美国NIST寻找抵御量子计算机攻击的新算法，

或于2024年完成方案标准化

在我们使用互联网服务时，加密算法可以保护数据安全，保护我们的隐私和信息的传输。但许多专家担心，量子计算机有一天可能会破坏目前的加密算法，让我们容易受到黑客的攻击。而且这些量子计算机可能比许多人想象的更早出现。这就是为什么人们正在设计新型算法又叫抗量子算法（后量子密码），以对抗我们所能想象到的、最强大的量子计算机。那么，这些算法能做什么？加密算法将可读的数据变成一种秘密的、不可读的形式，这样它们就可以在开放的互联网上安全地共享。这些算法被用来保护所有类型的数字通信，比如网站的流量和电子邮件的内容，并且它们对于网络上的基本隐私、信任和安全是必要的。目前有几种被广泛使用的标准密码算法，包括对称密钥算法和公钥算法。

对称密钥加密属于人们常规认知里的加密方式。它允许使用同一个“密钥”对数据和消息进行加密，这样任何没有密钥的人就无法解开它们。它通常用于保护存储在数据库或硬盘中的敏感数据。如果底层数据是加密的，即使是储存用户敏感信息的数据库出现数据泄露，事情也不会变得很糟糕——黑客可能会得到加密的数据，但没有办法读取它。公钥算法也很重要。它们有助于解决对称密钥加密的基本缺点，那就是用户首先需要一种安全的方式来共享对称密钥。公钥算法以两个密钥为一组，一个由接收方保存起来，另一个被公开。任何人都可以使用公钥来加密数据，但只有接收方才能使用私钥来解密。这种方法可以用于传输对称密钥，甚至可以反向用于数字签名——因为私钥对接收方来说是唯一的，接收方可以使用它们来验证身份。为什么这些算法需要具有“量子抗性”？原因在于，加密算法能够实现数据的加密，因为它们在数学上被证明是难以破解的。

一台现代计算机需要数万亿年的时间才能暴力破解一组加密密钥。但在 20 世纪 90 年代，量子计算机被认真讨论之前，数学家彼得·肖尔（Peter Shor）就发现，如果理论上存在一台量子计算机，那么其工作方式碰巧与破解公钥加密所用的数学特别相近。虽然当时还没有量子计算机，但其他数学家能够证明，肖尔的算法在理论上可以被量子计算机用来破解公钥加密。现在人们普遍认为，一旦一台具有足够处理能力的量子计算机问世，我们今天所依赖的公钥加密算法就很容易破解。美国国家标准与技术研究所（NIST，National Institute of Standards and Technology）预测，能够做到这一点的量子计算机可能会在 10 到 20 年内出现。幸运的是，对称密钥的加密方法没有危险，因为它们的工作方式非常不同，而且可以通过改变密钥的长度来增强保护——除非数学家也能想出一种方法，可以用量子计算机来执行并打破该加密方法。但如果未来公钥加密算法也无法免受量子计算机的攻击，那就意味着我们需要新的算法。如果量子计算机打破目前的加密技术，会有什么影响？这是一件很糟糕的事。如果公钥加密突然被破坏且没有替代方案，数字安全将面临严重威胁。例如，网站使用公钥加密来维持安全的互联网连接，因此通过网站发送敏感信息将不再是安全的。加密货币还依赖于公钥加密来保护其背后的区块链技术，因此其账本上的数据将不再值得信赖。还有人担心，黑客可能会囤积高度敏感的政府或情报数据——这些他们目前无法破译，但以后可以用量子计算机进行解密。

那么，抗量子算法的研究进展如何？在美国，NIST 一直在寻找能够抵御量子计算机攻击的新算法。该机构从 2016 年开始接受公开方案提交，到目前为止，这些方案已经缩小到四套种子方案和三套备用方案。这些新算法使用的技术可以抵抗来自使用肖尔算法的量子计算机的攻击。项目负责人达斯汀·穆迪（Dustin Moody）表示，NIST 正计划在 2024 年完成四套种子方案的标准化，其中包括指导方针的制定，以确保新算法被正确和安全地使用。其余三种备用算法标准化的工作预计将于 2028 年展开。新标准的审核工作主要落在来自大学和研究机构的数学家和密码学家身上。

他们提交了后量子密码方案的建议，并寻找攻击它们的方法。他们通过发表论文来分享自己的发现，并在大家提出的不同攻击方法上继续深入研究。通过这种方式，他们慢慢地淘汰了那些被成功攻击或在算法中存在明显弱点的方案。我们目前所用的加密标准，也经历了一个类似的筛选过程。然而，这并不能保证一种新型的、更聪明的量子攻击，甚至是传统攻击，总有一天会打破这些新算法。密码学家托马斯·德克鲁（Thomas Decru）说：“你不可能证明它（算法）是不可能被打破的——数学算法的不存在很难被证明。但是如果某个算法经受住了密码学世界的时间考验，对它的信任就会增加。”

发布日期：2023年2月27日

来源： DeepTech深科技