发布日期：2025-09-01 浏览次数：
量子计算不再是理论物理或高级研究实验室专属的抽象概念。随着 IBM、谷歌等公司以及学术机构不断突破量子极限，能够破解广泛使用的加密技术（例如 RSA-2048 或 ECC-256）的密码相关量子计算机 (CRQC) 可能在几十年内甚至更短时间内问世。
当今加密技术面临的主要威胁并非眼前的漏洞，而是未来量子计算机的到来，这将使RSA和椭圆曲线密码(ECC)等目前安全的算法变得过时。攻击者已经在收集加密数据，期望量子计算的突破（例如Shor算法）最终能够解密这些信息，从而将敏感的长期数据（例如PCI、PHI、PII、知识产权和机密记录）置于风险之中。为了防范这一迫在眉睫的威胁，组织需要主动采用后量子密码(PQC )，并将抗量子解决方案纳入其安全和合规策略。
为此，美国国家标准与技术研究院 (NIST) 启动了一个为期多年的项目，旨在标准化抗量子密码学。2024 年的最终评选引入了旨在替代或补充易受攻击算法的新算法。这些基于硬格问题和哈希构造的新原语，代表着企业在处理密码安全问题方面将发生重大转变。
本文解读了这些算法，评估了它们的优势，并为企业制定了迁移策略。
NIST的后量子密码学 (PQC) 项目于 2016 年启动，旨在识别和标准化能够抵御量子攻击的加密和签名方案。该项目旨在评估各种 PQC 候选方案，重点关注两个原语：密钥协商（包括密钥交换、公钥加密和密钥封装机制，简称 KEM）和数字签名。公开竞赛共收到 69 份参赛方案，全球顶尖的密码学家参与了 多轮评估，从而减少了候选方案的数量。评估阶段结束后，每个原语至少会选出一种算法，该算法“能够在未来，包括量子计算机问世之后，很好地保护敏感的政府信息”。
关注这两个因素是必要的，因为像RSA和ECC这样的非对称加密算法依赖于分解大数和求解离散对数问题的难度，而量子计算机可以使用Shor算法有效地解决这些任务。因此，足够强大的量子计算机可以解密由这些算法保护的数据，从而泄露敏感信息。
相比之下，AES等对称加密方法不易受到量子攻击。虽然像 Grover 算法这样的量子算法可能会降低对称加密的有效安全性，但它仍然比非对称加密更难破解。例如，AES-256 的密钥长度在量子攻击面前的强度只会减半，这意味着即使量子计算不断发展，AES-256 仍将保持高度安全。这种固有的弹性使对称算法成为未来密码安全的重要组成部分。
每个候选算法都根据 NIST 的后量子密码标准化流程进行了细致评估，采用的标准如下：
安全性是评估过程中最重要的考量因素。评估依据是算法抵御经典攻击和量子攻击的能力，尤其关注它们在数字签名和密钥建立等实际公钥密码应用中提供的安全性。NIST 根据与现有对称密码安全级别相符的多个强度类别对方案进行评估，以确保候选方案能够抵御拥有不同计算资源的对手的攻击。
其他属性，例如完美前向保密性，也考虑在内，它可以确保即使长期密钥被泄露，会话密钥也能保持安全。全面的安全分析确保所选算法能够有效地保护敏感信息，即使面对密码分析技术的突破或量子计算能力的进步。
成本考虑涵盖算法的性能和资源需求。NIST 评估了关键操作的硬件和软件效率，包括密钥生成、加密/封装、签名、解密/解封装和验证。重要指标包括公钥、密文和签名的大小，因为这些指标直接影响带宽、存储和兼容性，尤其是在受限环境或数据包大小有限的协议中。
评估还考察了公钥和私钥操作之间的计算时间差异，涵盖了从智能卡等资源受限的设备到高流量服务器等各种用例。此外，还分析了解密失败率（即密文可能无法正确解密），以了解其对可靠性和性能的影响。
该标准侧重于适应性、易于实施以及抵御侧信道攻击的能力。评估的指标包括算法在调整安全设置方面的适应性、与各种平台（包括嵌入式设备和大型服务器）的兼容性，以及对功耗分析或时序攻击等实施缺陷的抵御能力。算法设计的复杂性及其对安全编码实践的要求是关键因素，因为确保安全高效的实施对整体安全至关重要。NIST 旨在选择能够在强大的安全保障与实际部署考量之间取得平衡的算法，以实现广泛有效的应用。
