Windows Server 2025 получил постквантовый TLS 1.3: что такое ML-KEM и зачем он нужен

Microsoft добавляет постквантовую криптографию в TLS

В октябрьском обновлении безопасности Windows Server 2025 Microsoft добавила поддержку ML-KEM — Module-Lattice-Based Key-Encapsulation Mechanism — для обмена ключами в TLS 1.3.

Изменение вошло в обновление KB5126646 от 13 октября 2026 года для Windows Server 2025. Microsoft прямо указывает постквантовый key exchange как одно из новых средств защиты TLS-соединений от будущих угроз, связанных с развитием квантовых вычислений.

При этом речь не идёт о замене всего TLS новым протоколом.

TLS 1.3 по-прежнему выполняет ту же задачу: клиент и сервер устанавливают защищённое соединение, договариваются о криптографических параметрах и создают общий секрет, из которого затем получают ключи для шифрования трафика.

Меняется один из наиболее важных этапов — способ установления этого общего секрета.

До сих пор современные TLS-соединения обычно опирались на классическую криптографию на эллиптических кривых. Теперь Windows постепенно получает возможность использовать алгоритмы, спроектированные с учётом потенциальных атак со стороны квантовых компьютеров.

Почему обычной криптографии может оказаться недостаточно

Чтобы понять проблему, полезно вспомнить упрощённую схему TLS 1.3.

Когда браузер или другое приложение подключается к серверу:

Клиент
   │
   │ ClientHello
   │ поддерживаемые алгоритмы
   ▼
Сервер
   │
   │ ServerHello
   │ выбранные параметры
   ▼

обе стороны получают общий секрет

   ↓

из него создаются симметричные ключи

   ↓

зашифрованный канал

Сам пользовательский трафик после установки соединения шифруется быстрыми симметричными алгоритмами вроде AES.

Но перед этим клиенту и серверу необходимо безопасно договориться об общем секрете.

Для этого сегодня широко применяется ECDHE — Elliptic Curve Diffie-Hellman Ephemeral.

В обычных условиях ECDHE считается надёжным. Проблема возникает в теории с появлением достаточно мощного квантового компьютера.

Алгоритм Шора позволяет квантовому компьютеру значительно эффективнее решать математические задачи, на сложности которых основаны RSA и современная криптография на эллиптических кривых.

Это не означает, что кто-то прямо сейчас способен открыть любое TLS-соединение. Практических квантовых компьютеров необходимого масштаба пока нет.

Но существует другая угроза.

Harvest now, decrypt later

Злоумышленнику необязательно уметь расшифровать данные сегодня.

Он может:

перехватить зашифрованный TLS-трафик
                ↓
          сохранить его
                ↓
            ждать
                ↓
появляется достаточно мощный
     квантовый компьютер
                ↓
 попытаться восстановить старые данные

Такой сценарий называют Harvest Now, Decrypt Later — «собери сейчас, расшифруй потом».

Для обычной переписки с небольшим сроком актуальности это может быть не слишком серьёзной проблемой.

Но существуют данные, которые должны оставаться конфиденциальными десятилетиями:

• государственная информация;
• медицинские данные;
• коммерческие секреты;
• финансовая инфраструктура;
• персональные данные;
• долгоживущие корпоративные системы.

Именно поэтому миграция на постквантовую криптографию начинается задолго до появления реально опасных квантовых компьютеров.

Что такое ML-KEM

ML-KEM — это механизм инкапсуляции ключей, или Key Encapsulation Mechanism.

В 2024 году американский институт NIST стандартизировал ML-KEM в документе FIPS 203 как один из основных постквантовых алгоритмов для установления общего секрета. Он основан на криптографической конструкции CRYSTALS-Kyber и использует математические задачи, связанные с решётками.

Если сильно упростить принцип KEM:

Сервер
создаёт пару ключей
      │
      ▼
публичный ключ
отправляется клиенту
      │
      ▼
Клиент создаёт общий секрет
и инкапсулирует его
      │
      ▼
сервер выполняет decapsulation
      │
      ▼
обе стороны получают
одинаковый секрет

Далее этот секрет можно использовать при формировании ключей для обычного симметричного шифрования.

