隨著技術(shù)發(fā)展的突飛猛進(jìn)，量子計(jì)算機(jī)的威脅日益凸顯。盡管量子計(jì)算機(jī)有望在天氣預(yù)報(bào)、藥物研發(fā)和基礎(chǔ)物理學(xué)等領(lǐng)域帶來(lái)革命性的變革，但它也對(duì)現(xiàn)行加密體系構(gòu)成了顯著威脅。這種威脅并非僅限于未來(lái)；如今截獲的任何敏感數(shù)據(jù)都有可能被儲(chǔ)存起來(lái)，待量子計(jì)算機(jī)具備足夠能力后解密。這種“先收集后解密”的策略嚴(yán)重威脅著我們的數(shù)字通信保密性、醫(yī)療記錄、金融交易以及國(guó)家安全。

量子算法：格羅弗(Grover)算法與肖爾(Shor)算法

量子計(jì)算機(jī)借助量子力學(xué)原理，能夠以空前的速度執(zhí)行特定類型的計(jì)算任務(wù)。其中，兩種量子算法對(duì)現(xiàn)行密碼體系構(gòu)成了直接威脅：格羅弗算法和肖爾算法。

格羅弗算法：此算法能夠在未排序數(shù)據(jù)庫(kù)中進(jìn)行搜索，其速度相較于任何經(jīng)典算法均快四倍。盡管它并未直接攻破密碼系統(tǒng)，但顯著削弱了諸如AES（高級(jí)加密標(biāo)準(zhǔn)）和SHA-2（安全散列算法2）等對(duì)稱密鑰算法的安全性，從而需要更長(zhǎng)的密鑰以確保安全。

肖爾算法：該算法能夠以指數(shù)級(jí)速度分解大整數(shù)，遠(yuǎn)勝于經(jīng)典計(jì)算機(jī)上運(yùn)行的現(xiàn)有最優(yōu)算法。這對(duì)于依賴大數(shù)分解或離散對(duì)數(shù)問(wèn)題難度的非對(duì)稱加密算法（例如RSA、ECC（橢圓曲線密碼學(xué)）及DSA（數(shù)字簽名算法））而言，尤為危險(xiǎn)。一旦擁有足夠強(qiáng)大的量子計(jì)算機(jī)運(yùn)行肖爾算法，這些密碼體系將被破解，進(jìn)而失效。

美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）后量子密碼學(xué)標(biāo)準(zhǔn)

為應(yīng)對(duì)迫切需求，美國(guó)商務(wù)部下屬的國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）始終走在推動(dòng)后量子密碼學(xué)（PQC）標(biāo)準(zhǔn)發(fā)展的前列。為此，NIST組織了一場(chǎng)競(jìng)賽，以選拔最優(yōu)的PQC算法。2024年8月13日，NIST宣布了首批旨在抵御量子計(jì)算機(jī)網(wǎng)絡(luò)攻擊的算法定稿。這一里程碑事件標(biāo)志著八年努力的結(jié)晶，并匯聚了全球密碼學(xué)領(lǐng)域的力量，共同開發(fā)和評(píng)估能夠捍衛(wèi)我們數(shù)字未來(lái)安全的算法。

NIST最終確定的標(biāo)凈涵蓋三種核心算法，分別針對(duì)密鑰封裝和數(shù)字簽名等特定應(yīng)用領(lǐng)域。這些算法包括：

ML-KEM（FIPS 203，即原CRYSTALS-Kyber）：該算法基于格問(wèn)題構(gòu)建，格問(wèn)題被認(rèn)為具有抵抗量子攻擊的特性。ML-KEM在安全性、效率及實(shí)施便捷性方面表現(xiàn)均衡，適用于一般加密場(chǎng)景。其密鑰尺寸小且封裝/解封裝速度快，特別適合資源受限的環(huán)境。

ML-DSA（FIPS 204，即原CRYSTALS-Dilithium）：與ML-KEM相似，ML-DSA同樣基于格問(wèn)題設(shè)計(jì)，但專為數(shù)字簽名而優(yōu)化。它提供了強(qiáng)大的安全保障及高效的運(yùn)算性能，非常適合需要身份驗(yàn)證和數(shù)據(jù)完整性的應(yīng)用場(chǎng)景。

SLH-DSA（FIPS 205，即原SPHINCS+）：該算法采用無(wú)狀態(tài)哈希技術(shù)，提供了與傳統(tǒng)基于格的方法不同的安全特性。SLH-DSA以其簡(jiǎn)潔性和對(duì)各類攻擊的強(qiáng)魯棒性而備受推崇。

