ทุกครั้งที่คุณเห็น รูปแม่กุญแจ บนเบราว์เซอร์ ทุกครั้งที่คุณใช้ mobile banking ทุกครั้งที่คุณส่งข้อความในแอปแชต สิ่งที่ปกป้องข้อมูลของคุณอยู่เบื้องหลังคือ “การเข้ารหัส” (Encryption)
แต่ระบบเข้ารหัสที่เราใช้กันทุกวันนี้ กำลังจะถูกท้าทายด้วยเทคโนโลยีใหม่ที่ชื่อว่า คอมพิวเตอร์ควอนตัม (Quantum Computer) เครื่องคอมพิวเตอร์ที่มีพลังประมวลผลมหาศาล สามารถถอดรหัสที่คอมพิวเตอร์ปกติต้องใช้เวลาหลายล้านปีได้ภายในเวลาอันสั้น
Post-Quantum Cryptography (PQC) หรือ การเข้ารหัสยุคหลังควอนตัม คือทางออกที่ถูกออกแบบมาเพื่อรับมือกับภัยคุกคามนี้ บทความนี้จะอธิบายให้เข้าใจตั้งแต่พื้นฐาน โดยไม่จำเป็นต้องมีความรู้ด้านคณิตศาสตร์หรือวิทยาการคอมพิวเตอร์มาก่อน
1. เข้าใจพื้นฐานก่อน การเข้ารหัสที่เราใช้ทุกวัน
ก่อนจะเข้าใจว่าทำไมต้องมี PQC ต้องเข้าใจก่อนว่าระบบเข้ารหัสปัจจุบันทำงานอย่างไร
การเข้ารหัสมี 2 แบบหลัก
แบบที่ 1: กุญแจดอกเดียว (Symmetric Encryption)
ลองนึกภาพแม่กุญแจที่ทั้งคนส่งและคนรับใช้ กุญแจดอกเดียวกัน ในการล็อกและปลดล็อก ทำงานเร็วมาก เหมาะกับการเข้ารหัสข้อมูลจำนวนมาก ตัวอย่างที่ใช้กันทุกวันคือ AES ที่อยู่เบื้องหลังทุก HTTPS connection
แต่มีปัญหาอยู่หนึ่งอย่าง: “จะส่งกุญแจให้อีกฝ่ายอย่างปลอดภัยได้อย่างไร?” ถ้าส่งกุญแจผ่านอินเทอร์เน็ตแล้วมีคนดักเอาไป ก็ไม่มีประโยชน์ที่จะเข้ารหัส
แบบที่ 2: กุญแจคู่ (Asymmetric / Public-Key Encryption)
เพื่อแก้ปัญหาการส่งกุญแจ จึงมีการคิดค้นระบบกุญแจคู่ ลองนึกภาพ กล่องไปรษณีย์ที่ใครก็หยอดจดหมายเข้าช่องได้ (public key) แต่มีเพียงเจ้าของกุญแจ (private key) เท่านั้นที่เปิดอ่านได้
ตัวอย่างที่ใช้กันทั่วโลกคือ RSA และ ECC (Elliptic Curve Cryptography) ซึ่งเป็นหัวใจของ TLS/HTTPS ที่ปกป้องทุกเว็บไซต์, mobile banking, อีเมล และแอปแชต
ระบบกุญแจคู่นี้ใช้ทำ 2 สิ่งหลัก ได้แก่ Key Exchange (ตกลงกุญแจลับร่วมกันอย่างปลอดภัย) และ Digital Signature (ยืนยันตัวตนว่าข้อมูลมาจากแหล่งที่ถูกต้องและไม่ถูกแก้ไข)
ความปลอดภัยมาจาก “โจทย์คณิตศาสตร์ที่แก้ยาก”
ความปลอดภัยของ RSA และ ECC ไม่ได้มาจากการซ่อนวิธีการ แต่มาจากการพึ่งพาโจทย์คณิตศาสตร์ที่คอมพิวเตอร์ปกติต้องใช้เวลาหลายล้านปีในการแก้ ลองดูตัวอย่างง่าย ๆ:
RSA อาศัยการแยกตัวประกอบ: ถ้าบอกว่า 3 × 5 = 15 คุณคำนวณได้ทันที แต่ถ้าบอกว่า 15 = ? × ? คุณต้องลอง ของจริง RSA ใช้ตัวเลขขนาด 617 หลัก ซึ่งคอมพิวเตอร์ปัจจุบันแยกตัวประกอบไม่ได้ภายในอายุขัยของจักรวาล