NIST определяет три варианта ML-KEM:

ML-KEM-512
ML-KEM-768
ML-KEM-1024

Чем выше уровень, тем больше запас криптографической стойкости, но одновременно растут размеры ключей и вычислительные расходы.

Microsoft также документирует поддержку постквантовых TLS-групп в Schannel — системной реализации TLS в Windows. Среди используемых подходов есть комбинации классического ECDHE и ML-KEM.

Зачем объединять два алгоритма

На этапе миграции индустрия не обязательно должна полностью отказаться от уже проверенной классической криптографии.

Вместо этого можно использовать гибридный обмен ключами.

Например:

X25519
   +
ML-KEM-768
   ↓
общий TLS-секрет

Такой вариант сочетает классический алгоритм X25519 и постквантовый ML-KEM.

Логика достаточно простая.

Если через десять лет окажется, что в реализации нового постквантового алгоритма была обнаружена фундаментальная проблема, соединение всё ещё получает защиту классической криптографии.

Если же появятся квантовые компьютеры, способные эффективно атаковать X25519, остаётся защита ML-KEM.

Поэтому гибридный переход позволяет не делать ставку исключительно на одну новую криптографическую систему.

Значит ли это, что TLS уже стал полностью постквантовым

Нет.

Добавление ML-KEM в Windows Server — это ещё один шаг в большой миграции инфраструктуры.

В TLS присутствует не только обмен ключами, но и аутентификация сервера с помощью сертификатов и цифровых подписей.

Условно:

TLS 1.3

├── установление общего ключа
│       └── ML-KEM может защищать этот этап
│
├── проверка сертификата
│
├── цифровая подпись
│
└── симметричное шифрование трафика

Microsoft развивает постквантовые механизмы и для других компонентов PKI. Например, Windows Server 2025 уже получает поддержку ML-DSA в Active Directory Certificate Services. ML-DSA стандартизирован NIST отдельно как постквантовый алгоритм цифровой подписи.

Это важно, потому что одного постквантового key exchange недостаточно для построения полностью постквантовой цепочки доверия.

Кроме того, само наличие поддержки ML-KEM в операционной системе ещё не означает, что после установки обновления каждое TLS-соединение автоматически становится постквантовым.

Клиент и сервер должны поддерживать совместимые группы и согласовать их во время TLS handshake. Microsoft отдельно документирует управление Supported Groups, а для ряда постквантовых групп требуется явная настройка.

Поэтому сейчас правильнее говорить не о мгновенной замене классического TLS, а о появлении инфраструктуры для постепенной миграции.

Что это означает для обычного интернета

Для пользователя в моменте практически ничего не изменится.

HTTPS продолжит выглядеть так же:

https://example.com

браузер по-прежнему установит TLS-соединение, а сервер отправит обычный сертификат.

Основные изменения происходят значительно глубже — на уровне TLS handshake.

Но именно такие незаметные изменения постепенно формируют следующую версию интернет-инфраструктуры.

Похожий переход уже происходил раньше.

Когда TLS 1.3 начал заменять TLS 1.2, пользователь также практически ничего не заметил. Но внутри протокола сократилось количество этапов handshake, исчезли устаревшие алгоритмы и изменилась модель установления ключей.

С постквантовой криптографией происходит похожий процесс, только миграция значительно сложнее:

классическая криптография

ECDHE
RSA / ECDSA

        ↓

гибридный период

ECDHE + ML-KEM
ECDSA + PQ signatures

        ↓

постквантовая инфраструктура

И Windows Server — далеко не единственная платформа, движущаяся в этом направлении. Крупные браузеры, CDN, облачные платформы и разработчики TLS-библиотек уже несколько лет экспериментируют с постквантовыми и гибридными схемами.

Главная проблема здесь даже не в вычислительной мощности.

Новые алгоритмы имеют более крупные ключи и сообщения, поэтому напрямую влияют на размер TLS handshake, сетевые пакеты, latency и совместимость с существующей инфраструктурой.

А значит, переход на постквантовый TLS — это не только криптографическая задача, но и новая задача для сетевых инженеров.

Microsoft, добавив ML-KEM в Windows Server 2025, делает ещё один шаг к тому, чтобы такие соединения перестали быть экспериментом и постепенно стали обычной частью сетевой инфраструктуры.