NIST: два стандарта постквантовой подписи приняты, девять кандидатов в третьем раунде

По состоянию на 10 ноября 2026 года у NIST есть два готовых стандарта постквантовой подписи, сообщает shattered.io: ML-DSA (FIPS 204) и SLH-DSA (FIPS 205), оба окончательные с 13 августа 2024 года shattered.ioshattered.ioshattered.ioОткрыть источник ↗. У FN-DSA, производного от Falcon, публичного черновика нет. 14 мая 2026 года NIST назвал девять кандидатов для третьего раунда процесса отбора дополнительных подписей.

Стандарты и кандидаты третьего раунда

ML-DSA происходит от CRYSTALS-Dilithium и рассматривается как вариант общего назначения. SLH-DSA происходит от SPHINCS+ и опирается только на хеш-функции, а не на решётки. FN-DSA наследует Falcon, выбранный NIST в 2022 году. FIPS 206 не опубликован, официального черновика нет, дата выпуска не подтверждена. По одному из отчётов, на который ссылаются несколько вендоров, завершения ждут в конце 2026 или начале 2027 года.

Девять кандидатов третьего раунда: FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign и UOV. Они нужны потому, что подписи и ключи в ML-DSA и SLH-DSA велики по сравнению с ECDSA и Ed25519. По заявлению NIST, цель — дополнить FIPS 204, FIPS 205, FIPS 186-5 и SP 800-208, а не заменить их. В источнике нет проверенных межисточниковых замеров для кандидатов третьего раунда, поэтому о производительности сказано лишь качественно.

О названиях: Kyber, Dilithium, SPHINCS+ и Falcon — имена заявок. Стандартизованные имена — ML-KEM, ML-DSA, SLH-DSA и, в перспективе, FN-DSA shattered.ioshattered.ioshattered.ioОткрыть источник ↗.

Дорожная карта NIST IR 8547

NIST IR 8547 «Переход на стандарты постквантовой криптографии» принят в окончательной редакции 27 октября 2026 года. По сообщениям, он заменил первоначальный публичный черновик от ноября 2024 года. Это дорожная карта: документ не меняет FIPS 203, 204 и 205 и не называет новой схемы подписи.

Квантово-уязвимые алгоритмы с открытым ключом, включая RSA и подписи на эллиптических кривых, должны быть объявлены устаревшими после 2030 года и запрещены стандартами и руководствами NIST после 2035 года. Для федеральных систем высокой ценности по Executive Order 14412 сроки такие: 31 декабря 2030 года для установления ключей и 31 декабря 2031 года для подписей.

В июне 2026 года NIST опубликовал предварительные рабочие черновики по добавлению постквантовых алгоритмов, среди них ML-DSA, в стандарты PIV для идентификации личности. HQC, резервная схема инкапсуляции ключей, выбранная в марте 2025 года, пока не стандарт; целевой срок — 2027 год shattered.ioshattered.ioshattered.ioОткрыть источник ↗.

На практике источник предлагает ML-DSA как вариант по умолчанию. SLH-DSA подходит там, где допустимы более крупные и медленные подписи ради меньшего числа математических допущений, например для долгоживущих корней прошивок. Если компактные подписи обязательны, советуют дождаться FN-DSA и кандидатов третьего раунда, заложив криптогибкость.