全球移动通信协会：《抗量子密码对电信网络影响白皮书》

光子盒研究院出品

上周，作为抗量子电信网络工作组的一部分，GSMA（全球移动通信协会）在IBM、沃达丰和其他成员的贡献下发布了抗量子电信网络影响评估白皮书：对电信行业所面临的量子安全威胁深入分析并提出应对这些威胁的潜在解决方案的详细分步清单。

该报告于GSMA在巴塞罗那举行的年度世界移动通信大会之上首次亮相，为电信组织制定了一条清晰的路径——在其网络生态系统中开展工作，以保护数据免受利用未来量子计算机的潜在力量的网络犯罪分子的侵害。

报告内容包括：

1）针对电信公司的量子网络威胁业务风险评估，包括四种影响最大的攻击类型：现在存储，以后解密；代码签名和数字签名；改写历史和密钥管理攻击。

2）量子安全算法和风险评估框架的具体方法，包括基于代码、基于格、基于散列、基于多变量和混合方法。

3）已启动实施量子安全加密的多个政府计划的时间表（澳大利亚、加拿大、中国、法国、德国、日本、新西兰、新加坡、韩国、英国和美国）。

4）讨论硬件和软件变化的标准化，例如SIM卡、公钥基础设施、数字证书和CPE设备。

5）多个电信领域的量子安全应用示例，包括设备、5G网络、SIM卡、操作系统、ERP、基础设施和云。

6）该报告评估了抗量子密码学发展现状（PQC）、量子安全的市场驱动因素、各国政府举措以及对运营商及其合作伙伴的影响。

常用的加密算法，如基于RSA和椭圆曲线的公共密钥加密和数字签名方案的安全性取决于解决某些潜在数学问题的难度。基于RSA的协议依赖于寻找大整数的素因子的难度，而基于椭圆曲线的方法和差分-赫尔曼密钥交换则依赖于离散对数问题的难度。

这些非对称协议的安全性是建立在一个有计算或时间边界的攻击者不能有效地计算大整数的素因子或解决离散对数问题的假设之上的。

然而，Shor算法能够实现大整数的有效因子分解，并允许攻击者有效地解决离散对数问题。更重要的是，Shor算法可以实现指数加速，这使得简单地增加密码大小不可行。因此，一个与密码相关的容错量子计算机（CRQC）对使用公钥密码学或数字技术的系统和保密协议构成了威胁。

开发一种能够运行威胁现代密码学的CRQC的时间尺度是不确定的。然而，人们普遍认为，在未来十年（到2032年）出现这种计算机的风险显著（>30%），因此，需要充分准备，特别是因为某些形式的攻击可能是已经开始。其中包括——

现在储存，之后解密：有动机的坏人可能会提前收集并存储数据，在量子计算能力可用时对其进行解密。人们普遍认为，一些行为者已经参与了这类攻击。

代码签名和数字签名：如果算法变得脆弱，那么身份验证服务可能会受到攻击，并导致软件更新中的漏洞。

改写历史：如果数字签名算法变得脆弱，数字签名数据的完整性可能会受到损害，如审计记录、呼叫记录、合同和其他数据。

管理设备攻击：基础设施有可能使用脆弱的包装器来存储对称密钥。因此，这种长期存储的密钥可能会因为攻击包装机制而变得脆弱。

上述风险的业务后果对利益相关者来说很重要，因为它们可能导致隐私泄露、声誉损害、网络中断或其他重大财务影响。

PQC是指一类加密协议，旨在通过使用经典的（即非量子的）技术来提供抵御量子技术解密的对手的安全算法。Shor算法对对称算法构成的量子威胁没有那么严重，对于对称协议来说，通往抗量子状态的路径可能更直接。对于非对称算法来说，向抗量子状态的过渡更为复杂。

由于Shor的算法允许指数加速，因此简单地提高当前方法的安全水平是不可行的。这意味着人们似乎必须放弃非对称协议所提供的功能和效用。通过实现被认为是安全的替换算法，人们可以保留目前部署的公钥加密和数字签名算法所提供的功能。这类算法被称为抗量子非对称加密算法，且并不简单。

1）基于哈希的PQC方案

哈希函数是一种标准的密码原语，它将输入字符串映射到看似随机的输出字符串，因此很难反转未知输入的输出，也很难找到产生碰撞（即相同的）输出的两个输入。对哈希函数的一般量子攻击依赖于Grover的算法，因此不那么严重，这使得哈希函数成为构建量子安全算法的合适构建块。

2）基于编码的PQC方案

基于编码的密码学利用纠错码的数学原理，基于数学问题的难度，如纠正随机线性代码中的错误。基于编码的技术已经被研究了几十年，可以追溯到McEliece 的基础工作。但由于基于RSA和椭圆曲线的精简技术的优越性能特点，这些被研究充分的技术最初并没有得到广泛的采用。对基于RSA和ecc的技术的量子攻击重新点燃了人们对基于编码的协议的兴趣。

