美國是如何發展後量子密碼學的？

By Jeremy Hsu

https://spectrum.ieee.org/tech-talk/telecom/security/how-the-us-is-preparing-for-quantum-computings-threat-to-end-secrecy

NIST已經招募了來自學術界和私營企業的研究人員，為2022年的抗量子密碼學做好準備。

當實用的量子計算最終到來時，它將有能力破解保障政府、企業和幾乎所有使用網際網路的人的在線隱私和安全的標準數字代碼。這就是為什麼一個美國政府機構向研究人員提出挑戰，要求他們開發新一代的抗量子密碼算法。

許多專家並不指望能夠執行破解現代密碼學標準所需的複雜計算的量子計算機能在未來10年內成為現實。但美國國家標準與技術研究所(NIST)希望保持領先，在2022年之前準備好新的密碼學標準。該機構正在監督其後量子密碼學標準化進程的第二階段，以縮小可以取代現代密碼學的量子抗衡算法的最佳候選者。

&34;英特爾公司的密碼學家Rafael Misoczki說，他是參與NIST進程的兩個團隊（名為Bike和Classic McEliece）的成員。&34;

Misoczki是報名參加8月22日至25日在加州大學聖巴巴拉分校舉行的第二屆PQC標準化會議的250多名註冊與會者之一。此次活動中，幾乎所有從事26種候選算法的團隊都做了演講，這些算法是從69個第一輪候選算法中篩選出來的。

NIST希望這些第二輪候選算法的發展能超越單純的概念驗證，並開始進行基準測試。鑑於量子計算的突破可能會威脅到數千億美元電子商務的安全，更不用說更廣泛的數字經濟中數萬億美元的風險了，所以風險很大。不過，許多研究人員還是提醒說，NIST應該在選擇任何最終候選者之前，慢慢評估新一類後量子密碼學的候選者。

認識抗量子算法

Misoczki解釋說，NIST進程正在考慮的算法可分為兩大類。第一類包括密鑰建立算法，使從未見過面的雙方能夠就共享秘密達成一致。這類算法還包括公鑰加密算法--如RSA和橢圓曲線加密法--它們做同樣的事情，但效率較低。

第二類涉及確保數據真實性的數字籤名算法。這類數字籤名在代碼籤名應用中的特點是建立程序是由預定的開發者而不是由黑客創建的信心。

這兩類算法都需要基於連量子計算機都無法破解的數學問題的新算法。目前正在考慮的後量子密碼學算法有幾種方法，每種方法都有優點和缺點。例如，&34;Misoczki說。

每種方法之間的權衡對計算應用和設備都會產生重大的現實世界影響。基於網格的密碼學甚至比RSA等現代密碼學方法更快，但如果帶寬相對稀缺，其更大的數據大小可能會產生差異。

這就是為什麼NIST將幾種不同方法的算法標準化是有意義的，瑞士IBM蘇黎世研究實驗室的密碼學研究員、NIST過程的參與者Vadim Lyubashevsky說。&34;Lyubashevsky說。

荷蘭Radboud大學的計算機安全研究員Peter Schwabe表示，這些候選算法仍有很多未知數，它們很可能會取代世界上大部分支撐全球安全通信的基礎設施。需要進行更多的開發和測試，以評估每種算法的實際加密安全性，以應對最佳可能的攻擊，衡量其安全性能的權衡，開發安全實現算法的技術，並找到部署算法時可能出錯的地方。

&34;Schwabe說。

合作精神與競爭態勢相結合

NIST的挑戰將專注於理論工作的學術研究人員和熟悉現實世界性能需求和安全需求的科技行業專家聚集在一起。該機構最初將其描述為一個 &34;，但似乎急於鼓勵參與者之間的合作精神。

一些研究人員加入了多個團隊，從事不同算法的研究。例如，Lyubashevsky是CRYSTAL-KYBER、CRYSTALS-DILITHIUM和Falcon等算法工作小組的成員。Schwabe屬於七個專注於特定算法的團隊。CRYSTALS-KYBER、CRYSTALS-DILITHIUM、Classic McEliece、NewHope、SPHINCS+、NTRU和MQDSS。

團隊在一個郵件列表上公開分享框架和反饋--這種方法有利有弊。一位匿名參與者在回答NIST的調查時寫道：&34;。

Misoczki說，社區的大多數人似乎都致力於合作，他觀察到 &34;，儘管有一些意見分歧。

Schwabe也描述了社區的合作精神，但指出有些人似乎有更多的競爭傾向。&39;他們的&34;Schwabe在一封電子郵件中寫道。

一些競爭性的算法代表了同一密碼學方法的相對較小的變化。Lyubashevsky建議NIST通過要求該機構希望在候選算法中提供具體的密碼學特徵，讓參與者專注於共同的標準化目標。

&39;看，忘掉這些東西所附的人名，這裡是我們想看到的特徵&34;Lyubashevsky說。

新的後量子密碼學標準

NIST計劃在2022年左右起草後量子密碼學的標準。但研究人員敦促該機構避免匆忙審核所有候選算法的過程。他們的匿名反饋來自NIST的一項調查，該調查在8月第二屆PQC標準化會議結束時分享。

&34;一位調查受訪者寫道。&34;

另一位調查受訪者提議，&34;，以便 &34;。

一位調查受訪者對急於求成的可能後果描繪了一幅特別可怕的畫面。&34;。

許多人指出，需要進行更多的密碼分析，以徹底調查每種算法可能存在的弱點。一個人敦促NIST贊助美國大學進行更多的學術研究，以進一步發展 &34;。

&34;Lyubashevsky說。&34;

NIST可能部分指望不同團隊會嘗試破解對方的算法。但Lyubashevsky建議，該機構也應該研究要求研究人員檢查另一個小組的工作，或者或許將密碼分析作為資助開發算法的理論工作的條件之一。

計算機何時能破解密碼學？

沒有人知道量子計算到底什麼時候會使現代密碼學算法失去作用。一個複雜的情況是，第一個開發出實用量子計算機的政府或組織，只要保持沉默，破解現代密碼學系統，囤積世界秘密，就能獲得很多好處。

&34;施瓦貝說。他認為 &34;

密碼學研究人員所知道的是，世界各國政府和行業採用最新的密碼學標準可能需要很長的時間。儘管橢圓曲線密碼學是在20世紀80年代末首次提出的，但世界上大部分地區仍然依賴於20世紀70年代末出現的老式RSA密碼學。這就是為什麼NIST為後量子密碼學所做的標準化努力背後仍有一定的緊迫性，即使實用的量子計算仍需幾十年的時間。

&34;Misoczki說。&34;

幸運的是，持有極度敏感數據的具有前瞻性的組織不需要等待NIST的標準化過程發揮出來，然後再採取措施對其系統進行未來保護。相反，他們可以簡單地去採用NIST進程中的一些候選算法，這些算法已經在網上公開發布，並且可以免費使用。

&34;Lyubashevsky說。&34;

至於那些願意等待的人，Lyubashevsky表示，相信與NIST合作的密碼學家們會為量子計算的未來做好準備。

&34;Lyubashevsky說。&34;