Kvanttiuhka ei ole enää scifiä vaan nykyhetken tietoturvahaaste
Kvanttitietokoneiden kehitys ei ole enää pelkkää akateemista teoriaa. Vaikka laajamittaiseen, virheenkorjattuun ja kryptografisesti merkittävään kvanttitietokoneeseen liittyy edelleen teknisiä epävarmuuksia, sen mahdollinen vaikutus nykyiseen tietoturvaan on niin suuri, että valmistautumista ei voi siirtää epämääräiseen tulevaisuuteen. Verkkopankit, viranomaispalvelut, pilviyhteydet, VPN:t, ohjelmistopäivitykset ja viestisovellukset nojaavat kaikki tavalla tai toisella julkisen avaimen kryptografiaan, kuten RSA-, Diffie-Hellman- ja elliptisten käyrien menetelmiin. Juuri nämä menetelmät ovat kvanttilaskennan kannalta haavoittuvin osa nykyistä salausketjua.
Olennaisin riski ei siis ala vasta sinä päivänä, jolloin ensimmäinen riittävän tehokas kvanttitietokone otetaan käyttöön. Hyökkääjä voi kerätä salattua liikennettä jo nyt ja yrittää purkaa sen myöhemmin. Tätä kutsutaan nimellä harvest now, decrypt later. Pitkään salassa pidettävä liikesalaisuus, potilastieto, valtion turvallisuuteen liittyvä aineisto tai kriittisen infrastruktuurin suunnitelma voi olla arvokas vielä vuosikymmeniä. Tämän artikkelin tavoite on erottaa todellinen riski kvanttihypestä ja viedä keskustelu nopeasti käytännön päätöksiin.
Miksi nykyinen salaus murenee ja mikä tekee Shor-algoritmista vaarallisen
Nykyinen epäsymmetrinen eli julkisen avaimen salaus perustuu ongelmiin, jotka ovat klassisille tietokoneille laskennallisesti vaikeita. RSA:n turvallisuus nojaa suurten kokonaislukujen tekijöihin jakamisen vaikeuteen. Elliptisten käyrien kryptografiassa, jota käytetään muun muassa ECDSA-allekirjoituksissa ja ECDH-avaintenvaihdossa, keskeinen oletus on diskreetin logaritmin laskemisen vaikeus. Näiden ongelmien ratkaiseminen on tavallisella tietokoneella riittävän hidasta, jotta salaus toimii käytännössä.
Shorin algoritmi muuttaa asetelman. Riittävän suuri ja virheenkorjattu kvanttitietokone voisi käyttää sitä tekijöihin jakamisen ja diskreetin logaritmin ratkaisemiseen tehokkaasti. Käytännössä seuraukset ulottuisivat salatun viestinnän lisäksi digitaalisiin allekirjoituksiin, varmenteisiin, ohjelmistojen allekirjoitettuihin päivityksiin, identiteetin hallintaan ja laitteiden turvalliseen käynnistykseen. Pelkkä RSA-avaimen pidentäminen tai elliptisen käyrän vaihtaminen toiseen ei ratkaise ongelmaa, koska haavoittuvuus liittyy menetelmäperheeseen, ei vain yksittäiseen avainkokoon.
Symmetrinen salaus, kuten AES, on eri tilanteessa. Kvanttilaskenta heikentää sen turvallisuusmarginaalia, mutta uhkaa voidaan pienentää käyttämällä riittävän pitkiä avaimia ja ajantasaisia toteutuksia. Siksi organisaation tärkeä perusjaottelu on selvä: julkisen avaimen menetelmät vaativat uusia algoritmeja, kun taas symmetrinen salaus voidaan yleensä säilyttää vahvistettuna. Suomen yhteiskunnan kriittisten toimijoiden valmistautumista korostavat myös viranomaiset. Päivitetty Suomi.fi:n kvanttilaskennan tietoturvaohje ohjaa organisaatioita arvioimaan vaikutuksia ja aloittamaan varautumisen ajoissa.
- RSA, Diffie-Hellman ja elliptisten käyrien menetelmät ovat ensisijainen kvanttiriski.
- AES:n kaltaista symmetristä salausta voidaan vahvistaa pidemmillä avaimilla.
