC cụ thể cũng có thể lung lay trong tương lai, nên thiết kế kiến trúc để thuật toán không bị "mã cứng" mà có thể cấu hình·thay thế là cách ứng phó căn bản trước thay đổi tiêu chuẩn·phát hiện lỗ hổng.
Chạy song song lai là lời giải thực tế của giai đoạn chuyển tiếp. Thực hiện đồng thời mật mã cổ điển và PQC rồi kết hợp hai bí mật chung giúp phiên được bảo vệ chỉ cần một trong hai an toàn, đồng thời giảm thiểu rủi ro chưa kiểm chứng và vấn đề tương thích. Các triển khai thực tế của Google·Apple·Signal minh chứng cho điều này.
Phải thiết kế đồng thời các đánh đổi thực tiễn về hiệu năng·kích thước·kênh kề. Cần chọn tham số có tính đến băng thông·độ trễ do kích thước khóa·chữ ký tăng, giới hạn tài nguyên của môi trường nhúng, và cả phòng thủ kênh kề (thời gian) cho hiện thực lưới.
PQC, QKD và tăng cường khóa đối xứng không loại trừ nhau mà là tổ hợp phân tầng. Chiến lược đa tầng — thay khóa công khai bằng PQC, phân phối khóa đoạn đặc thù bằng QKD, nâng khóa đối xứng lên cấp AES-256 — là bản thiết kế thực tế cho hệ thống mật mã thời đại lượng tử.

Tài liệu tham khảo

NIST, "Post-Quantum Cryptography" (FIPS 203/204/205, lựa chọn HQC): https://csrc.nist.gov/projects/post-quantum-cryptography
NSA, "Commercial National Security Algorithm Suite 2.0 (CNSA 2.0)": https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3148990/
Cloudflare, "The state of the post-quantum Internet": https://blog.cloudflare.com/pq-2024/
Apple, "iMessage with PQ3": https://security.apple.com/blog/imessage-pq3/

Tóm tắt một câu: PQC là mật mã khóa công khai kháng lượng tử xây dựng trên các bài toán toán học khó dựa trên lưới·băm·mã mà ngay cả máy tính lượng tử (thuật toán Shor) cũng khó giải; do mối đe dọa "Harvest Now, Decrypt Later" nên phải chuyển đổi ngay từ bây giờ, và cốt lõi là các tiêu chuẩn NIST (ML-KEM·ML-DSA·SLH-DSA) cùng chiến lược lai·tính linh hoạt mật mã.