后量子密码算法进展到哪一步了

本文目录导读：

1. 标准化进程：尘埃落定，细则出炉
2. 具体算法的技术进展
3. 部署与迁移进展：从实验室到生产环境
4. 当前核心挑战与未来方向
5. 总结：我们处在哪一步？

这是一个很好的问题,后量子密码学目前正处于一个历史性的转折点：从学术研究阶段全面迈向标准制定和实际部署阶段。

后量子密码算法已经完成了核心算法的筛选，正在进入标准发布和全球迁移的攻坚期。

以下是从几个关键维度梳理的最新进展：

标准化进程：尘埃落定，细则出炉

这是最核心的进展,美国国家标准与技术研究院（NIST）是这轮进程的全球主导者。

• 已发布标准（2024年8月正式公布）：

  • ML-KEM：基于Kyber算法，这是一个密钥封装机制，用于安全地交换密钥，将成为公钥加密的新默认标准。
  • ML-DSA：基于Dilithium算法，这是最通用的数字签名标准，用于身份认证和代码签名等。
  • SLH-DSA：基于SPHINCS+算法，这是一个基于哈希函数的签名算法，安全性高但性能较慢，主要用于对安全性有极端要求的场景（如长期档案签名）。

• 第四轮筛选（正在进行中）：

  • NIST正在评估额外的签名方案,特别是寻找更小、更快的签名算法（用于物联网、区块链等资源受限场景），候选算法包括FALCON（进入最后阶段）和基于同源密码的签名（如SQIsign，进展迅速）。

• 其他标准组织：

  • ISO & IETF：正在将NIST的算法转化为国际标准（如ISO/IEC 14888-4:2024，IETF的ML-KEM和ML-DSA草案）。
  • 中国：国家密码管理局也在积极研制中国的后量子密码标准，部分算法（如基于格的）进展迅速。

具体算法的技术进展

• 格密码（Lattice-based，如Kyber/Dilithium/FALCON）：

  • 这目前是主流，性能优异，与现有系统兼容性最好，ML-KEM和ML-DSA已是标准。
  • 关键挑战：随着攻击分析（特别是侧信道攻击和格攻击的变种）的深入，需要不断优化实现以抵御实际攻击。

• 哈希签名（Hash-based，如SPHINCS+）：

  • 安全性基于哈希函数的抗碰撞性,被认为非常安全。
  • 挑战：签名体积大（约17KB vs 格签名的2KB），速度慢，不适合高频场景。

• 编码密码（Code-based，如Classic McEliece）：

  • 安全性有几十年研究历史,非常牢固。
  • 挑战：非对称密钥体积巨大（公钥可达几百KB到几MB），不适合网络传输，但适合密钥分发。

• 多变量密码（Multivariate）：

  • 签名速度快,候选算法曾有竞争力，但目前未被NIST选中为主要标准，因安全性分析相对复杂且密钥大小较大。

• 同源密码（Isogeny-based，如SIKE/SQIsign）：

  • 密钥极小（可低至几十字节），是理论上的“最优解”。
  • 重大挫折：2022年，SIKE算法被完全攻破（利用关键数学漏洞），对整个方向造成巨大冲击，SQIsign等新变种正重新获得关注。

部署与迁移进展：从实验室到生产环境

这可能是目前最值得关注的领域，很多大公司和政府已开始行动：

• 谷歌（Google）：在Chrome浏览器中已默认启用对ML-KEM（Kyber）的支持，用于HTTPS连接的一部分，进行混合密钥交换。
• 苹果（Apple）：在iMessage中引入了后量子密码保护，防止“先窃取，后解密”攻击。
• 微软（Microsoft）：在Windows内核和Azure云服务中开始测试并部署ML-KEM和ML-DSA。
• Cloudflare：已为部分用户启用PQ加密，并公开了大量性能测试数据。
• OpenSSH & TLS 1.3：OpenSSH 9.0+已支持混合PQ密钥交换，TLS 1.3的PQ扩展也已标准化。
• 芯片厂商：英飞凌、恩智浦等已推出支持后量子算法的安全芯片模块，用于车联网、物联网和工业控制。Intel的CPU开始集成后量子加速指令集（如AVX-512的特定扩展）。

当前核心挑战与未来方向

1. 性能与体积的平衡：后量子算法的密钥、签名和密文体积远大于传统RSA/ECC（ML-KEM公钥800字节 vs RSA 256字节；ML-DSA签名2420字节 vs ECDSA 64字节），这对网络协议、存储和芯片设计都是巨大挑战。

2. 与现有系统的兼容性：如何在不中断服务的情况下，平稳地从传统密码迁移到后量子密码？混合方案（同时使用RSA/ECC和后量子算法）是目前最务实的做法。

3. 侧信道攻击防御：软件和硬件实现中对侧信道攻击（如功耗、电磁泄漏、时间分析）的防御是实际部署的关键。

4. 新攻击面：后量子算法基于全新的数学问题（格、编码、哈希、多变量、同源），攻击分析仍在快速迭代中，目前看来，已标准化的算法（Kyber、Dilithium、SPHINCS+）未发现根本性漏洞。

我们处在哪一步？

如果把后量子密码迁移比作一场马拉松：

• 第一阶段：算法研究（2000s-2010s）—— 已完成。
• 第二阶段：标准筛选（2017-2024）—— 已完成核心算法标准发布。
• 第三阶段：工程化与部署（2024-2030）—— 我们正处于这个阶段的初期，主要软件厂商已开始集成，但全面部署到所有设备和系统（如政企网络、金融系统、国防系统）可能需要5到10年甚至更长时间。
• 第四阶段：全球迁移完成（2030-2035）—— 目标，届时，传统RSA/ECC将被视为“遗留”或“不安全”系统。

一句话总结：后量子密码算法已经从论文走出来，变成了可运行的代码和标准，正在进入你的浏览器和云端，但全面替代RSA/ECC，还需要数年时间。