- Digitaaliset allekirjoitukset on arvioitava erikseen, koska niiden väärentäminen voi murtaa ohjelmisto- ja identiteettiketjuja.
- Riski koskee myös järjestelmiä, jotka eivät itse käsittele salausta, mutta käyttävät TLS-varmenteita, VPN-protokollia tai allekirjoitettuja päivityksiä.
Kerää nyt ja pura myöhemmin uhkaa jo tämän päivän verkkoliikennettä
Harvest now, decrypt later tarkoittaa käytännössä sitä, että hyökkääjä kopioi salattua liikennettä, tiedostoja, varmuuskopioita tai tietokantoja talteen ilman että aineiston sisältöä tarvitsee ymmärtää heti. Jos nykyinen julkisen avaimen suojaus voidaan tulevaisuudessa murtaa, aiemmin kerätty materiaali voidaan avata jälkikäteen. Hyökkääjän ei tarvitse tietää tarkasti, milloin kvanttitekniikka saavuttaa tarvittavan tason. Riittää, että tiedolla on pitkä salassapitoaika ja kerääminen on halpaa.
Sieppaus voi tapahtua useissa kohdissa. Liikennettä voidaan tallentaa internetin runkoverkoissa, palveluntarjoajien yhteyksissä, vaarantuneissa reitittimissä, pilvipalvelujen reunapisteissä tai organisaation omassa verkossa. Myös VPN-liikenne ja TLS-yhteydet voivat päätyä hyökkääjän arkistoon, vaikka yhteys olisi tänään oikein määritetty. Yhteyden suojaus torjuu sisällön lukemisen nyt, mutta se ei automaattisesti takaa, että sama sisältö pysyy salassa tulevaisuudessa.
Erityisen alttiita ovat tiedot, joiden luottamuksellisuusvaatimus kestää pidempään kuin järjestelmän tekninen elinkaari. Potilastiedot, tutkimus- ja tuotekehitysaineisto, sotilas- ja viranomaisdata, fuusioihin liittyvät asiakirjat sekä teollisuuden prosessisalaisuudet voivat säilyttää arvonsa 10, 20 tai 30 vuotta. Jos organisaatio odottaa niin sanottuun Q-dayhin, päätöspäivään jolloin kvanttikoneen katsotaan olevan käytännössä uhka, osa tiedoista on jo menetetty. Riskin arvioinnissa pitää siis kysyä, kuinka kauan tieto on salattava, ei vain milloin uusi tietokone mahdollisesti valmistuu.
Perinteinen salaus vastaan post-kvanttikryptografia vertailussa
Post-kvanttikryptografia eli PQC ei tarkoita kvanttitietokonetta eikä välttämättä vaadi täysin uutta verkkoinfrastruktuuria. Se tarkoittaa klassisilla tietokoneilla ajettavia algoritmeja, joiden turvallisuus perustuu ongelmiin, joita pidetään vaikeina sekä perinteisille että kvanttitietokoneille. NIST:n laaja standardointityö johti elokuussa 2024 kolmeen keskeiseen standardiin, joista ML-KEM on tarkoitettu avainten kapselointiin ja ML-DSA sekä SLH-DSA digitaalisiin allekirjoituksiin.
Merkittävin muutos näkyy avain- ja allekirjoituskokoluokissa. Hila- ja koodipohjaiset menetelmät voivat käyttää RSA:ta ja ECC:tä suurempia julkisia avaimia tai allekirjoituksia, mikä vaikuttaa varmenteisiin, viestien kokoon, muistinkäyttöön ja laitteiden suorituskykyyn. Tämä ei kuitenkaan tarkoita, että PQC olisi automaattisesti hidas tai käyttökelvoton. Vaikutus riippuu protokollasta, yhteyksien määrästä, laitteistosta ja siitä, toteutetaanko algoritmi palvelimella, päätelaitteessa vai sulautetussa järjestelmässä.
