深度研究 | 万字长文透析后量子密码技术关键能力及特性

 抗量子攻击能力

1. 基于格问题的复杂性

安全性强度：格密码的安全性强度，取决于格的维度、格的结构、噪声参数等。通过调整这些参数，可以构建不同安全级别的格密码算法，以满足不同应用场景的需求。

2. 基于编码的困难问题分析

安全性考量：编码密码的安全性，很大程度上取决于所选用的纠错码类型和参数。需要仔细选择码的结构和参数，以抵抗已知的经典和量子攻击。

3. 多变量多项式问题解析

• 挑战与权衡：多变量密码算法的优势在于签名速度快，但公钥尺寸通常较大，且安全性分析较为复杂。在实际应用中，需要在性能、密钥尺寸和安全性之间进行权衡。

• 代表性算法：NIST标准的 Falcon（数字签名）算法，以及其他备选算法，例如 Rainbow、GeMSS等，均属于基于多变量的密码算法。

1. 候选算法安全强度

•  数学分析：从数学原理出发，分析算法所依赖的数学难题的难度，评估算法的理论安全性上限。例如，对于格密码，需要分析求解SVP、CVP、LWE等问题的最高效的算法的复杂度。对于编码密码，需要分析一般解码问题和Syndrome 解码问题的难度。

• 密码工程实现分析：分析密码算法在软件和硬件实现过程中，可能存在的安全漏洞。例如，算法实现是否高效、是否存在编程错误、是否容易受到侧信道攻击等。

• 渗透测试：分为黑盒测试与白盒测试。黑盒测试是指在不知道算法内部实现细节的情况下，模拟攻击者的行为，尝试破解密码系统。例如，通过暴力破解、字典攻击、中间人攻击等方法，测试系统的安全性；白盒测试是在了解算法内部实现细节的情况下，进行更加深入的渗透测试。例如，通过代码分析、逆向工程等手段，寻找算法实现中的漏洞，并尝试利用这些漏洞进行攻击。

• 形式化验证：利用数学模型和自动化工具，对密码算法的安全性进行形式化验证。例如，将密码算法的形式化模型，输入到模型检验器中，验证其是否满足特定的安全性质，例如保密性、完整性、可用性等。

2. 攻击与量子计算攻击抵抗能力

•  攻击类型：法国密码学家发现，通过代数攻击（利用超椭圆曲线的特殊结构），可在经典计算机上以多项式时间复杂度恢复SIDH的私钥。该攻击利用了SIDH中同源路径计算的中间结果泄露，属于传统数学攻击而非量子攻击。

• 漏洞影响：证明SIDH的安全性假设存在缺陷，即使在经典计算模型下也存在风险。导致NIST在第三轮后量子标准评选中排除SIDH，转向其他候选方案（如 Crystals-Kyber、Falcon等）。

• 事件启示：仅依赖量子抗性假设不足以保证安全性，需同时防御传统攻击（如代数、侧信道、差分等）。该事件标志着后量子密码学从理论研究向工程实践的过渡阶段，强调安全性评估需覆盖所有潜在威胁模型，而非仅针对量子计算场景。

• 类似案例：格密码中的某些方案曾因参数选择不当，被传统算法破解。

性能与效率特性

1. 性能指标分析

• 密钥生成速度：指生成一对公钥和私钥所需的时间。密钥生成速度直接影响到密钥建立和更新的效率，尤其在密钥频繁轮换的场景中，快速的密钥生成至关重要。

• 加密/签名速度：指进行加密或数字签名运算所需的时间。加密/签名速度直接影响到数据加密和身份认证的效率，尤其在需要处理大量数据的场景中，例如高速网络通信、大数据加密存储等，快速的加密/签名至关重要。

• 解密/验签速度：指进行解密或数字签名验证运算所需的时间。解密/验签速度直接影响到数据解密和身份验证的效率，与加密/签名速度同样重要。

• 吞吐量：指单位时间内能够处理的加密/解密或签名/验签操作的数量。吞吐量是衡量密码算法批量处理能力的重要指标，适用于需要高并发处理的场景，例如云服务器、数据中心等。

