公鑰密碼技術(shù)發(fā)展史上的又一個重要的里程碑

2020年7月22日是公鑰密碼技術(shù)發(fā)展史上的又一個重要的里程碑，美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)公布了進入第三輪評審的七種后量子時代公鑰密碼算法，引起了國際密碼學(xué)界的高度關(guān)注[1]。

公鑰密碼目前是足夠安全的，但是量子計算機的進步和傳統(tǒng)電子計算機的飛速發(fā)展對公鑰密碼的未來安全投下了陰影。為了確?；ヂ?lián)網(wǎng)的長治久安，不斷完善和提高公鑰密碼的安全性，未雨綢繆作好充分的準(zhǔn)備，這已經(jīng)成了通信密碼學(xué)界的共識。

從2012年起，NIST啟動后量子時代密碼(PQC)項目，成立了包括12個密碼專家的項目成員組。表一展示了NIST推動PQC標(biāo)準(zhǔn)化的時間表。

到2017年11月30日截止日期前，NIST共收到各種后量子時代公鑰密碼算法82項，其中59項有關(guān)密鑰分發(fā)/加密解密，23項有關(guān)身份認(rèn)證/電子簽名。這些算法分別來自美國16個州和世界六大洲共25個國家。其中共有69種候選算法同時滿足最低驗收標(biāo)準(zhǔn)和提交要求，被正式列入第一輪審核程序。

第一輪評審持續(xù)到2019年1月，在此期間對候選算法的安全性、效率和其他特性進行了深入的評估，然后NIST選擇了26種算法進入第二輪評審。接著在公眾反饋和內(nèi)部反復(fù)的測試評估的基礎(chǔ)上，通過大浪淘沙，有15種算法脫颕而出進入第三輪評審。這15種獲勝的算法被分成兩組，其中的7種入圍決賽，另8種將作為候補算法。詳見圖一。

決賽入圍的密碼算法很有可能在第三輪評審結(jié)束后立即進行標(biāo)準(zhǔn)化。由于CRYSTALS-KYBER，NTRU和SABRE都是基于格理論的密碼算法，因此NIST打算選擇其中的一種作為密鑰分發(fā)的最后標(biāo)準(zhǔn)。對于數(shù)字簽名方案也會在CRYSTALS-DILITHIUM和FALCON中二選其一。由此看來，基于格理論的密碼算法似乎是用于公鑰加密、密鑰分發(fā)(KEM)和數(shù)字簽名方案的最有前途的通用算法[2]。

NIST這次設(shè)立候補小組頗具創(chuàng)意。在下一輪評估后，某種候補算法有可能彎道超車，被選為最后的標(biāo)準(zhǔn)算法。另外，某些運營效率較差的候補算法也有可能因為其高安全性而被推薦給特定客戶，以満足某些應(yīng)用場景的特殊需求。

接下來的第三輪評審預(yù)計將持續(xù)12至18個月。在這個攻堅階段中，NIST希望密碼界同仁們能對候選方案作出更深入的評估。NIST 特別強調(diào)，評審的重點除了密碼算法的安全性以外，必須把算法抗側(cè)道攻擊的能力，算法與互聯(lián)網(wǎng)協(xié)議的兼容，以及算法在各種硬件設(shè)備上運行的效率作為評價的重要依據(jù)。

NIST計劃在2021年春季或夏季主辦第三次PQC標(biāo)準(zhǔn)化會議。希望在2022年初在最后勝出的算法中選定幾個實施標(biāo)準(zhǔn)化，因此第三輪將作為PQC標(biāo)準(zhǔn)化第一階段的最后一輪評審。

下面談?wù)勎覍QC發(fā)展策略的幾點體會。

1)君子引而不發(fā)，躍如也

近年來，NIST主導(dǎo)下的后量子時代公鑰密碼標(biāo)準(zhǔn)化過程一直在緊鑼密鼓地進行中，在新冠疫情引發(fā)的全球性災(zāi)難中，PQC標(biāo)準(zhǔn)化依舊按照原定的時間表有條不紊地向前推進。但是NIST也反復(fù)強調(diào)，如果評審過程中有新的技術(shù)突破或其它不確定因素出現(xiàn)，PQC標(biāo)準(zhǔn)化進度會隨時作出調(diào)整，不排除增加新一輪(第四輪)評審的可能。

量子計算機對公鑰密碼安全畢竟沒有現(xiàn)實的威脅，所以完全沒有必要急于固化技術(shù)匆忙推出產(chǎn)品；但同時又保持高度的警惕，不斷研發(fā)、測試并掌握多種新的抗量子攻擊的密碼算法，一旦面臨威脅立刻可以把研究成果產(chǎn)品化并投入實用。文武之道、一張一弛，NIST在推進PQC標(biāo)準(zhǔn)化的過程中始終保持著良好的節(jié)奏感。

老家蘇州有句俗語：不要船還沒翻就跳進河里去。為了互聯(lián)網(wǎng)的長治久安，密碼安全的研發(fā)必須時刻準(zhǔn)備著，但千萬不要操之過急自亂陣腳。君子引而不發(fā)，躍如也。這才是真正謀長遠(yuǎn)、做大局的正確決策。