这些标准共同确保了 NIST 的后量子密码标准不仅在数学上是安全的，而且在操作上也是可行的、可扩展的，并且能够抵御量子时代的新兴威胁。
决赛入围者分为两类：
2022 年 7 月，NIST 宣布了标准化以下算法的意图：
最终标准于2024年以FIPS草案的形式正式发布，随后将提供生产级实施建议。除核心算法外，紧凑型高安全性签名方案Falcon和基于代码的密钥封装机制HQC（汉明准循环）也计划很快实现标准化，HQC可提供重要的算法多样性。HQC正在IR 8545下进行，预计将于2027年左右完成。这些算法将补充现有套件，为企业提供更多安全、抗量子的加密基础设施选择。
CRYSTALS-Kyber是一种基于晶格的密钥封装机制 (KEM)，对于寻求保护 TLS、SSH和 VPN 等通信协议免受量子威胁的企业来说尤为重要。
Kyber 专为密钥封装而设计，非常适合TLS、SSH 以及其他需要临时会话密钥交换的协议。其性能在速度和大小方面均与经典的Diffie-Hellman算法相当，甚至更胜一筹。其基于格子 (Lattice) 的算法能够抵御量子和经典攻击，并已通过学术密码分析专家的广泛审查。
物联网设备：对于资源受限的环境来说足够高效，可以确保安全固件更新的未来性。
优先确保关键系统、数据库、API 网关和身份验证服务器之间的通信安全。
性能：比 RSA 和ECDSA更快的签名和验证。
Dilithium速度快，抗侧信道攻击，并且具有简单的恒定时间实现。它高效地平衡了密钥和签名的大小，非常适合用于数字身份认证，包括 X.509 证书、代码签名和物联网固件身份验证。
做好合规和标准化的准备：作为具有稳定实施库的 NIST 批准算法，Dilithium 符合监管要求和企业加密敏捷性策略，使其成为可靠的长期选择。
使用这些方案运行固件更新周期模拟来评估实际成本。
SPHINCS+是一个基于哈希函数的无状态数字签名方案，它仅基于哈希函数提供强大的安全保障。与基于格的方法不同，SPHINCS+ 不依赖于经典哈希函数之外的假设，这使得它具有高度的保守性和抵御未来各种密码分析突破的弹性。
性能：签名和验证缓慢
SPHINCS+ 并非最高效的后量子签名算法。尽管如此，它的优势在于对复杂数学或代数结构的依赖极小，这使得它具有极强的弹性——即使其他类型的算法失效。
高保证环境：需要高度保守的安全态势的国防、法律、科学或政府部门的企业可以采用 SPHINCS+ 作为基于格的方案的备份或替代方案，从而增强加密灵活性。
评估性能限制并采用签名大小可管理的非交互式、时间不敏感的系统。
Falcon（基于快速傅里叶格的紧凑签名）是一种后量子签名方案，旨在实现高安全性和较小的签名尺寸，这使其特别适用于需要带宽效率和严格数据约束的应用程序。
Falcon 通过其先进的数学结构（涉及格上的离散高斯采样）实现了紧凑性。尽管签名方面的计算量较大，但它提供了非常快速的验证和紧凑的签名，使其在受限环境中的身份验证和大规模数字操作中具有吸引力。
边缘和 CDN 部署：Falcon 的小签名大小减少了全球分布节点的有效载荷开销，使其成为 CDN 节点、边缘设备和外围轻量级身份验证的理想选择。
在软件签名工作流程中测试 Falcon，以确保签名延迟在操作阈值范围内。
HQC（汉明准循环）是一种基于代码的密钥封装机制 (KEM)，其安全性源于汉明度量中随机线性码解码的难度。它是 NIST 选定的三种后量子加密和密钥交换标准化算法之一。
性能：高效的密钥生成和封装；相对较大的密文和公钥大小
HQC 建立在数十年历史的纠错码理论之上，并基于经过深入研究的难题提供强大的安全保障。其设计注重简单性以及对已知量子攻击的抵御能力。
操作灵活性：与 Kyber 等基于格的 KEM 相比，HQC 提供了强大的 IND-CCA2（自适应选择密文攻击下的不可区分性）安全性、恒定时间操作以及对某些侧信道和时序攻击的抵抗力，使其对高保证环境具有吸引力。
在长期安全消息传递中部署 HQC：对于需要前向保密和长期保密的内部消息传递或电子邮件加密系统，HQC 与其他 NIST PQC 决赛入围者一起提供了可行的选择。
| 算法 | 用例 | 公钥大小 | 签名/密文 | 优势 | 限制 |