• 延迟：指完成一次加密/解密或签名/验签操作所需的延迟。延迟是衡量密码算法实时性响应能力的重要指标，适用于对实时性要求较高的场景，例如实时通信、在线交易等。

2. 平台执行效率

•  测试平台选择：基准测试需要在具有代表性的硬件和软件平台上进行，例如常见的 CPU架构（X86、ARM、鲲鹏、飞腾等）、操作系统（Windows、Linux、麒麟等）、编程语言（C, C++, Java, Python） 等。

•  测试工具和框架：可以使用专门的密码学基准测试工具和框架，例如OpenSSL密码工具包、NIST的密码算法验证程序（CAVP）等。 

3. 算法性能比较

1. 密钥和签名大小

•  密钥封装算法（KEM）：Crystals-Kyber768的密钥和密文尺寸相对适中，NTRU-HPS4096821 的密钥和密文尺寸也相对较小，Classic McEliece-348864 的公钥尺寸非常大，但密文尺寸极小。传统算法 ECC 和 RSA 在密钥和密文尺寸方面都具有明显优势。

•  数字签名算法（DSA）：Falcon-512的密钥和签名尺寸相对较小，Crystals-Dilithium5 的密钥和签名尺寸较大。传统算法 ECDSA 和 RSA 在密钥和签名尺寸方面都具有明显优势。

2. 存储需求分析

•  公钥大小：公钥需要公开分发和存储，公钥大小直接影响到公钥证书、密钥库等存储空间的占用，以及公钥传输的带宽消耗。

•  私钥大小：私钥需要安全存储，私钥大小直接影响到密钥存储介质 （例如智能卡、USB Key、HSM） 的容量需求，以及私钥备份和恢复的效率。

•  密文大小：密文需要在网络中传输和存储，密文大小直接影响到数据传输的带宽消耗和存储空间的占用，尤其在加密大量数据的场景中，密文尺寸是一个重要的考量因素。

•  签名大小：数字签名需要附加在数据或消息之后进行传输和存储，签名大小直接影响到数据传输的带宽消耗和存储空间的占用，尤其在需要频繁签名和验签的场景中，签名尺寸是一个重要的考量因素。 

3. 通信开销控制

1. 计算资源调度

2. 能耗特性分析

3. 轻量级实现

•  算法参数精简：通过精简算法参数，例如降低格的维度、缩短编码的码长、减小多项式方程组的规模等，可以降低算法的计算复杂度和存储需求，从而降低资源消耗。

•  算法结构简化：通过简化算法结构，例如采用更简洁的数学结构、更高效的运算流程、更紧凑的代码实现等，可以降低算法的计算复杂度和代码尺寸，从而降低资源消耗。

•  混合密码体系：在资源受限设备上，可以采用混合密码体系，将后量子密码算法与传统的轻量级密码算法结合使用。

•  软件实现优化：通过优化软件实现代码，例如采用高效的数据结构、优化的算法流程、精细的代码调优等，可以提高软件执行效率，降低资源消耗。

 兼容性与迁移能力

1. 现有协议适配

2. 混合方案设计

3. 协议扩展机制

为了实现现有安全协议的后量子升级，需要定义新的后量子密码协议套件。协议套件是指一组密码算法的组合，用于完成特定的安全功能，例如密钥交换、数据加密、数字签名等。

•  IETF 标准化进展：正在积极推动 TLS 1.3、IPSec、SSH 等协议的后量子升级，定义了新的后量子密码协议套件。例如，对于 TLS 1.3 协议，IETF 已经发布了一系列 RFC 文档，定义了基于 Crystals-Kyber、Crystals-Dilithium 等 NIST 标准算法的后量子密钥交换套件和数字签名套件。

•  协议协商机制：后量子密码协议套件需要与传统的协议套件兼容，支持协议协商机制，使得通信双方能够根据自身的能力和偏好，选择合适的协议套件。例如，在 TLS 1.3 握手过程中，客户端和服务器可以通过 “协商密钥共享 (negotiated_group)”扩展和 "signature_algorithms" 扩展，协商选择后量子密钥交换算法和数字签名算法。