2）具有現(xiàn)實感的理想主義者

一種技術(shù)的優(yōu)劣是由該技術(shù)的多項性能共同決定的，因此技術(shù)評審時，在選取考核的各項性能和確定它們的權(quán)重時必須統(tǒng)籌兼顧有全局觀念。評估密碼算法的核心標(biāo)準(zhǔn)是安全性，這毫無疑問，但是NIST又把密碼算法的運行效率、與互聯(lián)網(wǎng)的兼容性等作為評估的重要標(biāo)準(zhǔn)，這是十分明智的做法。技術(shù)評審不是選美，不是挑花架子出來做秀。評審的最終目的是挑選最實用的技術(shù)以滿足市場的需求，這就注定了必須從使用者的角度出發(fā)，把技術(shù)的可行性、易用性放在十分重要的位置。

另外，在指定技術(shù)性能的標(biāo)準(zhǔn)時，也必須科學(xué)合理、實事求是。NIST在整個評審過程中從來也沒有提出過“無條件絕對安全”這類不合理的要求。因為“無條件絕對安全”的要求不僅很難實現(xiàn)，而且為了這個目標(biāo)一定會付出難以承受的代價，在工程界的詞典中它從來就不存在。

從更長遠(yuǎn)的角度來看，任何技術(shù)都需要更新和完善，公鑰密碼技術(shù)當(dāng)然也不例外。但是更新后的系統(tǒng)必須與互聯(lián)網(wǎng)的總體框架協(xié)調(diào)，升級換代的過程也要穩(wěn)步有序地推進。密碼系統(tǒng)牽動整個互聯(lián)網(wǎng)的生態(tài)環(huán)境，這是一個比操作系統(tǒng)更為龐大復(fù)雜的生態(tài)系統(tǒng)，對于這種牽一發(fā)而動全身的技術(shù)更新，千萬不能異想天開、草率行事。

一個優(yōu)秀的工程師應(yīng)該是具有現(xiàn)實感的理想主義者。只有理想不顧現(xiàn)實，就會走向極端導(dǎo)致失??；反之，只有現(xiàn)實而沒有理想，則難以脫穎而出邁向優(yōu)秀。一個優(yōu)秀的工程師就是不斷地在理想和現(xiàn)實之間尋求妥協(xié)、保持平衡。

3）以多元化應(yīng)付不確定的未來

NIST在多輪評審中，在淘汰一些密碼算法時保持了高度的克制，在推出本輪候選算法時特地安排了一個包括8種密碼算法的后備梯隊。NIST為了保留抗量子密碼算法的多樣性上可謂是煞費可心。

評審后量子時代公鑰密碼是為了應(yīng)對未來信息安全的挑戰(zhàn)，而未來是高度不確定的，信息安全領(lǐng)域更是技術(shù)對抗博弈的戰(zhàn)場，需要面對的問題高度復(fù)雜和不確定。技術(shù)多樣性是應(yīng)付高度復(fù)雜且不確定的未來的唯一選擇，地球上生物能夠綿延數(shù)億年靠的就是多樣性，這里面的道理是相通的。

后量子密碼技術(shù)PQC是以數(shù)學(xué)為基礎(chǔ)的軟件技術(shù)，軟件技術(shù)可以讓多種密碼算法共存于一個系統(tǒng)之中，這使用過程中可以方便地更新和切換，所以PQC其實是對抗后量子時代高度不確定環(huán)境的唯一途徑。

關(guān)于公鑰密碼的升級換代，存在兩條絕然不同的技術(shù)路線：主流路線是IETF推出TLS1.3，NIST規(guī)劃用十年的時間制定后量子時代密碼的新標(biāo)準(zhǔn)；另一條路線是中國開建量子密碼干線工程，這兩種路線形成鮮明的對比，世界主流路線PQC是漸進、開放和合作的路線，釆用的是以數(shù)學(xué)原理為基礎(chǔ)的軟件技術(shù)；而中國的QKD相反采取了激進、封閉的路線，釆用的是以物理原理為基礎(chǔ)的硬件技術(shù)。究竟哪條路線能更有效地確?；ヂ?lián)網(wǎng)未來的安全呢？我覺得都不用查看內(nèi)容，單從思維層面上來看，高下立見。

當(dāng)然，中國密碼界不乏有識之士，我的母校復(fù)旦大學(xué)和上海交大在PQC的學(xué)術(shù)研究領(lǐng)域都有高水準(zhǔn)的成果。但是科硏的資源和媒體的燈光全都聚焦在中科大的量子通信項目上，所以對PQC的進展就鮮有人知。

近期量子通信的宣傳基調(diào)也作了調(diào)整，反復(fù)強調(diào)QKD不會取代傳統(tǒng)密碼，而是要與傳統(tǒng)密碼合作，特別提到要攜手PQC共同對抗量子計算機威脅。但問題是PQC有完整的解決方案，它完全不需要QKD，有關(guān)PQC的所有國際會議和海量資料中對QKD沒有只字片語，這就是明證。量子通信想要牽手PQC恐怕只能是一廂情愿的單相思罷了。