Алгоритм Шора решает задачи факторизации и дискретного логарифмирования, поэтому криптографически значимый квантовый компьютер взломает RSA, DH над конечными полями, ECDH, ECDSA и EdDSA. Постквантовые схемы опираются на задачи, для которых неизвестно квантовое ускорение: структурированные решётки (ML-KEM, ML-DSA, FN-DSA), хеш-функции (SLH-DSA, LMS, XMSS) и коды, исправляющие ошибки (HQC, Classic McEliece). На симметричные шифры и хеш-функции влияет только квадратичное ускорение алгоритма Гровера, поэтому AES-256, AES-128 и SHA-256 остаются пригодными.
NIST опубликовал FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA) 13 августа 2024 года; FN-DSA (FIPS 206, на основе Falcon) и HQC пока остаются черновиками. NIST IR 8547 (первоначальный публичный черновик) предлагает объявить устаревшими классические алгоритмы со 112-битной стойкостью после 2030 года и запретить все уязвимые для квантовых атак алгоритмы с открытым ключом после 2035 года; CNSA 2.0 от NSA устанавливает более ранние сроки для систем национальной безопасности.
Порядок миграции на практике: сначала гибридный обмен ключами, потому что записанный трафик можно расшифровать позже (X25519MLKEM768 в TLS и mlkem768x25519-sha256 в SSH уже используются по умолчанию), затем подписи и PKI, где размеры и распространение доверия — более сложные задачи. Зоопарк постквантовых алгоритмов сравнивает их размеры и скорость.