NIST宣布后量子密碼學標準

J. Wang/NIST and Shutterstock

如今，互聯網上幾乎所有的數據，包括銀行交易、醫療記錄和安全聊天，都受到一種名為RSA（以其創建者Rivest、Shamir和Adleman的名字命名，https://spectrum.ieee.org/rsa-flaw-found）的加密方案的保護。這個方案基于一個簡單的事實——即使在世界上最強大的超級計算機上，也幾乎不可能在合理的時間內計算出一個大數的質因數。然而，如果是大型量子計算機，就會發現這項任務輕而易舉（https://spectrum.ieee.org/encryptionbusting-quantum-computer-practices-factoring-in-scalable-fiveatom-experiment），從而破壞了整個互聯網的安全性。

幸運的是，量子計算機只在一類特定的問題上比經典計算機好，而且有很多加密方案量子計算機沒有任何優勢。近日，美國國家標準與技術研究所（NIST）宣布了三種后量子密碼加密方案的標準化（https://csrc.nist.gov/News/2024/postquantum-cryptography-fips-approved）。有了這些標準，NIST鼓勵計算機系統管理員盡快開始向后量子安全過渡。

這些標準很可能成為互聯網未來的一個重要組成部分。NIST密碼學小組負責人Lily Chen表示，NIST在20世紀70年代制定的先前密碼學標準幾乎用于所有設備，包括互聯網路由器、手機和筆記本電腦。但大規模采用不會在一夜之間發生（https://spectrum.ieee.org/post-quantum-cryptography-2667758178）。

Chen說：“如今，公鑰密碼學在每個設備中都得到了廣泛的應用?，F在我們的任務是替換每個設備中的協議，這不是一件容易的事?！?/p>

大多數專家認為，大規模量子計算機至少還要十年才能建成。那么，為什么NIST現在對此感到擔憂呢？主要有兩個原因。

首先，許多使用RSA安全的設備，如汽車和一些物聯網設備，預計將繼續使用至少十年（https://spectrum.ieee.org/quantum-computing-skeptics）。因此，在投入使用之前，它們需要配備量子安全密碼學。

其次，如今，“邪惡的人”可能會下載和存儲加密數據，并在足夠大的量子計算機上線后解密。這個概念被稱為“harvest now, decrypt later”，就其性質而言，它現在對敏感數據構成威脅，即使這些數據只能在未來被破解。

NXP Semiconductors司首席安全架構師兼密碼學家Joost Renes表示，各行各業的安全專家開始認真對待量子計算機的威脅。“早在2017年、2018年，人們就會問‘什么是量子計算機？’”Renes說，“現在，他們在問‘PQC標準什么時候出臺，我們應該實施哪一個？’”

LGT Financial Services公司首席技術官Richard Marty對此表示贊同?！皩ξ覀儊碚f，不能只是等待，看看會發生什么。我們希望盡快做好準備并實施解決方案。”

NIST早在2016年就宣布了最佳PQC算法的公開競爭（https://csrc.nist.gov/projects/post-quantum-cryptography）。他們收到了來自25個不同國家的82份參賽作品。從那時起，NIST已經經歷了4輪淘汰，最終在2022年減少到4種算法（https://spectrum.ieee.org/post-quantum-cryptography-nist）。

這個漫長的過程是一個全社區的努力，NIST聽取了加密研究界、行業和政府利益相關者的意見。NIST的Chen表示：“工業界提供了非常有價值的反饋?！?/p>

這四種獲勝的算法有著聽起來很激烈的名字：CRYSTALS-Kyber，CRYSTALS-Dilithium，Sphincs+，和FALCON。遺憾的是，這些名字沒有通過標準化：這些算法現在被稱為聯邦信息處理標準（FIPS）203至206。FIPS 203、204和205是NIST近日發布的重點。FIPS 206，即以前稱為FALCON的算法，預計將于2024年底標準化。

每種加密協議都基于一個數學問題，這個問題很難解決，但一旦你有了正確的答案，就很容易檢查。對于RSA，它將大數分解為兩個素數——很難弄清楚這兩個素數是什么（對于經典計算機），但一旦你有了一個素數，就可以直接除法得到另一個素數。

NIST已經標準化的三種方案中有兩種，FIPS 203和FIPS 204（以及即將推出的FIPS 206），都是基于另一個難題，即格密碼學（https://spectrum.ieee.org/post-quantum-cryptography-2667758178）。格密碼學依賴于在一組數字中找到最低公倍數的棘手問題。通常，這是在許多維度上或在晶格上實現的，其中最小公倍數是向量。

第三個標準化方案FIPS 205基于哈希函數（https://en.wikipedia.org/wiki/Cryptographic_hash_function），換句話說，將消息轉換為難以反轉的加密字符串

這些標準包括加密算法的計算機代碼、如何實現它的說明以及預期用途。每種協議都有三個安全級別，旨在在算法中發現一些弱點或漏洞的情況下，對標準進行未來驗證。

今年早些時候，arXiv上發布的一份預印本震驚了PQC社區（https://eprint.iacr.org/2024/555.pdf）。這篇論文由清華大學的Yilei Chen撰寫，聲稱表明基于格的密碼學是NIST三種協議中兩種協議的基礎，實際上并不能免受量子攻擊。經過進一步檢查，Yilei Chen的論點被證明有一個缺陷——晶格密碼學仍然被認為可以抵御量子攻擊。

一方面，這一事件突顯了所有加密方案的核心問題：沒有證據表明這些方案所基于的任何數學問題實際上都是“困難的”。唯一的證據，即使是標準的RSA算法，也是人們長期以來一直試圖破解加密，但都失敗了。由于包括晶格密碼術在內的后量子密碼術標準更新了，因此不太確定沒有人會找到破解它們的方法。

也就是說，這次最新嘗試的失敗只是建立在算法的可信度之上。該論文論點中的缺陷在一周內被發現，這表明有一個活躍的專家社區在研究這個問題。NIST的Lily Chen（與清華大學的Yilei Chen無關）說：“這篇論文的結果是無效的，這意味著基于格的密碼學的譜系仍然是安全的。人們一直在努力打破這種算法。很多人都在努力，他們非常努力，這實際上給了我們信心。”

NIST的公告令人興奮，但將所有設備過渡到新標準的工作才剛剛開始。要完全保護世界免受未來量子計算機的威脅，需要時間和金錢。

LGT Financial Services公司的Marty說：“我們花了18個月的時間進行過渡，花了大約50萬美元。我們有一些[PQC]的例子，但對于完整的過渡，我不能給你一個數字，但有很多事情要做?！?/p>