ECC อาศัยปัญหาคล้ายกันบนเส้นโค้งวงรี: คำนวณ “ไปข้างหน้า” ง่าย แต่ “ย้อนกลับ” ยากมาก
จุดสำคัญคือ: ทั้ง RSA และ ECC ปลอดภัยเพราะคอมพิวเตอร์ “ปกติ” แก้โจทย์เหล่านี้ไม่ได้ แต่คอมพิวเตอร์ควอนตัมไม่ใช่คอมพิวเตอร์ปกติ
2. ภัยคุกคามควอนตัม ทำไมระบบเดิมจะ “พัง”
คอมพิวเตอร์ควอนตัมทำงานต่างจากคอมพิวเตอร์ปกติอย่างไร
คอมพิวเตอร์ปกติเก็บข้อมูลเป็น bit ที่เป็นได้แค่ 0 หรือ 1 อย่างใดอย่างหนึ่ง แต่คอมพิวเตอร์ควอนตัมใช้ qubit ที่สามารถอยู่ในสถานะ 0 และ 1 พร้อมกันได้ (เรียกว่า Superposition) และ qubit หลายตัวสามารถพัวพันกัน (Entanglement) ทำให้สถานะของตัวหนึ่งส่งผลต่อตัวอื่นทันที
ผลคือ คอมพิวเตอร์ควอนตัมสามารถประมวลผลหลายความเป็นไปได้พร้อมกันในเวลาเดียว ทำให้แก้ปัญหาบางประเภทได้เร็วกว่าคอมพิวเตอร์ปกติอย่างมหาศาล
Shor’s Algorithm “กุญแจผี” ที่ไขได้ทุกล็อก
ในปี 1994 นักคณิตศาสตร์ชื่อ Peter Shor ค้นพบอัลกอริทึมที่สามารถแก้ปัญหาการแยกตัวประกอบและ discrete logarithm ได้อย่างรวดเร็วบนคอมพิวเตอร์ควอนตัม โจทย์ที่คอมพิวเตอร์ปกติต้องใช้เวลาหลายล้านปี คอมพิวเตอร์ควอนตัมที่มีพลังเพียงพออาจแก้ได้ในเวลาสั้น ๆ
ผลกระทบโดยตรง: RSA ถูกทำลาย, ECC (ECDSA/ECDH) ถูกทำลาย, Diffie-Hellman ถูกทำลาย ทุกระบบ public-key ที่เราใช้อยู่ทุกวันนี้จะไม่ปลอดภัยอีกต่อไป
Grover’s Algorithm แค่ “ค้นเร็วขึ้น”
อัลกอริทึมอีกตัวชื่อ Grover ทำให้การเดารหัสแบบ symmetric (เช่น AES) เร็วขึ้น แต่ไม่ถึงกับทำลาย เพียงแค่ลดความแข็งแรงลงครึ่งหนึ่ง วิธีรับมือง่ายมาก แค่เพิ่มขนาดกุญแจจาก AES-128 เป็น AES-256 ก็เพียงพอ ไม่ต้องเปลี่ยนอัลกอริทึม
สรุป: ควอนตัมทำลาย “กุญแจคู่” (public-key) เป็นหลัก ส่วน symmetric แค่เพิ่มขนาดกุญแจก็พอ
Harvest Now, Decrypt Later ภัยที่เกิดขึ้นแล้ววันนี้
มีอีกสิ่งหนึ่งที่ต้องตระหนัก: แม้คอมพิวเตอร์ควอนตัมที่ทรงพลังเพียงพอยังไม่มีในวันนี้ แต่ภัยคุกคามเริ่มแล้ว
“Harvest Now, Decrypt Later” (HNDL) คือกลยุทธ์ที่ผู้ไม่หวังดี (หรือหน่วยงานข่าวกรอง) ดักจับข้อมูลที่เข้ารหัสไว้ในวันนี้ แม้จะยังถอดรหัสไม่ได้ แล้วเก็บสะสมรอเวลา เมื่อคอมพิวเตอร์ควอนตัมพร้อมในอนาคต ข้อมูลเก่าทั้งหมดจะถูกถอดได้
ข้อมูลที่มีความสำคัญระยะยาว เช่น เวชระเบียน ความลับทางการค้า ข้อมูลความมั่นคงของรัฐ หรือข้อมูลการเงินที่ต้องเก็บเป็นความลับหลายปี มีความเสี่ยงสูงต่อกลยุทธ์นี้