在這三類算法中，ML-KEM和ML-DSA預(yù)計(jì)將被廣泛部署。NIST還有望于2024年年末發(fā)布基于Falcon算法的FN-DSA（FIPS 206）草案標(biāo)準(zhǔn)。該數(shù)字簽名算法運(yùn)用了結(jié)構(gòu)化格。

回溯至2020年，NIST還發(fā)布了SP 800-208標(biāo)準(zhǔn)，其中引用了抗量子的有狀態(tài)哈?；灻桨俯ぉとR頓·米利奇簽名（LMS）系統(tǒng)以及擴(kuò)展默克爾簽名方案（XMSS）。LMS和XMSS均依托于默克爾樹結(jié)構(gòu)，該結(jié)構(gòu)為管理和驗(yàn)證眾多簽名提供了一種安全且高效的方式。LMS系統(tǒng)采用基礎(chǔ)的默克爾樹，而XMSS則融入了更多額外特性。這使得這些系統(tǒng)的性能因使用場(chǎng)景的不同而存在差異，最終決定了哪個(gè)系統(tǒng)更適宜于特定的應(yīng)用情形。

展望未來(lái)：NIST第四輪量子防護(hù)標(biāo)準(zhǔn)制定

NIST不斷評(píng)估新增算法，旨在確保密碼學(xué)領(lǐng)域具備多樣性與安全性。目前，NIST已經(jīng)開啟了第四輪標(biāo)準(zhǔn)化努力，其中一組額外的密鑰封裝算法正接受評(píng)估，目的是尋找更多算法以補(bǔ)充現(xiàn)有的已標(biāo)準(zhǔn)化算法集合。預(yù)計(jì)第四輪將篩選出一至兩種算法，并計(jì)劃在2025年發(fā)布相應(yīng)的公共草案。參與第四輪評(píng)估的密鑰封裝算法包括Classic McEliece、BIKE和HQC。

2022年9月，NIST還啟動(dòng)了另一輪針對(duì)額外后量子密碼學(xué)（PQC）數(shù)字簽名方案的標(biāo)準(zhǔn)化工作。在此輪工作中，NIST主要關(guān)注非基于結(jié)構(gòu)化格的通用算法，同時(shí)對(duì)使用短簽名和快速驗(yàn)證的算法表現(xiàn)出濃厚興趣。任何基于格的簽名算法需顯著超越ML-DSA和FN-DSA的性能，并/或確保提供額外的安全特性。近期，NIST已經(jīng)選定14種新型數(shù)字簽名算法進(jìn)入標(biāo)準(zhǔn)化的第二輪流程，這些算法包括：CROSS、FAEST、HAWK、LESS、MAYO、Mirath、MQOM、PERK、QR-UOV、RYDE、SDitH、SNOVA、SQIsign和UOV。預(yù)計(jì)第二階段的評(píng)估將持續(xù)12至18個(gè)月。

CNSA v2.0：推進(jìn)美國(guó)國(guó)家安全量子防護(hù)密碼學(xué)

2022年9月，國(guó)家安全局（NSA）發(fā)布了商業(yè)國(guó)家安全算法（CNSA）套件2.0版本，并于2024年4月更新了其常見問(wèn)題解答（FAQ）。CNSA是一套由NSA推薦的加密算法集，用于保護(hù)美國(guó)政府國(guó)家安全系統(tǒng)（NSS）及信息。量子計(jì)算對(duì)密碼算法構(gòu)成的威脅在2.0版本中首次得到應(yīng)對(duì)。因此，2.0版本推薦的所有算法均符合NIST標(biāo)準(zhǔn)且具備量子抗性（QR），涵蓋AES、SHA、LMS、XMSS，以及近期發(fā)布的PQC標(biāo)準(zhǔn)ML-KEM和ML-DSA。

NSA還借助CNSA推動(dòng)NSS采納PQC的時(shí)間進(jìn)程。NSA對(duì)此事項(xiàng)的重視程度從CNSA v2.0的以下表述中可見一斑：“NSA預(yù)期至2035年，NSS向量子抗性算法的轉(zhuǎn)換將依照國(guó)家安全備忘錄NSM-10完成。NSA敦促供應(yīng)商以及NSS的所有者和運(yùn)營(yíng)方竭盡全力達(dá)成該截止日期。在過(guò)渡期內(nèi)，NSS的所有者和運(yùn)營(yíng)方在配置系統(tǒng)時(shí)需優(yōu)先選用CNSA 2.0算法。在恰當(dāng)?shù)那樾蜗拢珻NSA 2.0算法在NSS的商業(yè)產(chǎn)品類別中的運(yùn)用將是強(qiáng)制性的，同時(shí)保留允許在特定用例中使用其他算法的選擇權(quán)?！?/p>

