NIST 選定的後量子算法勝出方案有哪些？

從很多角度來看，這都是正面的信號，因為穩定可用的量子計算將帶來極具價值的技術可能性。量子電腦解決複雜問題的更強能力，有望在人工智能、金融建模等諸多領域實現潛在突破。但與此同時，量子計算也存在極其重大且危險負面影響關乎網絡安全的隱患：量子電腦將能夠破解目前保護著全球幾乎所有數碼業務的現有密碼體系。

當第一台量子電腦的算力達到足夠水平時，幾乎所有依托現有技術加密的數據，只要擁有這類設備的主體都可以輕鬆解密。這當中包括我們持有的最敏感數據，比如高價值工業機密、軍事機密和國家機密。事實上，業界普遍認為，當前的威脅行為者甚至已經在儲存加密內容以便後續破解囤積加密內容，待未來量子電腦可用時再行破解。

量子計算的這種預期影響十分嚴峻，有時被稱為「量子末日」。這場「末日危機」不會在某個確切的日期突然爆發。隨著時間推移，破解加密文件與通信的難度和耗時將持續降低，使用前量子算法的風險則會不斷升高。

專家預測，到 2030 年，量子電腦大概率將具備破解當前加密算法的能力。這意味著全球各國政府和企業必須從現在開始為量子計算新時代做好準備。為保障安全，全球必須採用全新的抗量子密碼體系.

美國國家標準與技術研究院（NIST）聯合學術界、政府機構和產業界共同推進相關工作，旨在推出一套可抵禦量子電腦破解的新型密碼「原語」。經過六年的努力，該機構於 2022 年 7 月在實現量子安全計算體系的進程中取得里程碑式進展，正式發布了其最終選定的後量子加密算法方案。

2024年，經美國商務部長批准，美國國家標準與技術研究院（NIST）正式落實三項後量子密碼學解決方案標準。所用算法與2022年選定的勝出算法一致，但每個算法都啟用了新名稱。

NIST 已落實的後量子密碼學標準

2024年8月13日，NIST 發布了三項已最終定稿的聯邦信息處理標準（FIPS），這類標準專為抵禦量子攻擊而設計。這些新標準對於保護從機密電郵到關鍵電子商務交易在內的各類電子信息安全至關重要。NIST 敦促各機構盡快啟動向這些抗量子加密算法的遷移工作。

具備破解當前加密方法能力的量子計算機會危及全球數據安全。為應對這一風險，NIST 持續與全球密碼學專家協作，開發並標準化可抵禦量子攻擊的新算法，終於取得當前成果。經過多年嚴格評估，最終入選的算法已經確定。

哪些是最終入選的後量子算法？

NIST 最終確定的三項後量子加密標準包括：

• FIPS 203：FIPS 203 擬作為通用加密的首要標準，基於 ML-KEM（Module-Lattice-Based Key Encapsulation Mechanism 的縮寫，此前名為 CRYSTALS-Kyber）。據 NIST表示，ML-KEM 的優勢包括「可供通信雙方輕鬆交換的加密密鑰體積相對細小，且運算速度快」。
• FIPS 204：FIPS 204 是保護數碼簽署的首要標準，採用 Module-Lattice-Based Digital Signature Algorithm（ML-DSA）。該算法此前名為 CRYSTALS-Dilithium。
• FIPS 205：FIPS 205 同樣用於保護數碼簽署，作為 FIPS 204 的備用方案，以防 ML-DSA 被發現存在漏洞。該標準基於 Stateless Hash-Based Digital Signature Algorithm（SLH-DSA，此前名為 SPHINCS+），相比其他算法體積更大、運算速度更慢。不過其價值在於，它採用了與其他密碼算法不同的數學方法（無狀態哈希簽署方案）。儘管預計99.9%的場景都會使用 FIPS 204，這一特性仍使其成為理想的備用選項。

