28、后量子密码硬件与嵌入式系统

后量子密码硬件与嵌入式系统

1. 引言

后量子密码学（PQC）主要研究能够抵御经典计算机和量子计算机攻击的密码系统。如今部署的几乎所有密码系统都能抵抗经典计算机的攻击，但面对大规模量子计算机更高效的攻击时却十分脆弱。虽然目前尚不清楚何时会出现足够强大的量子计算机，但据估计可能在数年到数十年之间。一旦大规模量子计算机问世，现有的公钥密码体制将被运用Shor算法分解离散对数的量子计算机破解，而对称密钥加密方案在运用Grover算法进行量子搜索的量子计算机面前，安全性将减半。

美国国家标准与技术研究院（NIST）自2016年启动PQC标准化项目，对后量子密码系统进行公开评估。目前该项目已进入第三轮评审，NIST基于安全性、成本和性能以及算法和实现特性，将标准化候选方案从69个“完整且合适”的候选方案缩减至15个。其中包括9种公钥加密（PKE）/密钥封装机制（KEMs）和6种数字签名方案。4种PKE/KEM和3种数字签名方案被列为“第三轮决赛入围者”，有望在第三轮结束时被标准化；其他候选方案则为“第三轮替代候选方案”，若要被标准化，NIST预计还会进行第四轮评估。尽管目前没有能直接替代现有椭圆曲线密码学（ECC）实现的方案，但这9种PKA/KEM方案在安全性、性能、公钥大小、实现规模和安全实现特性等方面各有优劣。

在不久的将来，抗量子的PKE/KEM方案应优先应用于数字基础设施，以防止恶意方存储加密流量，待量子计算机出现后破解私钥获取私密数据。而抗量子数字签名主要用于身份验证，由于追溯破解身份验证并非紧迫问题，这些方案只需在大规模量子计算机出现后启用即可。

本文主要关注算法的成本和性能指标，特别是硬件在加速关键计算方面的作用。NIST在评估候选算法时，将成本和性能视为