นักวิทยาศาสตร์ชื่อ Michele Mosca สรุปความเสี่ยงเป็นสมการง่าย ๆ: ถ้า อายุความลับของข้อมูล + เวลาที่ใช้ย้ายระบบ > เวลาที่คอมพิวเตอร์ควอนตัมจะพร้อม แปลว่าองค์กรนั้นมีความเสี่ยงและต้องเริ่มเตรียมตัวตั้งแต่วันนี้
3. PQC คืออะไร คำตอบสำหรับภัยควอนตัม
นิยาม
Post-Quantum Cryptography (PQC) คือ อัลกอริทึมการเข้ารหัสแบบ public-key ที่ออกแบบให้ทนทานต่อการโจมตีจากทั้งคอมพิวเตอร์ปัจจุบันและคอมพิวเตอร์ควอนตัม โดยทำงานบนคอมพิวเตอร์ทั่วไป
ลองเปรียบเทียบให้เห็นภาพ: การเข้ารหัสปัจจุบัน (RSA/ECC) เหมือน “แม่กุญแจธรรมดา” ที่คนปกติเปิดไม่ได้ แต่ถ้ามี “กุญแจผี” ของควอนตัม (Shor’s Algorithm) ก็ไขออกได้ PQC เหมือน “แม่กุญแจแบบใหม่” ที่แม้มีกุญแจผีของควอนตัมก็ไขไม่ออก
PQC vs QKD ต่างกันอย่างไร
หลายคนสับสนระหว่าง PQC กับ QKD (Quantum Key Distribution):
PQC ใช้คณิตศาสตร์แบบใหม่ที่ควอนตัมแก้ไม่ได้ ทำงานบนคอมพิวเตอร์/มือถือ/เซิร์ฟเวอร์ปกติได้ทันที ติดตั้งผ่านการอัปเดตซอฟต์แวร์ (เช่น OpenSSL) ไม่ต้องซื้อฮาร์ดแวร์ใหม่
QKD ใช้ฟิสิกส์ควอนตัมจริง ๆ ในการแลกเปลี่ยนกุญแจ ต้องใช้ฮาร์ดแวร์เฉพาะทาง (เช่น ใยแก้วนำแสงพิเศษ อุปกรณ์ตรวจจับโฟตอน) ต้นทุนสูงมาก ใช้ได้เฉพาะระยะทางจำกัด
บทความนี้พูดถึง PQC ซึ่งเป็นทางเลือกที่ทุกองค์กรเข้าถึงได้ ไม่ต้องลงทุนฮาร์ดแวร์พิเศษ
PQC ใช้โจทย์คณิตศาสตร์แบบใหม่
PQC ไม่ได้ใช้โจทย์แยกตัวประกอบหรือ discrete log ที่ Shor แก้ได้ แต่ใช้โจทย์คณิตศาสตร์ประเภทใหม่ที่ทั้งคอมพิวเตอร์ปกติและคอมพิวเตอร์ควอนตัมแก้ไม่ได้ แบ่งเป็น 4 ตระกูลหลัก:
Lattice-based (อิงโครงสร้างตาข่าย) ใช้ปัญหา “Learning With Errors” (LWE) ที่เปรียบได้กับการหาคำตอบของระบบสมการที่มีสัญญาณรบกวน เป็นตระกูลที่สมดุลดีที่สุดทั้งด้านขนาดกุญแจ ความเร็ว และความปลอดภัย NIST เลือกเป็นมาตรฐานหลัก
Hash-based (อิงฟังก์ชันแฮช) ใช้ความปลอดภัยของฟังก์ชันแฮช (เช่น SHA) เพียงอย่างเดียว สมมติฐานน้อยที่สุด เชื่อถือได้มากที่สุด แต่ลายมือชื่อมีขนาดใหญ่
Code-based (อิงรหัสแก้ไขข้อผิดพลาด) ใช้ทฤษฎีการแก้ไขรหัส ผ่านการศึกษามายาวนานหลายสิบปี เชื่อถือได้แต่กุญแจมีขนาดใหญ่
Multivariate (อิงสมการพหุนามหลายตัวแปร) ยังอยู่ระหว่างการประเมิน
4. มาตรฐาน NIST PQC ที่พร้อมใช้งานแล้ว
ทำไมต้องมีมาตรฐาน
