Mật mã hậu lượng tử: Việt Nam cần chuẩn bị gì trước “Q-Day”?
Máy tính lượng tử đang phát triển nhanh, đặt các hệ mật mã truyền thống trước nguy cơ bị phá vỡ. Việt Nam cần chuyển đổi sớm, đồng thời xây dựng năng lực tự chủ về mật mã.
Trong khuôn khổ Hội thảo Khoa học Quốc gia AI4CRIS 2026, phiên chuyên môn “Mật mã và mật mã hậu lượng tử” tập trung vào một trong những bài toán an ninh công nghệ đáng chú ý nhất hiện nay: khi máy tính lượng tử đạt đủ năng lực, những hệ mật mã đang bảo vệ dữ liệu và hạ tầng số sẽ ra sao?
Từ nguy cơ của máy tính lượng tử, những tranh luận xung quanh tiêu chuẩn mật mã hậu lượng tử, kinh nghiệm triển khai trong tài chính, ngân hàng đến vai trò của AI và phân phối khóa lượng tử (QKD), các tham luận tại phiên chuyên môn đã đưa ra những góc nhìn khác nhau, nhưng cùng gặp nhau ở một điểm: Việt Nam cần chuẩn bị cho thời kỳ hậu lượng tử từ sớm, đồng thời từng bước xây dựng năng lực tự chủ về công nghệ mật mã.
Khi máy tính lượng tử đặt lại bài toán bảo mật
TS. Nguyễn Quốc Hưng đang trình bày tham luận Khi máy tính lượng tử đặt lại bài toán bảo mật Mở đầu phiên chuyên môn, TS. Nguyễn Quốc Hưng tiếp cận vấn đề từ góc độ vật lý lượng tử và công nghệ linh kiện siêu dẫn, phân tích lý do sự phát triển của máy tính lượng tử có thể trở thành mối đe dọa đối với các hệ mật mã đang được sử dụng phổ biến. Theo ông, nhiều hệ mật mã truyền thống dựa trên giả định rằng một số bài toán toán học đủ khó để máy tính cổ điển không thể giải trong thời gian chấp nhận được. Với RSA, chẳng hạn, việc nhân hai số nguyên tố lớn để tạo ra một số rất lớn là tương đối đơn giản, nhưng quá trình phân tích ngược để tìm lại các thừa số được xem là bài toán khó. Vấn đề là giả định này có thể không còn đúng khi máy tính lượng tử đạt đủ năng lực. Những đặc tính như chồng trập, giao thoa và vướng víu lượng tử tạo ra phương thức tính toán khác căn bản so với máy tính cổ điển. Đặc biệt, thuật toán Shor được Peter Shor công bố năm 1994 đã chỉ ra khả năng sử dụng máy tính lượng tử để giải hiệu quả các bài toán phân tích thừa số và logarit rời rạc, vốn là nền tảng của nhiều hệ mật mã khóa công khai hiện nay. Theo TS. Nguyễn Quốc Hưng, điều đáng quan tâm không chỉ nằm ở lý thuyết. Các nghiên cứu trong những năm gần đây liên tục tối ưu hóa nguồn lực cần thiết cho một số cuộc tấn công lượng tử, trong khi phần cứng cũng tiến bộ nhanh chóng. Ông dẫn lại các nghiên cứu cho thấy số lượng qubit cần thiết về mặt lý thuyết để thực hiện một số cuộc tấn công mật mã đã giảm đáng kể qua thời gian. Trong khi đó, nhiều hướng phần cứng như qubit siêu dẫn, ion bẫy, nguyên tử trung hòa và máy tính lượng tử quang tử đang được phát triển mạnh. Khoảng cách giữa năng lực tính toán cần thiết về mặt lý thuyết và năng lực phần cứng thực tế vì thế đang được thu hẹp. Đây chính là lý do thế giới thúc đẩy mật mã hậu lượng tử (PQC), với các hướng tiếp cận dựa trên lưới, hàm băm, mã sửa lỗi… nhằm tìm kiếm những nền tảng toán học được kỳ vọng có khả năng chống lại các cuộc tấn công từ máy tính lượng tử. Tuy nhiên, chuyển sang PQC không đơn giản là thay một thuật toán bằng một thuật toán khác. Câu hỏi tiếp theo là: những tiêu chuẩn PQC hiện nay đã đủ an toàn và có nên được áp dụng một cách tuyệt đối? Không nên đặt an ninh vào một thuật toán duy nhất TS. Nguyễn Bùi Cương đang trình bày tham luận Không nên đặt an ninh vào một thuật toán duy nhất Tiếp nối vấn đề này, TS. Nguyễn Bùi Cương tập trung phân tích quá trình phát triển các tiêu chuẩn PQC trên thế giới, đặc biệt là những tiêu chuẩn do Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) công bố. Năm 2024, NIST công bố ba tiêu chuẩn quan trọng gồm FIPS 203 về ML-KEM, FIPS 204 về ML-DSA và FIPS 205 về SLH-DSA. Đây được xem là bước