光子盒后量子密码报告——未来安全的风暴热点

注：尽管量子比特数不是衡量量子计算性能的唯一参数（还有保真度、相干时间、连接性等），但作为重要指标可以反映量子计算发展速度。PQC应运而生为了应对量子计算对公钥密码算法的威胁，PQC应运而生。

PQC是能够抵抗量子计算对现有密码算法攻击的新一代密码算法，旨在研究密码算法在量子环境下的安全性，并设计在经典和量子环境下均具有安全性的密码系统。

对于对称密码算法，尽管量子计算机可能降低现有算法的安全性，从k-bit降低为k/2-bit，但增大参数的长度对维护安全性是有效的。因此，PQC的研究重点是非对称密码算法。PQC与近些年发展迅速的量子密钥分发（主要包括QKD）有所差异，量子密码学涉及利用量子物理特性的密码算法，PQC关注的是可在经典计算机上运行的算法，这类算法即使用量子计算机也无法被破坏。

表1 量子计算能力对当前经典密码系统的影响来源：光子盒研究院标准研究和制定近年来，多国密码管理部门对PQC研究开始重视和推进，由于目前尚未实现算法标准化，还未发展到实际系统研发和基础设施推广建设阶段。

当前主要是标准化组织、各国密码或安全管理部门、产业界推进PQC密码的标准化。从全球算法征集和标准制定角度来看，欧洲、美国和中国走在国际前沿。表4PQC标准研究及制定PQC主要应用目前，PQC算法中的热点研究可以直接代替现有的公钥加密、数字签名、密钥交换算法，包括RSA加密/签名、Diffie-Hellman密钥交换、椭圆曲线加密/签名等。

与现有的公钥密码算法一样，PQC可以被应用于更高层次一些的协议/应用，包括HTTPS（TLS）、数字证书（PKI）、SSL、VPN、IPSec、比特币等数字货币、U盾、移动操作系统等各个领域和应用中。现在用到公钥密码算法的应用，基本可以使用PQC算法进行代替。

表5 PQC技术的应用栈PQC应用时间对于许多公司来说，PQC时代已经开始。

例如，越来越多的联网车辆将需要满足高安全标准，以保护用户在使用寿命内的安全和隐私。尽管当前使用和存储的大多数数据不会受到影响，但海量数据、关键系统和旗舰产品的安全性仍处于危险之中。对于相关企业来说，何时开始采取措施，采取怎样的措施因行业和企业而异。

在确定何时开始采取量子缓解措施时，企业需要考虑高优先级资产的两个关键特征——数据保质期以及系统生命周期和开发周期。一般来说，银行、保险、公共管理部门具有较长的数据保质期和系统生命周期，可能在2025年之前就会面临风险；生命科学类具有较长数据生命周期和较短系统生命周期的行业，以及先进产业、全球能源和材料等具有较短数据保质期和较长系统生命周期的行业可能在2025年至2030年开始面临风险，而电信、媒体、信息技术、旅行、物流、消费类电子产品等行业具有较短的数据保质期和系统生命周期，可能在2030年之后才会面临风险。目前，全球已有众多国家关注未来量子攻击对网络安全的潜在威胁，也已采取必要的行动和相关部署以应对此威胁。PQC涉及到密码体系的建立，即标准化的建立，因此，越来越多的国际参与者加入到研究中，但在激烈的竞争中，也体现出各国应对潜在信息安全危机的态度。

投资者对信息安全行业和量子计算行业的兴趣不断增加是市场扩张的主要原因。目前，PQC全球最具实力的市场参与者主要分布在北美和欧洲，例如，北美的公司有Google（美国）、IBM（美国）、Microsoft（美国）、PQSecure（美国）、Cisco（美国）、Envieta（美国）、ISARA（加拿大）、Quantropi（加拿大）等，欧洲的公司有PQShield（英国）、Infineon（德国）、Thales（法国）、CrypotoNext（法国）、Gemalto（荷兰，2019年被Thales收购）等。这些公司是提供芯片设计、数字信息安全和量子安全综合解决方案这三大类服务的科技企业。此外，还有一些顶尖大学和研究院所参与PQC研究，例如，慕尼黑工业大学（德国）、佛罗里达大西洋大学（美国）、清华大学（中国）。

图3 全球后量子密码学市场的主要参与者在NIST公布的7个决赛方案中，有5个为格密码，这说明当前格密码占据较大的优势，是未来最有望标准化的算法。表6NIST公布的第三轮决赛方案来源：光子盒研究院目前，第三轮已经进入尾声，但一些算法仍需进一步研究，NIST第四轮会议讨论是否还有其他算法需要标准化，预计最终标准将在2024年前公布。2.美国将抗量子算法纳入国家安全备忘录2022年1月，美国总统签署了关于提高国家安全、国防部和情报社区系统网络安全的备忘录（Memorandum on Improving the Cybersecurity of National Security, Department of Defense, and Intelligence Community Systems）[14]，该文件是国家安全机构在当前的联邦网络安全计划中，首个特别提到抗量子算法（Quantum Resistant Algorithms）的文件，并指示美国国家安全局应当向公司首席信息官发布任何与“后量子协议以及必要时计划使用后量子密码”相关的文件。2022年5月，美国总统又签署了关于促进美国在量子计算领域的领导地位同时降低易受攻击的密码系统风险的国家安全备忘录（National Security Memorandum on Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems），该文件启动了联邦政府与私营部门之间的合作，指示NIST在国家网络安全卓越中心建立一个“后量子密码技术迁移项目”，并与业界建立一个开放的工作组，对量子弹性密码标准和技术进行研究。

