NIST量子密码标准项目几近完成

美国国家标准与技术研究院（NIST）的第一个后量子密码标准将解决一些关键问题和方法，备战量子密码领域军备竞赛，以及明确此项技术那不确定的未来。

有时候感觉我们讨论量子计算已经有十来年了。但直到上个月，量子计算时代有望终成现实的决定性一步才刚刚落地：美国国家标准与技术研究院（NIST）准备发布第一个后量子密码标准。量子密码离我们不远了。

NIST的消息预示着什么？我们需要关注以下四个问题。

问题1：定义标准

值得称道的是，NIST早就意识到加密算法需扛得住量子计算机的攻击。三年多前，该研究院启动了征集抗量子加密算法提案的计划。自那时起，历经几轮精挑细选，最初的69个提案缩减至15个。然后，NIST开始了最近一轮选择，旨在选出其中一小部分形成标准，供希望得到后量子防护的公司和机构使用。

候选方案敲定后，NIST还将标准化这些算法在一系列系统上的实现方式。标准化很重要，因为只有形成标准，公司和机构才能预先确定足够强大的加密方案，以备不时之需。

只需看看以往加密标准推出的的失败案例，就能体会到标准化实现方法的价值。例如，新冠病毒疫情导致的这波在家办公潮中，许多系统管理员都低估了制造商各不相同的加密协议所引起的兼容性问题，引发在家办公网络接二连三曝出安全问题。而且，问题根深蒂固。

问题2：多种方法

NIST预先考虑后量子加密需求的做法值得称道。在NIST后量子密码标准化过程第二轮状态报告（NISTIR 8309）中，我们可以找到最新一轮选择的结果，其中候选方案数量缩减，并被“分为两组”。NIST邀请专家就其中包含的算法提出意见。

NIST似乎要在方案选择上尝试一些复杂的平衡动作。一方面，后量子加密需要足够标准化，以便工程师可以轻松地在多个系统上工作。另一方面，正如NIST明确指出的那样，“对于最终的标准，提供多种加密途径非常重要，这样可以防备有人成功攻破其中一种方法的情况。”

现在开发量子密码标准，也是在尝试解决传统密码方法开发与采纳过程中呈现的一些问题。目前，加密实践的标准化程度很低，消费级网络安全工具中广泛使用了各种各样的加密协议。面对这种情况，NIST似乎想抢在量子密码被广为采纳之前先行标准化。

在这种思路指导下，潜在方法范围不断收窄，最终聚焦到三个“系列”的数学方法上。这种程度的多样性是必要的，因为加密算法以多种方式保护数据，而其应用范围在未来几十年里只会不断增加。

该计划的最终目标是提出能扛住量子计算机攻击的两种或三种算法建议。一种用于密钥交换，目的是改进PKI系统。另外一到两种用于提供文档电子签名，以及加密静态数据。

问题3：不确定的未来

尽管NIST的谨慎态度值得称道，但后量子密码问题能否经由这个计划解决却远未可知。即使我们假设此计划产生的算法确实能顶住量子计算机的攻击，NIST后量子密码标准化的前景依然不甚清晰。

这种标准化失效的一种情形，是公司和机构未能在量子攻击开始前部署足够强大的加密措施。事实上，量子计算一直以来最令人恐惧的未来场景之一，就是有人（例如不怎么可信的民族国家）先于恰当的防护措施开发出可行的量子计算机。

此外，后量子密码标准不会保护已经被盗的数据。正如我们之前所指出的那样，此类数据已经容易遭到“攫取和解密”攻击：黑客盗得具有长期价值的加密数据，如身份证号码、军事信息等，然后留待量子计算机能够破解加密解锁秘密的那天到来。

与之类似，使用寿命长的很多联网设备，比如今天仍在设计的汽车和智能传感器，很可能到了量子计算机广泛使用的时候还在用。出于这些原因，现在就需要考虑量子安全计算了，这可不是过几年才开始想都行的事。看看当前数字时代进程有多快，没适应的产业倒得有多猛就知道了。

问题4：军备竞赛

除了上述令人担忧的因素，NIST最近的消息还是很喜人的。虽然可能永远不会出现能完美抵御量子攻击的秘密，但在实际面对之前先为明天的量子威胁做好准备总是有利无害的。NIST勇于预先面对新兴威胁并采取行动的做法值得赞扬，或许能够在新一代网络武器开发出来之前防患于未然。

关键词：NIST；后量子密码标准

▼

往期精彩回顾

▼

量子计算离破解加密的那一天还远吗？

量子密码两大阵营：后量子密码与量子密钥分发