后量子密码：如何筑牢量子时代的安全防线？

【导语】自NIST启动量子密码算法征集以来，全球标准化组织及企业纷纷投入后量子密码技术的研发与标准制定工作。随着研究的深入，NIST已公布多个已标准化及待标准化的后量子算法，相关标准研究与产品研发取得显著进展。本文将概述部分国际标准化组织及企业在后量子密码领域的最新动态，包括标准化进展、产业应用及未来展望，旨在为读者提供全面而精炼的行业洞察。

自NIST启动后量子密码算法征集以来，全球各标准化组织及众多参与企业先后开始进行相关标准研究制定和产品研发工作。随着后量子技术研究的不断深入，截止目前NIST已公布三个已标准化的后量子算法（ML-KEM、ML-DSA、SLH-DSA）及两个待标准化算法（Falcon、HQC），相关标准研究及产品研发也已取得诸多进展。本文将简要概述部分国际标准化组织及企业在后量子密码领域的最新进展。

1、后量子密码标准化进展

①互联网工程任务组（IETF）：IETF在后量子方面的工作重点在于开发制定能抵御量子计算机攻击的加密标准和协议。包括扩展现有的安全协议以支持后量子密码套件、后量子密钥交换机制、后量子数字签名和证书。2023年1月，IETF成立了“后量子使用协议”（PQUIP）工作组，并发布了《Post-Quantum Cryptography for Engineers》及《Terminology for Post-Quantum Traditional Hybrid Schemes》等多份文件，详细介绍了向后量子过渡的性能考虑因素、混合方法、安全分析、及传统和后量子混合方案相关的术语等内容，为工程师在系统中集成使用后量子算法提供参考。

②全球移动通信系统协会（GSMA）：GSMA于2022年9月成立了后量子电信网络（PQTN）工作组，旨在帮助制(zhì)定(dìng)政(zhèng)策(cè)、法规和运营商业务流程，以加强量子计算环境下对电信行业的安全保护。自PQTN工作组成立以来，发布了多份文件并多次组织举办电信行业后量子研讨会，为电信行业向后量子密码迁移提供建议。PQTN工作组发布的主要文件包括：《Post-Quantum Telco Network Impact Assessment Whitepaper》、《Guidelines for Quantum Risk Management for Telco》、《 Post-Quantum Cryptography–Guidelines for Telecom Use Cases》等，详细描述了量子计算技术对电信行业带来的安全问题及管理准则，为电信行业向(xiàng)后(hòu)量(liàng)子(zi)密(mì)码(mǎ)迁(qiān)移(yí)提(tí)供(gōng)建(jiàn)议(yì)。