tiến lớn trong quá trình chuẩn hóa mật mã hậu lượng tử trên phạm vi quốc tế. Tuy nhiên, theo TS. Nguyễn Bùi Cương, quá trình chuyển đổi cần đi cùng năng lực đánh giá và kiểm chứng độc lập. Ông dẫn ra những tranh luận trong giới nghiên cứu liên quan tới độ an toàn, phương pháp đánh giá và quá trình triển khai của một số thuật toán PQC, trong đó có ML-KEM. Một vấn đề được đề cập là sự khác biệt giữa các giả định toán học trong chứng minh an toàn và cách thức triển khai thực tế. Bên cạnh đó, một số nhà nghiên cứu cũng đặt câu hỏi về cách đánh giá mức độ an toàn của các tham số và chi phí tấn công. Từ những tranh luận này, TS. Nguyễn Bùi Cương cho rằng Việt Nam cần thận trọng khi tiếp nhận các tiêu chuẩn quốc tế. Điều đó không đồng nghĩa với việc phủ nhận các tiêu chuẩn đang được sử dụng rộng rãi, mà quan trọng hơn là phải xây dựng được năng lực nghiên cứu, phân tích và đánh giá mật mã của chính mình. Theo ông, đây là vấn đề liên quan trực tiếp tới chủ quyền không gian mạng. Nếu một quốc gia không làm chủ được những công nghệ mật mã cốt lõi, việc bảo vệ những hệ thống và dữ liệu quan trọng có thể trở nên phụ thuộc vào công nghệ bên ngoài. Từ góc nhìn đó, tham luận giới thiệu định hướng phát triển hệ thống mật mã kháng lượng tử tại Việt Nam, với lộ trình chuyển đổi theo nhiều giai đoạn. Trong giai đoạn đầu, trọng tâm là kiểm kê và lập danh mục mật mã (CBOM), rà soát những thuật toán đang được sử dụng trong các hệ thống. Giai đoạn tiếp theo tập trung đánh giá, thử nghiệm PQC và áp dụng mô hình Hybrid, kết hợp mật mã hậu lượng tử với các thuật toán truyền thống. Khi công nghệ đủ trưởng thành và điều kiện cho phép, các hệ thống sẽ từng bước chuyển sang PQC. Một kiến trúc phòng thủ nhiều lớp cũng được đề xuất, kết hợp QKD, PQC, mật mã truyền thống và cơ chế quản lý, vận hành tập trung. Thông điệp quan trọng được đặt ra là không nên đặt an ninh của các hệ thống trọng yếu vào một thuật toán duy nhất chưa trải qua đủ thời gian kiểm chứng. Việt Nam cần đồng thời tiếp cận chuẩn mực quốc tế và xây dựng năng lực tự chủ. Từ “Q-Day” đến những hệ thống đang vận hành TS. Hoàng Nguyên Vân đang đưa vấn đề Từ “Q-Day” đến những hệ thống đang vận hành Nếu hai tham luận đầu tập trung vào nguy cơ và năng lực công nghệ, TS. Hoàng Nguyên Vân đưa vấn đề xuống góc nhìn thực tiễn, dựa trên kinh nghiệm triển khai trong tài chính, ngân hàng, viễn thông và chính phủ. Theo ông, các tổ chức không thể chờ đến khi máy tính lượng tử đủ mạnh mới bắt đầu chuyển đổi. Nhiều hệ thống hiện nay có vòng đời rất dài, trong khi dữ liệu được lưu trữ hàng chục năm. Một trong những nguy cơ được ông nhấn mạnh là “Harvest Now, Decrypt Later”: dữ liệu được thu thập từ hiện tại và chờ đến khi công nghệ đủ mạnh để giải mã trong tương lai. Một rủi ro khác là “Trust Now, Forge Later”. Những tài liệu, hợp đồng hoặc hồ sơ được ký số hôm nay có thể đối mặt với nguy cơ bị giả mạo trong tương lai nếu thuật toán chữ ký nền tảng bị phá vỡ. Từ thực tiễn triển khai, TS. Hoàng Nguyên Vân cho rằng giải pháp phù hợp trong giai đoạn chuyển tiếp là Hybrid, kết hợp RSA hoặc ECC với các thuật toán hậu lượng tử như ML-KEM, ML-DSA và SLH-DSA. Đi cùng với Hybrid là Crypto Agility, khả năng linh hoạt thay đổi thuật toán mà không phải xây dựng lại toàn bộ hệ thống. Để làm được điều này, công việc đầu tiên không phải là mua một sản phẩm PQC mà là kiểm kê toàn bộ hệ sinh thái mật mã: thuật toán nào đang được sử dụng, khóa được lưu ở đâu, giao thức nào đang chạy, hệ thống nào phụ thuộc vào RSA hoặc ECC, các thiết bị HSM và thư viện phần mềm có khả năng nâng cấp hay không. Theo TS. Hoàng Nguyên Vân, việc chuyển đổi nên được thực hiện từng lớp, bắt đầu từ Gateway, các kênh số, API, hệ thống thanh toán và thiết bị đầu