| Ominaisuus | RSA ja ECC | Post-kvanttimenetelmät |
|---|---|---|
| Turvallisuusoletus | Tekijöihin jako tai diskreetti logaritmi | Esimerkiksi hila- tai koodipohjainen ongelma |
| Kvanttikestävyys | Ei riittävä tulevaa Shor-uhkaa vastaan | Suunniteltu kestämään myös kvanttitietokoneiden uhkaa |
| Avainten ja allekirjoitusten koko | Usein pienempi, erityisesti ECC:llä | Tyypillisesti suurempi ja protokollan kannalta huomioitava |
| Käyttöönoton vaikutus | Laajasti tuettu ja kypsä | Vaatii päivityksiä, testausta ja yhteensopivuuden varmistamista |
| Tyypillinen rooli | Nykyinen yhteyksien ja allekirjoitusten suoja | Uusi perustaso pitkäikäisille järjestelmille |
Vertailun tärkein käytännön havainto on, että PQC ei ole yksi uusi algoritmi, joka asennetaan kaikkialle samalla tavalla. Avaintenvaihto, digitaalinen allekirjoitus, varmenteet ja laitekohtaiset toteutukset on käsiteltävä erillisinä kokonaisuuksina. NIST:n PQC-hankkeen standardit tarjoavat perustan, mutta organisaation on silti testattava todellinen suorituskyky omassa ympäristössään.
Standardit ja hybridiratkaisut turvaavat siirtymävaiheen
NIST:n standardit tekevät siirtymästä konkreettisemman. ML-KEM perustuu hilaongelmiin ja soveltuu avainten muodostamiseen, kun taas ML-DSA ja SLH-DSA on tarkoitettu allekirjoituksiin. NIST jatkaa myös täydentävien menetelmien, kuten Falconin ja HQC:n, standardointia. Tämä on tärkeää siksi, että kryptografinen suunnittelu tarvitsee vaihtoehtoja erilaisiin laite-, suorituskyky- ja varmuusvaatimuksiin.
Siirtymä ei kuitenkaan tapahdu yhdellä asetuksella. NIST:n lokakuussa 2026 julkaisema NISTIR 8547 kuvaa, mitä algoritmeja on korvattava, millaisia kartoituksia tarvitaan ja miten aikatauluja voidaan suhteuttaa järjestelmien riskitasoon. NIST:n siirtymäohjeistus nostaa esiin muun muassa korkean vaikutuksen järjestelmien nopeamman etenemisen, toimitusketjun huomioimisen ja kryptografisen näkyvyyden rakentamisen. NIST:n yleinen tavoite on, että haavoittuvien algoritmien käytöstä luovutaan asteittain vuoteen 2035 mennessä, riskialttiimpien järjestelmien siirtyessä aiemmin.
Hybridimenetelmä yhdistää perinteisen avaintenvaihdon ja PQC-menetelmän samaan yhteydenmuodostukseen. Ajatus on käytännöllinen: jos toinen menetelmä osoittautuu myöhemmin heikoksi, toinen voi edelleen suojata yhteistä avainta, kun toteutus ja protokolla on suunniteltu oikein. Suomessa kansallinen kryptotyöryhmä suosittelee vuodesta 2026 alkaen PQC-avaintenkapselointia kansallisiin salaustuotearviointeihin osallistuvilta tuotteilta. Hybridinen avaintenvaihto on vahvasti suositeltu, ja myös hybridiallekirjoituksia pidetään hyödyllisenä siirtymäratkaisuna.
- Valitse standardoitu PQC-menetelmä ennen kokeellista tai epävirallista algoritmia.
- Suunnittele hybriditoteutus erityisesti korkean riskin yhteyksiin ja pitkäikäisen datan suojaksi.
- Testaa varmenteiden, pakettikokojen, kuormituksen ja yhteensopivuuden vaikutus ennen tuotantokäyttöä.
- Huomioi Suomen linjaukset, EU:n aikataulut ja toimittajien tuoteversiot samassa tiekartassa.
Käytännön askeleet organisaatioille kvanttivalmiuden saavuttamiseksi
Kvanttivalmius ei ala algoritmin vaihtamisesta, vaan näkyvyydestä. Jos organisaatio ei tiedä, missä RSA:ta, ECC:tä, Diffie-Hellmania tai allekirjoitusalgoritmeja käytetään, siirtymää ei voi johtaa. Kryptografiaa voi piiloutua sovelluskoodiin, käyttöjärjestelmän kirjastoihin, varmenteisiin, VPN-laitteisiin, pilvipalveluihin, mobiilisovelluksiin, varmuuskopioihin ja toimittajien suljettuihin tuotteisiin.
