Всё, что защищено передачей ключа с помощью RSA или обменом ключами (EC)DH, включая сессии TLS, SSH, VPN и мессенджеров, можно сохранить и расшифровать позже, если обмен ключами будет взломан. Прямая секретность не помогает: атакующий взламывает каждый эфемерный обмен по записанному рукопожатию. Под угрозой уже сейчас данные, конфиденциальность которых должна сохраняться дольше, чем осталось до появления криптографически значимого квантового компьютера. Эмпирическое правило Мишеля Моски: беспокоиться стоит, если число лет, в течение которых данные должны оставаться секретными, плюс число лет, которое займёт миграция, больше числа лет до появления такого компьютера.
Защита — гибридный постквантовый обмен ключами уже сейчас: X25519MLKEM768 в TLS 1.3 (по умолчанию в основных браузерах и многих серверах с 2024–2025 годов), mlkem768x25519-sha256 в OpenSSH 10, PQ3 в iMessage и PQXDH в Signal. Подписей угроза задним числом не касается: подделка подписи в будущем не меняет результат прошлой аутентификации, поэтому переход подписей на постквантовые алгоритмы может последовать позже, кроме долгоживущих подписей, например в корнях доверия прошивок и в документах.