cuối, sau đó mới mở rộng tới Backend và Core. Ông đề xuất Việt Nam khởi động mạnh trong năm 2026 với PQC Lab và kiểm kê mật mã; năm 2027 triển khai thí điểm trên Mobile Payment, PKI, TLS 1.3 và VPN; năm 2028 chuyển đổi diện rộng có kiểm soát; đến 2029–2030 hướng tới phổ cập và làm chủ công nghệ. AI có thể là công cụ tấn công, nhưng cũng là “tấm khiên” TS. Lê Hải Triều đang trình bày tham luận AI có thể là công cụ tấn công, nhưng cũng là “tấm khiên”. Khép lại chuỗi tham luận, TS. Lê Hải Triều mở rộng bài toán sang mối quan hệ giữa PQC, QKD và trí tuệ nhân tạo. Theo ông, PQC và QKD không nhất thiết phải được xem là hai lựa chọn loại trừ nhau. PQC có ưu thế ở khả năng triển khai trên máy tính cổ điển, trong khi QKD dựa trên nguyên lý vật lý lượng tử để phân phối khóa và phát hiện sự can thiệp vào quá trình truyền. Trong ngắn và trung hạn, PQC có thể là hướng triển khai rộng hơn, còn QKD được nghiên cứu, thử nghiệm cho các hệ thống có yêu cầu bảo mật đặc biệt. Về lâu dài, hai công nghệ có thể kết hợp trong kiến trúc Hybrid. Trong bức tranh này, AI trở thành một công nghệ “hai mặt”. Ở phía tấn công, AI có thể hỗ trợ phá mã, tối ưu tham số, phân tích kênh bên và tự động hóa các bước tấn công. Ở phía phòng thủ, AI có thể được sử dụng để kiểm thử, phát hiện bất thường, tìm kiếm lỗ hổng và giám sát hệ thống. TS. Lê Hải Triều cho rằng Machine Learning có thể giúp tự động hóa kiểm thử và rút ngắn thời gian phản ứng trước các nguy cơ mới. Với QKD, AI cũng có thể hỗ trợ giám sát quá trình phân phối khóa và phát hiện các dấu hiệu bất thường trên kênh truyền. Tuy nhiên, Việt Nam vẫn phải giải quyết nhiều điểm nghẽn trước khi các công nghệ này có thể được triển khai rộng rãi. Năm rào cản được nhóm tác giả chỉ ra gồm thiếu chuyên gia, chưa có Testbed cấp quốc gia, chi phí chuyển đổi cao, liên kết liên ngành còn hạn chế và cơ chế tài chính cho nghiên cứu chưa đáp ứng yêu cầu. Trên cơ sở đó, nhóm tác giả đề xuất giai đoạn 2027-2029 tập trung xây dựng tiêu chuẩn Việt Nam, Testbed mở và đào tạo chuyên gia; giai đoạn tiếp theo chuyển đổi các hệ thống trọng yếu và thử nghiệm các tuyến QKD; hướng tới giai đoạn 2030-2035 làm chủ công nghệ PQC và từng bước triển khai QKD diện rộng ở những lĩnh vực phù hợp. Chuẩn bị trước khi “Q-Day” tới Bốn tham luận tại phiên chuyên môn cho thấy bài toán hậu lượng tử không chỉ nằm ở việc lựa chọn một thuật toán mới. Đó là một cuộc chuyển đổi toàn diện, từ thuật toán, phần mềm, phần cứng, PKI, HSM, quản lý khóa, giao thức truyền thông đến tiêu chuẩn, pháp lý, nhân lực và cơ chế phối hợp nghiên cứu. Quan trọng hơn, các diễn giả đều nhấn mạnh yêu cầu phải chuẩn bị trước khi nguy cơ trở thành hiện thực. Với những dữ liệu có giá trị bảo mật kéo dài hàng chục năm, việc “chờ đến Q-Day” mới hành động có thể đã quá muộn. Với Việt Nam, hướng đi được đặt ra tại phiên chuyên môn là kết hợp ba nhiệm vụ: chuyển đổi sớm sang mật mã hậu lượng tử, duy trì khả năng linh hoạt để thích ứng với những thay đổi của công nghệ và xây dựng năng lực tự chủ trong nghiên cứu, đánh giá và phát triển mật mã. Nói cách khác, cuộc đua hậu lượng tử không chỉ là cuộc đua xem ai có thuật toán tốt hơn, mà còn là cuộc đua về khả năng chuẩn bị, chuyển đổi và làm chủ công nghệ lõi. Đây sẽ là nền tảng để Việt Nam bảo vệ dữ liệu và hạ tầng số trong một thế giới mà sức mạnh tính toán lượng tử đang ngày càng tiến gần đến thực tế.
Chuyến thăm Australia và New Zealand của Tổng Bí thư, Chủ tịch nước Tô Lâm: Từ củng cố quan hệ đến chủ động kiến tạo không gian phát triển
Kết luận của Thủ tướng Lê Minh Hưng tại Buổi làm việc với Ngân hàng Nhà nước Việt Nam và hệ thống các tổ chức tín dụng
Hoàn thiện chính sách và quản trị AI an toàn trước tốc độ phát triển của công nghệ