- Rakenna kryptoagiliteetin kartta. Tunnista käytössä olevat algoritmit, avaintyypit, varmenteet, protokollat, kirjasto- ja laiteversiot sekä niiden omistajat. Kytke löydökset ohjelmisto- ja laiteinventaarioon. Tavoitteena ei ole vain raportti, vaan kyky vaihtaa algoritmi ilman koko järjestelmän uudelleensuunnittelua.
- Priorisoi pitkäikäinen data. Luokittele aineisto sen mukaan, kuinka kauan luottamuksellisuuden pitää säilyä. Yhdistä luokitteluun hyökkäyksen vaikutus, keräyksen helppous, varmuuskopioiden säilytysajat ja järjestelmän elinkaari. HNDL-uhan kannalta vuosikymmeniä säilytettävä data tarvitsee ensimmäisenä vahvemman tiekartan.
- Valmistele verkkoliikenne ja VPN-yhteydet. Selvitä, tukevatko TLS-kirjastot, VPN-tuotteet, SSH-ratkaisut ja identiteettipalvelut PQC- tai hybridivaihtoehtoja. Testaa ensin rajatuissa ympäristöissä ja mittaa yhteydenmuodostuksen viive, viestikoko, palvelinkapasiteetti ja päätelaitteiden kuormitus. Aalto-yliopistossa kuvattu läpinäkyvä tunneloiva ratkaisu osoittaa, että sovelluksia voidaan tietyissä ympäristöissä suojata ilman sovelluskoodin muutosta, mutta tuotantopäätös vaatii aina oman arkkitehtuurin ja riskien arvioinnin.
- Auditoi toimittajat ja toimitusketjut. Pyydä valmistajilta konkreettinen PQC-tiekartta, tuetut standardit, päivitys- ja varmennepolitiikka, laitteiston elinkaari sekä riippuvuudet. Pelkkä lupaus kvanttiturvallisuudesta ei riitä. Sopimuksiin kannattaa kirjata vaatimukset algoritmien vaihtokyvystä, haavoittuvien menetelmien poistamisesta ja tietoturvapäivitysten saatavuudesta.
Toimintamalli kannattaa kytkeä olemassa olevaan riskienhallintaan, jatkuvuussuunnitteluun ja hankintaprosessiin. Jokaiselle kriittiselle järjestelmälle on hyvä nimetä omistaja, tavoitetila, testausympäristö ja päivämäärä, jolloin PQC-tuki on osoitettava. Samalla pitää varautua siihen, että jotkin vanhat laitteet eivät kykene suurempiin avaimiin tai uusiin protokolliin. Tällöin ratkaisu voi olla päivitys, välityspalvelu, eristetty käyttöympäristö tai hallittu järjestelmän vaihto.
Aloita valmistautuminen ennen kuin Q-day yllättää
Kvanttivallankumous on ennen kaikkea matemaattinen ja arkkitehtoninen realiteetti. Tarkkaa Q-day-päivää ei tiedetä, eikä vastuullinen riskienhallinta tarvitsekaan tarkkaa päivämäärää. Kun järjestelmän elinkaari, tiedon salassapitovaatimus ja siirtymän vaatima työ mitataan vuosissa, valmistelu on aloitettava ennen kuin uhka on näkyvä uutisotsikoissa. NIST:n, Traficomin ja suomalaisten viranomaisten viesti on tässä johdonmukainen: kartoita haavoittuvat menetelmät, priorisoi korkean arvon data ja aloita siirtymä.
Kryptoagiliteetista tulee modernin tietoturvan uusi peruskivi. Organisaation pitää pystyä vaihtamaan algoritmeja, varmenteita ja protokollia hallitusti ilman vuosia kestävää järjestelmäremonttia. Ensimmäinen käytännön päätös voi olla inventaarion käynnistäminen, kriittisten datavirtojen luokittelu ja toimittajille lähetettävä PQC-kysely. Seuraava on testiympäristö, jossa hybridiyhteyksiä mitataan oikealla liikenteellä. Kun nämä askeleet tehdään nyt, Q-day ei ole yllätys vaan yksi hallittu vaihe pitkässä tietoturvan jatkuvuussuunnitelmassa.