③第(dì)三(sān)代(dài)合(hé)作(zuò)伙(huǒ)伴(bàn)计(jì)划(huà)（3GPP）：3GPP正(zhèng)持(chí)续(xù)跟(gēn)踪(zōng)NIST和(hé)IETF在(zài)抗(kàng)量(liàng)子(zi)算(suàn)法(fǎ)领(lǐng)域的(de)技(jì)术(shù)进(jìn)展(zhǎn)，并(bìng)计(jì)划(huà)与(yǔ)IETF等(děng)标(biāo)准(zhǔn)组(zǔ)织(zhī)协(xié)作(zuò)，探(tàn)讨(tǎo)在(zài)3GPP系(xì)统(tǒng)中(zhōng)部(bù)署(shǔ)NIST后(hòu)量(liàng)子(zi)密(mì)码(mǎ)算(suàn)法(fǎ)的(de)具(jù)体(tǐ)方(fāng)案(àn)。一(yī)方(fāng)面(miàn)，3GPP目(mù)前(qián)正(zhèng)在(zài)研(yán)究(jiū)采用(yòng)256位(wèi)对(duì)称(chēng)密(mì)码(mǎ)算(suàn)法(fǎ)，提(tí)高(gāo)通(tōng)信(xìn)网(wǎng)络(luò)的(de)安(ān)全性(xìng)，减(jiǎn)少(shǎo)128位(wèi)算(suàn)法(fǎ)可(kě)能(néng)出(chū)现(xiàn)的(de)任(rèn)何(hé)不(bù)可(kě)预(yù)见(jiàn)的(de)漏(lòu)洞(dòng)。另(lìng)一(yī)方(fāng)面(miàn)，3GPP在(zài)传(chuán)输(shū)层(céng)规(guī)范(fàn)中(zhōng)要(yào)求(qiú)使(shǐ)用(yòng)TLS和(hé)IPSec协(xié)议(yì)，并(bìng)适(shì)当(dāng)引(yǐn)用(yòng)了(le)IETF制(zhì)定(dìng)的(de)相(xiāng)关RFC标(biāo)准(zhǔn)。目(mù)前(qián)，IETF正(zhèng)在(zài)推(tuī)进(jìn)TLS协(xié)议(yì)RFC标(biāo)准(zhǔn)的(de)修(xiū)订(dìng)工(gōng)作(zuò)，旨(zhǐ)在(zài)纳(nà)入(rù)后(hòu)量(liàng)子(zi)密(mì)码(mǎ)学(xué)（PQC）兼(jiān)容(róng)算(suàn)法(fǎ)，IPSec和(hé)IKEv2协(xié)议(yì)的(de)RFC标(biāo)准(zhǔn)也(yě)计(jì)划(huà)通(tōng)过(guò)集成(chéng)PQC算(suàn)法(fǎ)进(jìn)行(xíng)增(zēng)强(qiáng)。待(dài)IETF发(fā)布(bù)更(gèng)新(xīn)后(hòu)的(de)RFC文档(dàng)，3GPP将(jiāng)启(qǐ)动(dòng)相(xiāng)关技(jì)术(shù)规(guī)范(fàn)的(de)研(yán)究(jiū)工(gōng)作(zuò)，评(píng)估(gū)将(jiāng)这(zhè)些(xiē)新(xīn)标(biāo)准(zhǔn)纳(nà)入(rù)3GPP体(tǐ)系(xì)的(de)可(kě)行(xíng)性(xìng)。

④国(guó)际(jì)标(biāo)准(zhǔn)化(huà)组(zǔ)织(zhī)（ISO）：ISO/IEC JTC1下(xià)的(de)SC27工(gōng)作(zuò)组(zǔ)负(fù)责(zé)信(xìn)息(xi)安(ān)全领(lǐng)域的(de)标(biāo)准(zhǔn)化(huà)工(gōng)作(zuò)。其(qí)中(zhōng)，WG2（信(xìn)息(xi)安(ān)全工(gōng)作(zuò)组(zǔ)）专(zhuān)门(mén)负(fù)责(zé)PQC相(xiāng)关研(yán)究(jiū)和(hé)标(biāo)准(zhǔn)制(zhì)定(dìng)。该(gāi)小(xiǎo)组(zǔ)在(zài)2015年(nián)启(qǐ)动(dòng)了(le)PQC调(diào)研(yán)工(gōng)作(zuò)，并(bìng)在(zài)2017年(nián)11月(yuè)的(de)柏(bǎi)林(lín)会(huì)议上决定终止调研期并启动常设文件（WG2/SD8）项目。该文件涵盖了PQC的多个方面，包括哈希签名、格基机制、编码机制、多变量机制和同构机制等。2022年10月，ISO/IEC启动了“在ISO/IEC标准中纳入PQC的关键封装机制”项目，旨在将NIST选择(zé)的(de)Kyber、Classic McEliece和(hé)FrodoKEM等(děng)算(suàn)法(fǎ)纳(nà)入(rù)其(qí)标(biāo)准(zhǔn)体(tǐ)系(xì)。ISO/IEC目(mù)前(qián)已(yǐ)经(jīng)发(fā)布(bù)了(le)多(duō)个(gè)与(yǔ)PQC相(xiāng)关的(de)标(biāo)准(zhǔn)草(cǎo)案(àn)，包(bāo)括(kuò)对(duì)现(xiàn)有(yǒu)公(gōng)钥(yào)加(jiā)密(mì)国(guó)际标准ISO/IEC 18033-2:2006/WD Amd 2的增补，以及涉及哈希基础的签名机制的ISO 14888-4标准，该标准涵盖了LMS、XMSS、HSS和XMSS-MT等算法。