1. 基础设施适配

1.硬件评估阶段：

•  评估现有硬件对PQC算法的支持情况，尤其是计算资源和内存需求；

•  识别需要更新的硬件安全模块（HSM）和可信平台模块（TPM）；

•  示例：某金融机构发现其HSM只支持RSA和ECC算法，需升级至支持Crystals-Kyber和Crystals-Dilithium的新型号。

2.固件与驱动更新：

•  与硬件厂商协作定制支持PQC的固件；

•  针对特定硬件开发驱动补丁以支持PQC算法；

•  示例：某云服务提供商与芯片厂商合作，为其数据中心服务器开发支持ML-KEM（Kyber）的TPM固件更新包。

3.操作系统兼容性验证：

•  测试PQC算法在不同操作系统版本上的兼容性；

•  针对操作系统开发必要补丁，确保密码库调用正常；

•  示例：企业IT部门创建测试环境，验证Windows、Linux和MacOS上OpenSSL PQC模块的兼容性。

4.硬件加速实现：

•  开发专用加速器或利用GPU/FPGA加速PQC运算；

•  优化加密库以利用现代处理器的高级指令集；

•  示例：某云安全团队实现了基于AVX2和AVX-512指令集优化的Kyber算法，性能提升约40%。

2. 应用系统集成

1. API接口设计与实现：

•  设计支持PQC的加密API，保持与现有API结构相似以降低迁移成本；

•  实现包装器（wrapper）模式，允许应用无感知切换到PQC算法；

•  示例：某身份认证提供商开发了双轨API，允许客户端同时支持传统RSA签名和Crystals-Dilithium签名。

2. 开发框架适配：

•  更新主流开发框架中的密码学组件；

•  提供PQC算法使用示例和最佳实践文档；

•  示例：Java开发团队为Spring Security框架添加PQC支持，包括配置指南和代码样例。

3. 混合密码系统实现：

•  根据NIST建议，实施混合密码系统作为过渡方案；

•  同时使用传统算法和PQC算法进行加密和签名，确保安全性；

•  示例：某电子邮件系统实现混合密钥封装机制，同时使用RSA-2048和ML-KEM-768。

4. 安全策略调整：

•  修改密钥管理策略，适应PQC密钥长度和生命周期；

•  更新证书管理流程，支持量子安全数字证书；

•  示例：某PKI服务商制定了PQC密钥轮换计划，将密钥轮换周期从2年缩短至1年。

3. 迁移风险控制

1. 风险评估与规划：

•  进行全面的密码资产清查，识别所有使用传统密码的系统；

•  对系统进行分类，确定迁移优先级；

•  示例：某政府部门利用NIST提供的[《量子准备：密码发现》]工具，完成了全部IT系统的密码学使用情况清查。

2. 分阶段迁移实施：

•  采用“先非关键系统，后关键系统”的迁移原则；

•   建立测试-验证-部署-监控的迁移流程；

•  示例：某企业先在内部门户网站实施PQC，验证稳定后再向核心业务系统推广。

3. 兼容性测试体系：

•  建立专门的兼容性测试环境和测试用例集；

•   测试PQC与现有系统的互操作性；

•   示例：某电信公司参照NIST[《量子准备：互操作性测试和性能标准》]建立了专门的PQC互操作性测试实验室。

4. 应急回退机制：

•  设计回退方案，允许在发现严重问题时快速还原；

•  保留传统密码系统作为备份；

•  示例：某云平台在TLS协议升级中实现了快速回退机制，可在5分钟内恢复至传统TLS配置。

 5. 持续监控与优化：

•  部署专门的监控工具，跟踪PQC算法性能数据；

•  建立异常检测机制，及时发现和解决问题；

•  示例：某金融机构开发了专门的PQC性能监控面板，实时显示算法运行时间和资源消耗。

1. 兼顾国际标准

1. 实施流程

•  建立专门的标准追踪团队，指派专人负责；

•  制定标准追踪清单，包括NIST、IETF、ISO/IEC等机构；

•  定期（如季度）编写标准进展分析报告；

•  建立标准演进评估机制，分析对企业产品的影响。

2.案例实践

某国际安全厂商采用了“分层标准跟踪机制”，这使该厂商在NIST公布Kyber和Dilithium标准后仅2个月就完成了产品原型设计。

•  基础层：由两名专职工程师追踪所有相关标准草案；

•  分析层：技术专家组每月召开标准分析会议；

•  决策层：本季度召开标准响应会议，决定产品路线图调整。

2. 国内标准适配

1. 合规要求与法规框架识别

1）中国密码相关法律法规规定了商用密码的管理要求：

• 《中华人民共和国密码法》(2019)

