🌌 Quantum-Safe Migration (QSM)

Инструментарий миграции на постквантовую криптографию для Nginx и OpenSSH.

🛠️ Обзор

QSM — это открытый инструментарий, который проводит аудит устаревших криптографических конфигураций и мигрирует их на гибридную постквантовую криптографию (PQC). Он нацелен на вектор угрозы «Harvest Now, Decrypt Later» (HNDL) путём моделирования последствий алгоритма Шора и автоматизации гибридных миграций в системах на базе Debian.

⚠️ Строгий архитектурный принцип: QSM никогда не допускает чисто постквантовое развёртывание. Все операции реализуют гибридную парадигму, объединяющую классические и PQC-алгоритмы (ECDSA P-256 + ML-DSA-65 для аутентификации; X25519 + ML-KEM-768 для обмена ключами).

⚠️ Ограничения

QSM — это функциональный proof-of-concept, а не сертифицированный производственный инструмент. Пожалуйста, внимательно прочитайте этот раздел, прежде чем полагаться на него в критических средах.

Модель симуляции

Команда --simulate использует упрощённую аналитическую модель для оценки ресурсов алгоритма Шора — а не скомпилированную квантовую схему:

Количество гейтов: O(bits³)
Физические кубиты: logical_qubits × 1000 (предположение о поверхностном коде)
Логическая тактовая частота: 1 МГц (консервативно)

Это даёт оценки порядка величины, а не точные прогнозы. Реальные требования к ресурсам CRQC зависят от глубины схемы, точности гейтов, накладных расходов на коррекцию ошибок и архитектуры оборудования. Всё это остаётся предметом активных исследований.

Выходные показатели (например, «~99 дней для ECC-256») представляют собой теоретическую нижнюю границу при указанных допущениях, а не измерение на какой-либо существующей машине. Криптографически значимого квантового компьютера (CRQC) сегодня не существует.

Объём миграции

Команда --migrate патчит конфигурационные файлы, внедряя гибридные наборы шифров. Она не:

Устанавливает или настраивает liboqs или oqs-provider
Генерирует гибридные сертификаты
Проверяет, что целевой сервис действительно поддерживает внедрённые имена алгоритмов
Тестирует итоговое TLS-рукопожатие end-to-end

Вы должны убедиться, что oqs-provider установлен и загружен, чтобы внедрённые имена шифров были приняты. Сначала протестируйте все миграции в среде, отличной от производственной.

Готовность к производству

QSM проверен на:

Parrot OS Security · ядро 7.1.13+parrot7-amd64
Python 3.13.5 · Nginx 1.26.3 · OpenSSL 3.5.7
Модульные тесты проходят (см. tests/)

Он не проходил стресс-тестирование в масштабе, под нагрузкой или в разнообразных средах. Рассматривайте его как эталонную реализацию и адаптируйте под свою инфраструктуру.

Соответствие стандартам NIST

QSM ориентируется на финализированные стандарты NIST:

FIPS	Алгоритм	Использование в QSM
FIPS 203	ML-KEM	Обмен ключами (`ML-KEM-768`)
FIPS 204	ML-DSA	Аутентификация (`ML-DSA-65`)

Терминология: «Kyber» и «Dilithium» были предстандартными кодовыми именами, использовавшимися во время конкурса NIST. Финализированные стандарты используют ML-KEM и ML-DSA соответственно. QSM повсеместно использует стандартизированные названия.

🚀 Два режима работы

QSM создан для адаптивной работы в различных средах:

Облегчённый режим (симуляция и пробный запуск): Не требует продвинутых C-зависимостей. Безопасно симулируйте атаки алгоритмом Шора, оценки рисков и предварительный просмотр конфигураций миграции.
Продакшн-режим (активная миграция): Требует системной интеграции liboqs для атомарного исправления слоёв конфигурации с логикой отката, проверяемой контрольными суммами.

⚡ Установка и быстрый старт

1. Клонирование и настройка

# Clone and enter the vault
git clone https://github.com/soufianecyber/Quantum-Safe-Migration
cd Quantum-Safe-Migration

# Initialize virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Проверьте вашу матрицу

python3 qsm.py --preflight

🎮 Справочное руководство по CLI

# 1. Run Quantum Attack Simulation on target assets
python3 qsm.py --simulate --target example.com
python3 qsm.py --simulate --keyfile ./test_legacy_key.pem

# 2. Preview Hybrid Migration Block (Safe Dry-Run)
python3 qsm.py --migrate --target nginx --config ./dummy_nginx.conf --dry-run

# 3. Apply Production Migration (Requires Sudo)
sudo venv/bin/python3 qsm.py --migrate --target nginx --config /etc/nginx/nginx.conf
sudo venv/bin/python3 qsm.py --migrate --target sshd --config /etc/ssh/sshd_config

# 4. Atomic Rollback Checksum Restoration
sudo venv/bin/python3 qsm.py --rollback --target /etc/nginx/nginx.conf

📸 Скриншоты

1. Предварительная проверка системы

sudo python3 qsm.py --preflight

Предварительная проверка

Проверяет версию Python, привязки liboqs, доступность ML-KEM/ML-DSA и OpenSSL.

2. Оценка квантовой уязвимости

python3 qsm.py --simulate --target google.com

Симуляция

Обнаруживает ECC-256 на google.com и вычисляет время взлома алгоритмом Шора.

3. Гибридная миграция на PQC (пробный запуск)

sudo python3 qsm.py --migrate --target nginx --config /etc/nginx/nginx.conf --dry-run

Dry-Run Migration

Предпросмотр внедрения гибридного набора шифров — файлы не изменяются.

🛡️ Лицензия и правовые рамки

Распространяется под лицензией MIT. Подробности см. в LICENSE.

Отказ от ответственности: этот инструментарий создан исключительно для авторизованного тестирования и проверки миграции инфраструктуры.

👤 Автор

Soufiane Cyber

🐙 GitHub: github.com/soufianecyber
🔐 Направление: наступательная безопасность · постквантовая криптография · DevSecOps

🙏 Благодарности

Open Quantum Safe за liboqs
NIST PQC Project за FIPS 203/204
Shields.io за инфраструктуру бейджей

Популярное

Quantum-Safe-Migration