| Kyber | TLS、VPN、密钥交换 | ~800 字节 | ~1kB 密文 | 快速、紧凑、混合动力 | 仅限 KEM |
| Dilithium | 代码签名、证书 | ~1.5kB | ~2.5kB签名 | 抗侧信道攻击，高效 | 更大的信号 |
| Falcon | 轻量级签名 | ~1kB | 约 6 亿至 1,2 亿个签名 | 紧凑型信号，高性能 | 实施起来很复杂 |
| SPHINCS+ | 长期签名，存档 | ~1kB | 8–30kB | 高保证，保守 | 信号量很大，速度很慢 |
每种 PQC 算法在速度、签名/密钥大小和实现难易程度方面都有不同的权衡。例如，Falcon 最适合需要小签名的协议（例如 DNSSEC），Dilithium 适用于代码签名和证书，而 Kyber 则专为 TLS 等安全通信中的密钥封装而设计。尽管 SPHINCS+ 的签名较大且性能较慢，但在长期安全性和保守设计至关重要的情况下，它更受青睐。
随着量子计算的进步，传统的公钥密码系统 RSA、Diffie-Hellman 和 ECC 将会被逐步淘汰，因为它们容易受到 Shor 算法及类似攻击。过渡计划包括：
组织应规划分阶段集成，更新库和基础设施以支持经典算法和量子安全算法，并准备管理混合使用传统证书和 PQC 凭证的证书生命周期。早期准备是保护数据免受未来量子威胁并遵守新兴安全标准的关键。
向后量子密码学 (PQC) 的过渡将对技术格局和安全最佳实践产生深远的影响。预计会出现以下几个关键变化：
这些变化凸显了加密敏捷性的重要性，即在不中断基础设施或工作流程的情况下快速无缝地切换加密算法和协议的能力。对于企业而言，加密敏捷性将成为应对PQC采用和持续加密演进过程中不确定性的一项基础能力。
虽然 NIST 批准的 PQC 算法主要是为了提高软件效率而设计的，但硬件支持正日益受到关注：
一些硬件安全模块 ( HSM ) 和可信平台模块 (TPM) 开始支持 PQC 算法，但普及速度缓慢。企业应评估即将推出 PQC 固件支持的供应商。
签名验证性能：虽然 Kyber 和 Dilithium 效率较高，但 SPHINCS+ 会显著增加签名生成和验证所需的时间。企业必须对证书验证性能进行基准测试，尤其是在客户端设备和移动平台上。
随着 PQC 的采用成为强制性要求：
ISO、欧洲电信标准协会 ( ETSI ) 和互联网工程任务组 ( IETF )等标准机构已开始为 X.509、TLS 和 S/MIME 开发兼容 PQC 的更新。企业必须跟踪这些更新，以确保其法律适用性、责任保护和向前兼容性。
企业应根据其加密用例的敏感性和寿命来评估 PQC 的采用情况。随着向后量子密码学过渡的展开，拥抱加密敏捷性（即快速切换加密算法的能力）对于在不中断遗留系统的情况下维护前向安全性至关重要。考虑结合经典算法和量子安全算法的混合实现也至关重要。以下是 NIST 认可的算法直接映射到企业工作流程的具体场景：
长期存档和法律数字签： 某些类型的数字记录，例如法律、财务或医疗文件，需要数十年保持机密性和完整性。由于保存期较长（20-50年），这些记录特别容易受到未来的量子攻击。对于这些高可信度场景，建议使用基于哈希函数的签名方案，例如 SPHINCS+。SPHINCS+ 完全依赖于哈希函数，即使未来发现针对其他签名算法的数学攻击，也能提供强大的安全保障。这使得它非常适合数字公证系统、托管服务和区块链时间戳等需要长期信任的敏感记录应用。
尽管 NIST 批准的 PQC 算法具有良好的特性，但在实际企业采用中仍存在几个关键挑战：
运营挑战： 在运营方面，PKI 和证书生命周期管理存在诸多障碍。许多证书颁发机构 (CA) 系统和生命周期工具尚未集成与 PQC 兼容的格式，导致自动注册、续订、撤销和监控繁琐或无法获得支持。主流互联网标准（包括 TLS、S/MIME、SSH 和 IPsec）仍在更新以实现 PQC 的无缝集成，而混合协商策略也正在逐步成熟。依赖传统 CA 供应商或专有封闭式加密硬件的企业可能会发现自己被“锁定”，需要等待数年才能获得供应商的支持，从而延迟整体迁移进度。
