Un certificato ibrido è un design di certificato transitorio che combina un algoritmo a chiave pubblica tradizionale, come RSA o ECDSA, con una componente crittografica post-quantistica. L'obiettivo è consentire ai sistemi di continuare a funzionare con il software attuale aggiungendo al tempo stesso protezione contro futuri attacchi capaci di sfruttare il calcolo quantistico. In pratica, un certificato ibrido può aiutare le organizzazioni a migrare gradualmente, perché non tutti i client, proxy, bilanciatori del carico o moduli hardware di sicurezza supporteranno la crittografia post-quantistica nello stesso momento.
I certificati ibridi sono importanti nella sicurezza informatica perché l'infrastruttura dei certificati è alla base di TLS, dell'identità dei dispositivi, della firma del codice e delle catene di fiducia interne. Sono utili per la difesa, ma introducono anche nuove sfide di compatibilità e di policy: la logica di validazione può essere più complessa e ogni sistema che fa affidamento su di essi deve essere testato con attenzione. Gli aggressori possono tentare di sfruttare una debole interoperabilità, trust store configurati in modo errato o percorsi di distribuzione incompleti. I difensori usano i certificati ibridi come parte di un più ampio piano di crypto-agility, affiancandoli a inventario, una solida gestione del ciclo di vita e controlli rigorosi su emissione e revoca.