ถ้าต่างคนต่างเลือกอัลกอริทึม PQC เอง ระบบจะคุยกันไม่ได้ เว็บไซต์ใช้อัลกอริทึมหนึ่ง เบราว์เซอร์ใช้อีกอัลกอริทึมหนึ่ง ก็เชื่อมต่อกันไม่ได้ จึงต้องมีมาตรฐานกลางที่ทุกฝ่ายใช้ร่วมกัน
NIST (สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ) คือหน่วยงานที่ทำหน้าที่นี้ NIST เป็นหน่วยงานเดียวกับที่กำหนดมาตรฐาน AES และ SHA ที่เราใช้กันทุกวัน ในปี 2016 NIST เปิดการแข่งขันให้นักวิจัยทั่วโลกเสนออัลกอริทึม PQC แล้วให้ชุมชนช่วยตรวจสอบและโจมตี คัดเลือกเหลือเฉพาะตัวที่ปลอดภัยและใช้งานจริงได้
มาตรฐาน PQC ที่ประกาศแล้ว (สิงหาคม 2024)
NIST ประกาศมาตรฐาน PQC อย่างเป็นทางการ 3 ฉบับ พร้อมร่างอีก 1 ฉบับ:
FIPS 203 ML-KEM (เดิมชื่อ Kyber) ใช้สำหรับ แลกเปลี่ยนกุญแจ (Key Exchange) ทดแทน ECDH และ RSA key exchange ที่ใช้ใน TLS ทุกวันนี้ อิง Lattice-based (Module-LWE) ทำงาน 3 ขั้น: สร้างคู่กุญแจ (KeyGen), ห่อความลับ (Encapsulate), เปิดความลับ (Decapsulate) มี 3 ระดับ: ML-KEM-512, ML-KEM-768, ML-KEM-1024
FIPS 204 ML-DSA (เดิมชื่อ Dilithium) ใช้สำหรับ ลายมือชื่อดิจิทัล (Digital Signature) ทดแทน ECDSA และ RSA signature ที่ใช้ในใบรับรองดิจิทัลและการยืนยันตัวตนใน TLS อิง Lattice-based เช่นกัน เป็นลายมือชื่อมาตรฐานหลักที่ NIST แนะนำ
FIPS 205 SLH-DSA (เดิมชื่อ SPHINCS+) ลายมือชื่อดิจิทัลแบบ Hash-based ไม่พึ่งพา lattice เลย เป็นทางเลือกสำรองที่อนุรักษ์นิยมที่สุด ถ้าในอนาคต lattice ถูกตั้งคำถามก็ยังมี SLH-DSA เป็น backup ข้อแลกเปลี่ยนคือลายมือชื่อมีขนาดใหญ่ (หลาย KB) และลงนามช้ากว่า ML-DSA
FIPS 206 FN-DSA (เดิมชื่อ Falcon, ยังเป็นร่าง) ลายมือชื่อดิจิทัลแบบ Lattice (NTRU) ที่ให้ ลายมือชื่อขนาดเล็กที่สุด ในกลุ่ม เหมาะกับงานที่ bandwidth จำกัด คาดว่าจะประกาศใช้อย่างเป็นทางการช่วงปลายปี 2026 ถึงต้นปี 2027
อัลกอริทึมสำรอง HQC
ในปี 2025 NIST เลือก HQC (Code-based KEM) เป็น KEM สำรองของ ML-KEM เพื่อกระจายความเสี่ยง หาก lattice-based ถูกตั้งคำถามในอนาคต ก็ยังมี KEM ที่อิงคณิตศาสตร์คนละกลุ่มเป็น backup
ผลกระทบ กุญแจใหญ่ขึ้น 3–10 เท่า
สิ่งที่ต้องเตรียมรับมือคือ กุญแจและลายมือชื่อ PQC มีขนาดใหญ่กว่าของเดิมมาก เช่น public key ของ ML-KEM-768 มีขนาดประมาณ 1,184 ไบต์ เทียบกับ ECDH (X25519) ที่มีเพียง 32 ไบต์ ซึ่งส่งผลต่อขนาด TLS handshake, bandwidth และอาจทำให้เกิด fragmentation ในเครือข่ายที่มี MTU จำกัด
