17、后量子密码学：NIST竞赛与算法分析

后量子密码学：NIST竞赛与算法分析

1. NIST安全强度分类

在NIST后量子竞赛中，所有提交的算法都需根据现有的抗量子对称密码和哈希函数，实现特定的保护强度。NIST安全级别数字越高，保护强度越强，具体分类如下表所示：
| NIST安全级别 | 等效安全性 | 量子抗性 |
| — | — | — |
| 1 | AES - 128 | 弱 |
| 2 | SHA - 256/SHA3 - 256 | 强 |
| 3 | AES - 192 | 更强 |
| 4 | SHA - 384/SHA3 - 384 | 非常强 |
| 5 | AES - 256 | 最强 |

NIST认为这五个级别都具有量子抗性，但安全级别1被描述为“在可预见的未来可能安全，除非量子计算机的发展速度超过预期”，相对较弱。因为使用Grover算法的量子计算机可将AES - 128的保护强度有效降低至64位。目前虽无公开已知的攻击能破解64位强度的AES，但未来出现此类攻击并非遥不可及。因此，许多密码专家认为勉强达到NIST安全级别1的密码实现并非真正的长期抗量子密码。不过，NIST认为它们目前是可接受的，并将其视为在时间和资源允许时过渡到更强大密码学的“桥梁”。

NIST认为安全级别2和3“在可预见的未来可能安全”，级别4和5“可能过度”。密码专家信任“可能过度”的抗量子密码，但性能和实现方面的考虑可能阻碍其当前部署。例如，许多当前的软件程序和设备默认使用AES - 128，尚无法使用AES - 256或更大的密钥。

大多数NIST竞赛的参赛者提交了满足NIST安全级别1、3和5的算法实现，多数跳过了级别2和4