2、后量子密码产业应用

①“本源悟空”：今年4月10日，我国第三代自主超导量子计算机“本源悟空”成功装备国内首个PQC“抗量子攻击护盾”——PQC混合加密方法。该PQC“抗量子攻击护盾”由我国自主研发，可以使“本源悟空”更好抵御其他量子计算机的攻击，确保运行数据安全。这也意味着中国自主超导量子计算机在量子计算领域可以“攻守兼备”。

②Windows操作系统：微软在Windows 11 Insider Preview Build 27863版本中首次引入了后量子算法，其利用下一代加密API向开发者开放后量子算法接口，用户可通过API调用ML-KEM和ML-DSA，且无需修改底层代码即可实现算法替换。该实现不仅覆盖操作系统内核，还扩展至BitLocker全盘加密、SSL/TLS连接等关键场景，形成端到端的量子安全防护链。加密库SymCrypt作为Windows系统底层安全基础设施的核心组件，已明确支持多套后量子密码算法，包括经NIST标准化的ML-KEM、ML-DSA等算法，以及XMSS与LMS算法。这一举措不仅升级了传统RSA和ECC加密体系，还通过混合加密模式平衡了新旧系统安全性，增强了操作系统在量子计算时代的数据传输安全、数字签名可靠性、身份验证机制以及证书安全体系。

③Chrome浏览器：谷歌最早在2023年起逐步推进对后量子密码算法的支持，初期通过Chrome 116版本引入X25519Kyber768混合密钥封装机制，该机制结合经典X25519椭圆曲线算法与Kyber-768抗量子算法(fǎ)，为(wèi)TLS 1.3和(hé)QUIC连(lián)接(jiē)提(tí)供量子攻击防护，并在Chrome 124版本默认启用此机制。随着NIST在2024年完成CRYSTALS-KYBER算法的标准化并更名为ML-KEM，Chrome在131版本中切换至ML-KEM，替代原有Kyber实现，此次升级导致TLS密钥交换代码点从0x6399变更为0x11EC，并停止对旧版Kyber的后向兼容。同时为缓解兼容性风险，Chrome在BoringSSL加(jiā)密(mì)库(kù)中(zhōng)实(shí)现ML-KEM，通过PostQuantumKeyAgreementEnabled企业(yè)策(cè)略(è)提(tí)供(gōng)过(guò)渡(dù)期(qī)配(pèi)置(zhì)选(xuǎn)项(xiàng)，允(yǔn)许(xǔ)服(fú)务(wu)器(qì)运(yùn)营(yíng)商(shāng)同(tóng)步(bù)更(gèng)新(xīn)基(jī)础(chǔ)设(shè)施(shī)以(yǐ)适(shì)配(pèi)新(xīn)算(suàn)法(fǎ)，避(bì)免(miǎn)因(yīn)算(suàn)法(fǎ)不(bù)兼(jiān)容(róng)导(dǎo)致的连接中断问题。

3、总结

随着后量子密码技术的不断发展，各标准组织与企业将快速推动标准化进程与产品迭代升级，进一步提升相关产品的安全性。而于运营商而言，应积极参与3GPP、GSMA等通信领域后量子相关标准的制定工作，掌握标准主动权。同时，为应对量子风险，尽快启动相关业务的量子安全评估，制定后量子迁移规划，确保其业务系统的安全性和稳定性。

作者：车珺、傅镜艺、陆鸣

单位：中国移动研究院