NIST 在后量子密码学 (PQC) 领域的参与远不止于算法标准化。其重点之一是对其密码模块验证程序 (CMVP) 进行现代化升级，以应对 PQC 和混合密码模块日益增长的数量和复杂性。这确保了供应商能够及时获得认证，从而加快部署抗量子解决方案的能力，同时保持严格的安全标准。
为了支持 PQC 的实际应用，NIST 提供指导、最佳实践和工具，帮助组织识别其环境中的加密用例并有效实施 PQC。NIST 也是 ISO/IEC 和 IETF 等国际标准机构的重要参与者和领导者，致力于在全球范围内协调 PQC 标准和协议，并减少跨国组织管理跨境数据流的障碍。NIST 还促进互操作性测试并与国际标准机构合作，以简化跨行业部署。
除了技术支持之外，NIST 还通过国家网络安全卓越中心 (NCCoE) 等计划与公共和私营部门的利益相关者合作，试行实用的 PQC 部署用例。这些合作包括开发参考架构、安全控制措施和实施蓝图，以便组织机构根据自身特定需求进行调整。重要的是，NIST 认识到 PQC 是一个不断发展的领域。该机构已建立持续评估和面向未来 PQC 标准的机制，包括监测密码分析的进展和量子计算能力的发展。通过协调持续的评估和修订，NIST 帮助确保 PQC 生态系统保持安全性和适应性，使组织机构有信心过渡到量子安全的未来。
业内专家一致认为，向后量子密码学 (PQC) 的过渡正处于关键时刻。鉴于 NIST 公布了 PQC 算法最终候选名单，以及近期一些重要算法的最终确定，许多公司和供应商已开始规划迁移。为了在不断变化的环境中保持领先地位，企业必须积极主动地评估这些发展可能带来的影响，并制定高效的PQC 准备计划。
识别使用加密或数字签名的每个实例：
SSH 密钥和电子邮件签名基础设施
在 CI/CD 工作流中测试 PQC 以签署和验证软件版本
避免对任何加密算法进行硬编码。使用模块化库、可配置的密码套件和版本化协议。推荐使用以下协议栈：
带有算法标识符的 S/MIME
参与：
标准化机构（ETSI、IETF）及时了解协议变化
2029-2035：全面取代传统的基于 RSA/ECC 的加密技术
结合培训计划和董事会层面的意识，以确保预算一致性和业务连续性。
过渡到后量子密码学需要仔细规划、风险评估和专家指导。我们提供结构化方法，帮助组织将 PQC 无缝集成到其安全基础设施中。
通过多年的行业经验，以及成为顶级安全厂商的合作伙伴，我们根据您的业务场景和现状进行评估，为您提供定制化的解决方案。
评估加密环境的现状，找出当前加密标准和控制（如密钥生命周期管理和 加密 方法）中的差距，并对加密生态系统的任何可能威胁进行彻底分析。
根据加密资产和数据对 PQC 迁移的敏感性和关键性进行识别和优先排序。
确定可在组织网络中实施以保护敏感信息的 PQC 用例。
我们协助确定您的组织所面临的加密挑战、危害和威胁。
我们支持无缝迁移到新的 CA、证书和 PQC 算法。
我们支持自动化证书和密钥生命周期管理，以实现更强的安全性和持续合规性。
确保符合行业标准。
我们帮助您了解新的 PQC 算法及其在您的组织中的使用和利用情况。
协助认识和克服向后量子加密算法过渡期间的挑战，确保顺利、安全地迁移。
后量子时代并非遥不可及，它正在迅速逼近，企业迫切需要重新思考如何保障数字信任。NIST 对 Kyber、Dilithium、Falcon 和 SPHINCS+ 等后量子算法的标准化，标志着密码防御策略的重大转变。这些算法不仅仅是替代，它们重新定义了在量子威胁面前保持韧性的意义。对于企业而言，这种转变不仅仅是一项技术挑战，更是业务需求。密码敏捷性、库存评估、风险优先级排序和混合部署模型必须融入企业安全战略。
从安全通信和软件签名到证书管理和硬件集成，堆栈的每个领域都必须通过量子抗性的视角进行审查。最终，这是为了在充满不确定性的未来中构建韧性，确保安全的唯一方法是不断适应。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