后量子密碼學(xué)產(chǎn)品

顯然，為了保護(hù)當(dāng)今的數(shù)據(jù)和系統(tǒng)在未來(lái)不受量子計(jì)算威脅，對(duì)量子抗性密碼解決方案的需求日益迫切。

新思科技擁有一系列廣泛的安全I(xiàn)P產(chǎn)品組合，從密碼核心、PUF IP到預(yù)構(gòu)建的嵌入式硬件安全模塊（帶有信任根）。其真隨機(jī)數(shù)生成器（TRNGs）、PUF IPs、對(duì)稱和哈希核心已經(jīng)具備量子抗性。針對(duì)公鑰基礎(chǔ)設(shè)施安全所需的非對(duì)稱IP，新思科技推出了新的Agile PQC公鑰加速器（PKAs），符合NIST批準(zhǔn)的PQC算法ML-KEM、ML-DSA、SLH-DSA、LMS、XMSS，并旨在抵御從邊緣到云的各種應(yīng)用中的量子計(jì)算威脅。

新思科技量子抗性PKAs的最重要特性之一是其可適應(yīng)性，結(jié)合了硬件和嵌入式固件以實(shí)現(xiàn)性能和算法更新的靈活性。這一點(diǎn)至關(guān)重要，因?yàn)镻QC標(biāo)準(zhǔn)將持續(xù)發(fā)展。因此，現(xiàn)場(chǎng)部署的系統(tǒng)必須能夠處理更新和補(bǔ)丁，以確保它們隨時(shí)間保持量子抗性。

除PQC外，PKAs還支持傳統(tǒng)的ECC和RSA算法，確保當(dāng)下及未來(lái)廣泛的密碼學(xué)覆蓋范圍，包括混合模式支持。由于其高度可配置和可擴(kuò)展，該IP能夠針對(duì)性能、面積、功耗和延遲進(jìn)行優(yōu)化。

新思科技Agile PQC PKAs支持完整的PQC數(shù)字簽名、密鑰封裝和生成功能，并提供FIPS 140-3認(rèn)證支持、安全密鑰接口，以及可選的針對(duì)旁路和故障注入攻擊的對(duì)策。借助新思科技Agile PQC PKAs，設(shè)計(jì)人員能夠保護(hù)敏感數(shù)據(jù)和系統(tǒng)免受未來(lái)量子威脅，確保政府、企業(yè)和消費(fèi)者的長(zhǎng)期安全。

做好應(yīng)對(duì)量子計(jì)算威脅的準(zhǔn)備

量子威脅并非遙遠(yuǎn)的假設(shè)，而是逐漸逼近的現(xiàn)實(shí)。各組織必須即刻行動(dòng)起來(lái)，以保護(hù)它們的敏感數(shù)據(jù)和確保數(shù)字未來(lái)的安全性。鑒于NIST最終確定的后量子密碼學(xué)標(biāo)準(zhǔn)已經(jīng)可供立即使用，因此刻不容緩。

量子計(jì)算的出現(xiàn)既帶來(lái)了巨大的機(jī)遇，也帶來(lái)了嚴(yán)峻的挑戰(zhàn)。盡管其解決復(fù)雜問(wèn)題的潛力是巨大的，但對(duì)現(xiàn)行密碼系統(tǒng)的威脅卻不容忽視。NIST最終確定的PQC標(biāo)準(zhǔn)標(biāo)志著守護(hù)我們數(shù)字未來(lái)的關(guān)鍵一步，新思科技在此助您順利完成過(guò)渡。立即采取行動(dòng)以保護(hù)您的數(shù)據(jù)，并確保您的組織在量子時(shí)代的安全未來(lái)。

若想了解更多關(guān)于如何將后量子密碼學(xué)集成至您系統(tǒng)中的信息，請(qǐng)即刻與我們?nèi)〉寐?lián)系。我們的專家隨時(shí)準(zhǔn)備助力您應(yīng)對(duì)PQC的繁雜事宜，并確保您的數(shù)據(jù)在量子時(shí)代得以安全存續(xù)。