沃卡惠：量子时代的物联网密码学

7月30日发表论文，披露了对后量子算法赛克的毁灭性攻击。该算法被高度评价为NIST PQA进程第四轮进一步研究的候选算法。它尤其受到AWS、Cloudflare和Google等大型科技公司的青睐，这些公司正在他们的云基础设施上试验和部署SIKE。ARQ首席密码学家Daniel Shiu表示，这次攻击表明，最安全的SIKE实例的密钥可以在一天内在单个内核上恢复。

这是2022年的第三次密码分析，这让我们重新评估NIST候选人的安全性。密码分析的热潮可能是意料之中的，因为等待名单越来越小，更多的注意力集中在幸存者身上，但这表明，在这个过程开始五年后，我们仍然没有对PQA的安全有一个成熟的认识。过去，类似公钥加密的经验使得密码学家争相增加密钥的长度，而这些密钥本应安全几百万年，

遗留的不安全系统容易受到降级的网络攻击，如淹没和死锁。那么，我们为什么急于重新设计互联网密码术呢？

错误问题的错误答案

NISTPQA流程源于“直接”替换网络上现有密钥建立和认证方法的需求。事实证明，在对用户干扰最小的情况下，迁移到量子安全密码学这个令人钦佩的目标是很难实现的。无论是在带宽、计算、代码基大小还是这些方面的组合上，PQA方法都比它们的经典前辈有更大的资源需求。

事实证明，现有的网络协议不适合新算法，因此我们正在考虑对网络通信进行重大更改。从这个角度来说，思科攻击特别痛苦，因为它是目前为止带宽属性最好的PQA。除了标准世界，在代码中安全地实现复杂的新思想、将代码集成到产品中以及让用户远离遗留产品方面也存在挑战。未来几十年管理过渡的主要项目现已启动。

所有这些努力都是为了尽可能接近即插即用替代的梦想，但值得退一步，考虑一下当初为什么要采用现有的方法，以及它们是如何随着互联网的变化而发展的。PKC是在20世纪90年代初引入网络的，当时大多数流量仍然基于企业大型机，连接是零星的，服务可能几天或几周都不可用。

证书的公钥基础结构允许密钥建立和身份验证以被动的方式离线进行，因此证书颁发机构不必一直可用。此后，互联网经历了个人电脑和拨号上网的AOL时代、笔记本电脑和Wi-Fi时代、智能手机和服务器农场时代，现在正走向物联网。核心互联网保证了我们非常可靠的连接和可用性，而轻量级边缘设备则推动我们减少带宽、计算负担和内存占用。

主要的互联网服务提供商最敏锐地意识到这些变化，并一直在影响减少PKC的使用，使用联合身份验证方法和会话票证来更新密钥，而不是PKC。TLS1.3标准在兼容不带PKC的按键方面尤其具有前瞻性。当这些方法建立在成熟可靠的对称密码方法中时，这些方法也是量子安全的。

更强大、更简单的加密

对称加密比PKC更健壮，在带宽、计算和内存占用方面更高效。当我们开始考虑物联网时，互联网智能手机和服务器农场时代的这些要求成为了关键要求。现在，虽然最初被认为是一种需要共享密钥的批量加密方法，但对称密码也可以通过使用哈希消息验证码来提供验证，并通过使用Kerberos等方法来建立密钥。

由于需要与密钥分发中心的可靠连接和可用性，对称密钥建立在20世纪90年代不被认为是不可靠互联网的好解决方案。在21世纪，这些担忧将会消失。尤其是在云计算时代，我们可以将关键管理服务去中心化，在全球范围内拥有极高的可用性和降低的延迟。您可以添加方法来将信任从中介服务中分离出来，并提供端到端的安全性。对称密钥建立方法是鲁棒的、高效的、量子安全的，并且与现有标准很好地集成。

智能城市和无人驾驶汽车的演示表明，该系统今天可以快速过渡到这些方法，对现有服务和用户的干扰最小。使用MQTT部署新的物联网部署变得更加容易，而没有PKI的负担。节省了能耗和内存需求，降低了成本，延长了设备的使用寿命。这些好处反过来又扩展了使用案例，增加了物联网方法的价值。我们所需要的只是一种摆脱错误的、未实现的梦想的意愿，即找到一种新的、直接的方法来解决90年代的互联网问题。