后量子密码
“量子”课程第 21 课，共 23 课。免费，有动画和小测验。
旧硬件上的新数学
对付 Q-Day 的主要药方并不是量子的。后量子密码（PQC）是给普通电脑和手机用的新算法。它们建立在肖尔算法、以及任何已知量子算法都解不了的问题上：在高维格里找点、哈希的性质、纠错码。别把它和光纤上的“量子加密”（QKD）搞混：那个要专用硬件，而 PQC 只是一次软件更新。
NIST 标准
从 2016 年起，美国标准机构 NIST 举办了一场公开竞赛：全世界的密码学家提交算法，再花好几年互相攻击。确实有候选者倒下了。2024 年 8 月 13 日，三个标准发布：用于密钥交换的 FIPS 203（ML-KEM），以及用于签名的 FIPS 204（ML-DSA）和 FIPS 205（SLH-DSA）。2025 年 3 月又加入了 HQC，作为基于另一种数学的备份，以防格密码出问题。为什么要备份？历史教训：2022 年，候选算法 SIKE 在一台普通电脑的单个核心上大约一小时就被攻破了。
你已经在用后量子密码
好消息：迁移已经在进行，你甚至没察觉。Signal 在 2023 年加入了后量子密钥交换 PQXDH，苹果 2024 年在 iMessage 里启用了 PQ3 协议，Chrome 从 2024 年起通过 HTTPS 连网站时默认使用 ML-KEM。几乎都是混合方案：旧算法和新算法一起工作。想破解连接，得两个都攻破。新算法要是被找到漏洞，旧的还能顶住，反过来也一样。
为什么急：莫斯卡法则
既然量子破解机还没出现，急什么？密码学家米歇尔·莫斯卡提出了一个简单检验：x 是你的数据需要保密多少年；y 是迁移到新算法要多少年；z 是多少年后会出现量子破解机。如果 x + y 大于 z，你已经晚了：攻击者今天录下加密流量，以后再解密。病历、国家机密、私人通信都要保密几十年，而一家大公司的迁移轻松就要 5–10 年。
截止时间
监管机构已经定了时间表。NIST 在 IR 8547 草案（2024 年 11 月）中提出：2030 年后弃用 RSA 和椭圆曲线，2035 年后禁用。美国国家安全局的 CNSA 2.0 计划要求新系统从 2027 年起支持后量子算法，所有国家安全系统在 2035 年前完成全面迁移。欧盟希望各国在 2026 年底前出台国家计划，2030 年前保护好关键基础设施，2035 年前完成其余部分。对企业来说只意味着一件事：会把系统迁到 PQC 的人会非常抢手。
迁移的代价
天下没有免费的午餐。后量子的密钥和签名明显更大。比特币里一个 Schnorr 或 ECDSA 签名约 64–72 字节，ML-DSA 是 2420 字节，最保守的哈希方案 SLH-DSA 接近 8 KB。对网站来说感觉不到，对区块链却很疼：每个签名都占区块空间，于是手续费上涨或吞吐量下降。这就是比特币和以太坊社区为选哪种方案争论这么久的原因。第二个痛点是盘点：很多公司根本不知道自己哪里在用旧密码。
自测一下
- 什么是后量子密码？
正确答案: 给普通电脑用、能抵御量子攻击的新算法. PQC 是软件：同样的手机和服务器跑新数学。正因如此才能大规模部署。 - 为什么要在量子破解机出现之前就迁移到 PQC？
正确答案: 数据现在被偷、以后解密，而且迁移本身要好几年. 莫斯卡法则：x + y > z 就已经晚了。“先收集，后解密”让威胁今天就成真。 - 为什么后量子签名对区块链不是免费的？
正确答案: 签名大几十倍，每个区块都要占空间. ML-DSA 是 2420 字节，Schnorr/ECDSA 约 64–72 字节。每块数据更多，手续费就更高或吞吐更低。