• 《商用密码管理条例》

• 《电子认证服务密码管理办法》

2）关键信息基础设施保护要求：

•  关键信息基础设施的密码应用必须符合国家标准

•  数据跨境传输的密码保护要求

2.企业国内标准合规评估

•  制定密码合规清单，包括算法、密钥长度、应用场景；

•  对现有系统进行全面扫描，识别非合规密码应用；

•  根据关键程度和安全风险，排序制定迁移计划；

•  设计测试方案，验证新算法对系统性能的影响。

3.PQC密码合规规划案例

某国有银行制定了“三阶段密码合规计划”：

•  发现阶段（3个月）：使用自动化工具和手动审查，识别所有密码应用；

•  评估阶段（2个月）：对每个应用进行安全风险和替换复杂度评估；

•  迁移阶段（18个月）：分批次更新应用，优先处理高风险系统。

该银行在完成评估后发现，有62%的系统需要更新才能符合后量子密码要求，其中15%属于高优先级系统。

 安全实现与管理

1. 侧信道攻击防护

某密码产品制造商开发的USB密钥实现了全面侧信道防护，这种多层次防护策略使得即使最先进的侧信道分析设备也难以有效攻击该产品中实现的PQC算法。 

2. 防护措施设计

某密码硬件厂商在设计支持PQC的安全元件时，实施了以下所示的故障注入防护方案。

该防护方案在实验室评估中经受了500多次激光故障注入尝试，未发生单次密钥泄露事件。多层防护策略使攻击者难以在不触发安全响应的情况下执行有效的故障注入。

3. 实现安全验证

1. 密钥管理机制

1. 专用硬件配置：

•  部署了物理隔离的密钥生成工作站

•  工作站配备了专用的硬件随机数生成卡

•  系统禁用了所有网络和外部存储接口

2. 增强熵收集：

•  部署多个独立熵源（硬件随机数生成器、环境噪声采集器、量子随机数生成器）

•  实时熵质量监控，确保满足最低熵要求

•  实现混合熵池，平衡多种熵源

3. 分层审批流程：

•  密钥生成需要3人授权（物理令牌+生物识别）

•  生成过程全程录像和系统日志记录

•  生成后进行标准化测试，验证密钥质量

通过这些措施，该金融机构确保了其PQC密钥生成过程的高安全性和可审计性，有效防止了内部威胁和外部攻击。

2. 密钥分发安全性

1. 混合证书基础设施：

•  部署了支持传统和PQC算法的双轨PKI系统

•  为每个服务器签发混合证书（包含RSA和Dilithium签名）

•  建立了多层次证书分发控制系统，确保证书交付安全

2. 密钥分发安全控制：

•  实施了基于地理和网络分段控制的密钥分发

•  不同安全区域使用专用的密钥交换网关

•  所有密钥分发操作都需要双人控制

3. 动态路由密钥中继：

•  开发了智能密钥中继系统，根据网络状况选择最安全路径

•  实现密钥分片传输，单一中继节点只持有部分密钥片段

•  部署异常检测系统，实时监控密钥分发模式变化

该金融机构的实施确保了即使在地理分散的数据中心之间，PQC密钥也能安全分发，满足监管要求和业务连续性需求。

3. 随机数生成方案

1. 多层次熵收集：

•  设计了包含硬件随机数生成器、环境传感器和量子噪声源的多层次熵收集系统

•  实现了熵质量动态评估和自动选择机制

•  在熵不足时自动降低密钥生成速率，保证质量

2. 国际标准符合性：

•  遵循NIST SP 800-90B/C标准设计确定性随机位生成器（DRBG）系统

•  实现了SP 800-22随机数测试套件中的全部15项测试

•  通过了BSI AIS 31标准的随机数生成器认证

3. 实时健康监测：

•  开发了连续随机数健康检测系统

•  部署冗余随机数生成路径，发现异常可即时切换

•  实现了异常模式下的安全降级策略

该制造商的随机数解决方案成功应用于金融安全设备，为PQC密钥生成提供了高质量熵源，显著提高了整个密码系统的安全性。

安全牛《后量子密码安全能力构建技术指南（2025版）》研究报告已经发布，欢迎扫描二维码下载阅览：