5. PQC กับชีวิตจริง
ใครได้รับผลกระทบ
ทุกคนที่ใช้อินเทอร์เน็ต เพราะ HTTPS ที่คุณใช้ทุกวันอาศัย RSA/ECC อยู่ เมื่อมาตรฐานเปลี่ยน เบราว์เซอร์ เซิร์ฟเวอร์ และแอปทั้งหมดต้องอัปเดต
องค์กรที่ใช้ VPN, VoIP, email ระบบเหล่านี้ใช้ TLS ที่อาศัย ECDH/ECDSA ทั้งหมด
สถาบันการเงิน mobile banking, payment gateway, ใบรับรองดิจิทัล ทุกอย่างต้อง migrate
หน่วยงานภาครัฐ ข้อมูลด้านความมั่นคง สาธารณสุข ที่ต้องเก็บเป็นความลับระยะยาว เสี่ยงต่อ HNDL
ผู้ให้บริการ Telecom / VoIP ระบบ SBC, SIP Trunk, TLS ที่ปกป้องสัญญาณเสียง ต้อง migrate ไป PQC
PQC เริ่มใช้จริงแล้วที่ไหนบ้าง
การเปลี่ยนผ่านสู่ PQC เริ่มเกิดขึ้นแล้วจริง ๆ: Google Chrome เริ่มรองรับ ML-KEM ใน TLS handshake, Cloudflare เปิดใช้ PQC สำหรับ HTTPS connection, Signal messenger เพิ่ม PQC key exchange, Apple iMessage เพิ่ม PQ3 protocol
สิ่งที่องค์กรควรเริ่มทำวันนี้
สำรวจระบบปัจจุบัน ตรวจสอบว่าระบบใดบ้างใช้ RSA หรือ ECC ทำรายการ certificate, TLS configuration, VPN, VoIP ที่ต้อง migrate
ติดตามมาตรฐาน — FIPS 203/204/205 ประกาศใช้แล้ว ติดตาม FIPS 206 (FN-DSA) ที่คาดว่าจะประกาศปลายปี 2026
เลือก vendor ที่พร้อม เมื่อจะซื้ออุปกรณ์ใหม่ (SBC, firewall, VPN gateway) เลือกรุ่นที่รองรับ firmware upgrade ไปสู่ PQC ในอนาคต
วางแผน migration การเปลี่ยนผ่านสู่ PQC ไม่ใช่สิ่งที่ทำได้ข้ามคืน ต้องวางแผนล่วงหน้า อาจเริ่มจาก hybrid mode (ใช้ทั้ง classical + PQC ควบคู่กัน) ก่อนจะเปลี่ยนเป็น PQC เต็มรูปแบบ
สรุป
การเข้ารหัสที่เราใช้ทุกวันนี้ (RSA, ECC) ปกป้องข้อมูลของเราได้ดีจากคอมพิวเตอร์ปกติ แต่คอมพิวเตอร์ควอนตัมในอนาคตจะสามารถถอดรหัสเหล่านี้ได้ด้วย Shor’s Algorithm
PQC (Post-Quantum Cryptography) คือการเข้ารหัสรุ่นใหม่ที่ใช้โจทย์คณิตศาสตร์แบบใหม่ (เช่น lattice) ที่ทั้งคอมพิวเตอร์ปกติและควอนตัมแก้ไม่ได้ ทำงานบนฮาร์ดแวร์เดิมได้ ไม่ต้องซื้อของใหม่ แค่อัปเดตซอฟต์แวร์
NIST ประกาศมาตรฐาน PQC อย่างเป็นทางการแล้วในปี 2024 (FIPS 203/204/205) พร้อมใช้งานจริง และผู้ให้บริการรายใหญ่ (Google, Apple, Cloudflare) เริ่มนำไปใช้แล้ว
สิ่งที่ทุกองค์กรควรทำตอนนี้คือ เริ่มสำรวจระบบ เริ่มทดลอง และเริ่มวางแผน migration เพราะการเปลี่ยนผ่านต้องใช้เวลา และภัยคุกคามแบบ “Harvest Now, Decrypt Later” เริ่มเกิดขึ้นแล้ววันนี้