3）基于多元方程的PQC方案

基于多元方程的密码系统的安全性依赖于在有限场上求解多元二次方程问题的难度。基于多变量的方案在NIST PQC项目的第三轮中取得了进展，但在对其余候选对象发现新的攻击后，最终没有被选中。需要进一步的分析来确定在解决了新发现的攻击后，基于多元方程的方案所提供的潜在效率是否仍然有效。

4）基于格的PQC方案

格是多维模块（数学空间）中点的重复结构。对于多维度的格，计算很难确定空间中的点和线的某些性质。这种难度为基于格的密码学提供了基础，从而减轻了被Shor算法破解的风险。基于格的技术可以追溯到1996年，与一些新的PQC方法相比，已经得到了相对充分的研究。

抗量子密码算法优缺点比较

为了应对新兴量子技术带来的安全挑战，许多国家已经创建了国家抗量子密码学（PQC）计划。其中一个例子是美国国家标准与技术研究所（NIST）在2022年7月宣布了量子计算时代的第一个PQC算法标准化候选者。

报告介绍了各国活跃PQC项目的摘要，作为抗量子电信行业分析的背景。对于全球各国政府发展迅速的领域，将需要继续进行监测，以确保与战略计划和路线图保持一致。（清单并不详尽，但具有指示性。）

各国PQC项目

1）美国

2022年9月，美国CNSA（商业国家安全算法套件）2.0发布，其中包括PQC算法、时间线和使用建议。所选择的PQC算法是基于NIST的标准化过程。其中，对称密码学与CNSA1.0相同，仅补充SHA-512。公钥密码学，CNSA 2.0已经确定了CRYSTALS-Kyber（用于通用加密）和CRYSTALS-Dilithium（数字签名，身份认证）作为正在进行的NIST标准化过程的候选算法。

2022年5月，美国联邦政府根据NIST PQC标准化活动，发布了一份国家安全备忘录，指导联邦机构开始“将脆弱系统迁移到量子抵抗密码学的长期过程”；美国行政部门于2022年11月18日发布了对各部门和机构负责人的额外指导；2022年12月，美国行政部门还签署了两党量子计算网络安全防范法案，要求在15个月内对美国政府的PQC进行规划。

美国PQC发展时间线

2）中国

有报道称，中国PQC的理论研究已经开始，原型设计、标准化和应用计划已分几个阶段进行。

从2018年开始，中国密码学研究协会（CACR）举行了一场选择量子抗性算法的评选竞争。这次比赛只对至少有一名中国选手的队伍开放。CACR要求采用三种类型的公钥算法：密钥交换、数字签名、公钥加密方案。获奖者名单于2020年1月公布。有三种算法排名第一（两种关键封装机制和一种数字签名方案）。第二级和第三级包括11种其他算法（3种密钥交换方案，5种密钥封装机制和3种数字签名方案）。CACR在2020年发布了关于PQC算法的建议。

中国PQC发展时间线

PQC预计将被封装到各种通信协议中，以使这些通信协议成为量子安全的。由于固定和移动网络，包括客户场所设备（CPE）、智能手机或物联网SIM卡设备、管理系统和增值服务通常代表具有多种硬件的分布式系统和软件组件都使用通信协议相互通信，大量组件将受益于此类的量子安全版本通信协议。

任何今天使用的协议都容易受到未来的量子攻击，并且被认为充分暴露于潜在的攻击。这包括使用IPsec、TLS、HTTPS、基于公钥/私钥的认证机制、公钥基础设施（PKI）和数字证书等协议的网络组件。该范围扩展到不同的“平面”，如用户平面、控制平面和管理平面。

网络、服务、管理组件PQC生态依赖图

目前密码学在电信网络中的应用大多与公共密钥基础设施（PKI）的使用有关，支持数字签名、认证以及用于加密数据的对称会话密钥的协议和分发。互联网协议（传统上称为TCP/IP）向TLS的发展，以及基于服务的架构的使用，使这一趋势在过去几年变得更加明显。

考虑到与PKI相关的大多数漏洞和安全问题都是由密钥和身份管理不善造成的，分析PQC过渡对这些过程的影响变得至关重要。需要考虑的主要领域包括：

• 算法和参数标识符，用于描述在安全会话协商和签名中的可用算法及其配置。
• 公钥和私钥格式，包括在加密材料的分发中，特别是在证书中。
• 撤销机制，以验证证书的状态。

有必要提供标准化的标识符和密钥格式，以避免加密材料的意外泄漏或身份管理程序中的意外模拟，如证书请求和响应。必须根据新算法的计算成本，对撤销机制进行评估。在当前的PKI环境中，撤销验证也是最敏感的方面之一。

参考链接：

https://www.gsma.com/newsroom/wp-content/uploads//PQ.1-Post-Quantum-Telco-Network-Impact-Assessment-Whitepaper-Version1.0.pdf

相关阅读：

每周一到周五，我们都将与光子盒的新老朋友相聚在微信视频号，不见不散！

你可能会错过：|qu|cryovac>

|qu|cryovac>