據 NIST 消息，第四項標準草案 FIPS 206 基於此前名為 FALCON 的算法開發，預計將於2024年末完成標準化。該新標準將命名為 FN-DSA，即 FFT (fast-Fourier transform) over NTRU-Lattice-Based Digital Signature Algorithm 的縮寫。

密碼學原理解析

要理解量子時代的發展前景，首先需要了解當下的密碼學體系。近50年來，公鑰基礎設施（PKI）一直為身份（人員與機器身份）安全防護提供密碼學基礎。公鑰基礎設施（PKI）主要依賴兩種標準化算法，Rivest-Shamir-Adleman（RSA）與橢圓曲線密碼學（ECC）.

1994年，數學家 Peter Shor 發現了一種可破解傳統公鑰密碼學的新算法，但該算法需要當時僅存在於理論中的量子計算機才能運行。這種算法被命名為 Shor 算法，它證明量子計算機分解整數的效率遠高於經典計算機，因此量子計算機破解 RSA 和 ECC 的效率更高。

如今，加密技術已成為不可或缺的基礎能力，廣泛應用於政府、國防、金融、商務、通信、交通、醫療等眾多行業。公鑰基礎設施（PKI）為電郵帳戶、物聯網（IoT）設備、金融交易、醫療數據等各類對象提供安全防護，而量子計算正對這種數碼信任體系造成威脅。

最終入選的後量子算法能夠抵禦量子計算機預期具備的加密破解能力。原因在於，這些算法基於完全不同的數學原理，不會受 Peter Shor 所提出的那種極端性能提升的影響。

新加密原語採用的數學技術，與構成 RSA 和 ECC 基礎的數學問題存在本質區別。RSA 的安全性依賴大整數分解的難度，ECC 依賴橢圓曲線上兩點求解的難度，而 Shor 算法可以大幅降低這兩類計算任務的難度。

但新算法與此不同。除採用哈希函數的 FIPS 205 之外，其餘算法均基於格基加密，這類方案不使用代數公式，而是基於矩陣實現。

可以將格加密理解為一個幾何問題：二維矩陣（類似有行有列的棋盤）上分布着一系列沿行列排布的整數點，求解與這些整數點相關的問題，與 RSA 和 ECC 定義的問題求解方法存在本質區別。為了給密鑰空間提供足夠大的範圍，算法中使用的超大矩陣並非二維甚至三維，維度可達上萬維。這種複雜性使得暴力破解這些密鑰所需的計算量，對於傳統計算架構和量子計算架構而言都高到難以承受。

後續步驟

儘管NIST發布新密碼標準的公告是重要里程碑，但實際落地工作仍在前方。建議各機構立即着手將這些抗量子算法整合到自身系統中，因為向新標準過渡需要一定時間。盡早採用以及量子電腦應對準備對於確保系統能夠抵禦未來的量子攻擊至關重要。

全球範圍內的標準機構、軟硬件廠商以及企業都需要在計算系統的所有層面部署新型密碼技術。NIST仍在評估其他可作為後備方案的算法，但目前已定稿的標準已可投入部署，NIST也指出無需等待後續標準出台。

借助Sectigo抵禦量子威脅，保障未來安全

隨着量子計算的發展，採用抗量子密碼技術的重要性再怎麼強調都不為過。近期NIST完成的這類算法標準化工作，為各機構保障數據與通信安全、抵禦未來量子網絡攻擊提供了清晰路徑。政府與企業必須啟動密碼資產評估、遷移規劃工作，落地這些新標準以確保持續安全。

切勿讓您的機構在量子威脅面前暴露脆弱性。Sectigo始終奮戰在後量子密碼學（PQC）前沿，隨時準備協助您的企業踏上量子安全密碼技術的遷移之路。立即聯絡我們.

相關文章：

即刻開展量子電腦應對準備的5種方法

量子計算：核心顧慮梳理與其可能帶來的積極影響探究

後量子密碼學的作用是什麼？