同时，该备忘录为联邦机构设定更新密码系统的要求，考虑到完全过渡到抗量子加密标准过程复杂性以及时间等成本，备忘录中提供了IT系统建设路线图，帮助联邦机构有效保护网络[15]。3.后量子迁移受到美国政府重视，并发布过渡路线图2021年8月，国家标准技术研究院国家网络安全卓越中心（NIST NCCoE）正式启动PQC迁移工程。2021年10月，DHS与NIST合作发布了应对量子技术风险的路线图[16]，旨在帮助企业保护其数据和系统，降低量子技术发展相关的风险。

图5 DHS&NIST合作发布“应对量子技术风险的路线图”来源：Preparing for Post-Quantum Cryptography: Infographic、光子盒研究院4.国家科学基金会为包括后量子安全在内的下一代技术投资NSF将投资超过3700万美元用于下一代网络和计算机系统的学术研究[16]。例如，耶鲁大学[17]和卡内基梅隆大学[18]研究的“后量子密码学的硬件体系结构”，以及PQSECURE的“资源受限设备中的后量子加密”[19]获得了NSF的补助金。佛罗里达大西洋大学研究的“大规模系统的后量子密码学”和“智能手持嵌入式设备上的抗量子算法的设计、实现和分析”[20]获得了NSF的资金支持。

5.美国科技巨头已开展PQC研究及应用测试Microsoft（微软）、Google（谷歌）、IBM是美国乃至全球信息科技巨头，以下为这三家公司开展的PQC相关研究情况：微软参与了FrodoKEM、SIKE、Picnic、qTESLA这四个用于签名和密钥交互的PQC项目的研究，PQC库的开发和安全协议集成也是其重点投入的工作。此外，微软还发布了基于格密码库（LatticeCrypto）和项目PQCrypto-VPN，并在OpenVPN中实现了PQC算法，可在VPN中测试PQC算法的功能和性能。微软研究院与许多科技公司、大学以及研究机构进行后量子密码学合作，共同开发了Supersingular Isogeny Key Encapsulation（SIKE）密钥交换协议的后量子密钥封装机制。此外，微软研究院与许多科技公司、大学以及研究机构进行合作，共同开发了qTESLA后量子数字签名方案，其安全性基于带错误的决策环学习（R-LWE）问题的硬度。

谷歌于2016年宣布涉足PQC，在Chrome浏览器的Canary测试版本中使用名为New Hope的后量子密钥交换算法的实验。开展后量子密码技术的测试活动，开始应用基于环上带误差学习问题密钥交换协议“新希望”。2019年1月，谷歌宣布将部署一种新的TLS密钥交换方法，称为CECPQ2（组合椭圆曲线和后量子密钥交换）。

2019年6月，谷歌和Cloudflare合作探索PQC如何在实践中击败HTTPS连接。此外，谷歌母公司Alphabet剥离出来的量子技术开发部门成立了初创公司SandboxAQ，其主要研究目标之一是创建后量子密码系统和相关的隐私增强技术。IBM Research于2019年联合一些大学开发了新的量子安全算法，作为CRYSTALS格密码学套件的一部分，该算法已开源，并将其提交给NIST进行标准化。同年，IBM已在IBM TS1160磁带驱动器原型上成功测试了CRYSTALS，该原型使用Kyber和Dilithium并结合对称AES-256加密，以实现世界上第一个量子计算安全磁带驱动器。

2022年4月，IBM发布首个量子安全系统—IBMz16，该系统基于格密码理论来研发并优化加密算法和数字签名技术。英国后量子加密产品及技术服务需求显现，相关企业已展开测试及应用PQShield公司在2022年1月获得2000万美元的A轮融资。公司目前产品有PQSoC（嵌入式设备的后量子加密硬件）、PQSlib（嵌入式设备的后量子加密固件）、PQSDK（用于移动喝服务器技术的加密SDK）、PQE2E（消息平台喝应用程序的加密解决方案），面对的市场主要为关键基础设施、物联网、OEM行业。

Post-Quantum Solution公司自2009年进行PQC相关深入研发，公司目前产品为PQ Chat、Hybrid PQ VPN、Nomidio Identity，针对的主要行业有银行与金融服务、国防与国家安全、关键国家基础设施。2022年，北约网络安全中心（NCSC）使用了Post-Quantum提供的虚拟专用网络（VPN）进行了安全通信流的测试。中国1.中国涉足PQC研究，并参与NIST的PQC算法征集中国目前开。