随着技术的演进，我们大多数人已将信任寄托于在线交易，并将敏感信息存储于云端。然而，任何置于万维网上的内容都面临被黑客攻击的风险。网络犯罪分子时刻伺机而动，追踪毫无防备的企业并强行突破其未授权访问的防线。虽然已有防护措施就位，但它们是否足够？我们每年仍会听闻大量数据泄露事件。任何此类事件都代价高昂，包括信任流失、销售损失、诉讼、严厉处罚以及监管机构的罚款。量子计算的出现将提供更具公信力的安全层，并阻止黑客获取你的敏感数据。
量子计算如何用于密码学
量子计算曾被寄望于像超级计算机一样运作，并解决一些与网络安全相关的复杂挑战。近来，量子计算取得了推动力，Google 与 IBM 走在前列——IBM 推出了 IBM Q System One，一台基于线路的量子计算机。相关流程不断更新，工程师与科学家致力于改进计算方法并使其跨多个行业得到应用。量子计算可利用量子对象的特性，使计算运行得非常快。传统计算方法基于数字 0 和 1 的二进制门。
网络安全实践主要依赖公钥密码学与加密技术，所用数学算法难以被轻易破解。据 DigiCert 的研究，约 71% 的受访者表示，他们意识到量子计算在未来将构成风险。当大型量子计算机建成时，便可能影响密码学中使用的算法。借助一种称为“非结构化量子搜索（unstructured quantum search）”的算法，量子计算机能够在短时间内攻破公钥系统。
量子密码学算法可应用于各类场景——无论是科学还是商业。密码学中仅有少数领域能够处理量子力学技术，即密钥分发（Key Distribution）与随机数生成（Random Number Generation）。
随机数生成
我们周围发生的大多数事件并非随机，若有合适的数据便可以预测。然而你是否知道，量子过程在真正意义上是随机的？无论你的算力多强，都无法预测其取值会是何种。诸多敏感信息必须通过密码学过程加以保护。随机过程用于生成密码，而软件过程的效能并不容易论证。未来将逐渐出现多种借助量子力学（如放射性衰变与量子隧穿）生成随机密码的方式。
密钥分发
一种安全的通信方式是生成一对公钥与私钥。发送方与接收方可以登记这对密钥，并向证书颁发机构（Certification Authority）登记公钥。证书颁发机构为公钥创建证书并分发给接收方，随后双方需要将自己的私钥与对方的公钥匹配，以保护通信。
公钥密码学是保护密码的有用方式，网络犯罪分子几乎不可能利用可用的公钥获取私钥。不过，研究人员仍在寻找更好的替代方案。
什么是量子密码学
让我们先理解什么是密码学。它是一组将明文转换为密文的过程，只有持有密钥的授权人员才能解锁并解读。量子密码学遵循一组与量子力学相关的流程，使得除预期的信息接收者之外，无人能够理解其内容。这一现象的特性在于它无法在不知情的情况下被中断，这源于量子理论的多重态。你需要一台高性能计算机来协助数据的加密与解密。
量子计算机的使用并非没有风险，因为它可以解密非对称与对称密钥。量子计算机最初的目标是攻击非对称加密——其采用两把密钥，接收方使用匹配密钥解密信息；而对称加密机制仅使用一把密钥，这使其用于通信时不够安全，但反过来也更难被攻破。然而，使用对称密钥意味着每多一位都需要翻倍的工作量，因此你可能需要更大的密钥。不过，量子计算机仍能缩短密钥串的长度。虽然更长的密钥适合作为首要防御机制，但对称加密仍是另一种选择；在量子计算模型中，信息的基本单位是量子比特（qubit）。
量子密码学同样基于海森堡不确定性原理（Heisenberg Uncertainty Principle）。该原理指出，粒子的位置与动量无法被同时精确测定。随着时间推移，该原理已被推广到包含多种被称为共轭变量的配对。通俗地说，你对其中一个变量了解得越精确，对另一个变量的不确定度就越高。
什么是后量子密码学
在技术持续寻找更优算法以确保密码学万无一失的过程中，对现有算法的改进研究从未停歇。事实证明，量子计算能够迅速破解 2048 位 RSA 系统——这正凸显了后量子密码学算法的价值！它们被认为对量子计算机更具抵抗力，预计所采用的复杂函数即便 Shor 算法也无法破解。
必须牢记，新算法必须与当前运行的协议（如 TLS）保持同步，同时还需考虑签名与加密密钥的大小、加密与解密通信消息所需的时间，以及验证签名等所需的时间，流量规模也是重要因素。
目前，研究人员正基于先进的数学模型开发算法，以强化公钥基础设施（PKI）抵御未来量子攻击的能力。这种紧迫性源于一个预期：量子计算机终将破解当下被认为安全的算法。挑战在于，后量子密码学往往需要更大的密钥并产生更大的签名，从而影响性能。与此同时，“现在窃取、日后解密（Harvest Now, Decrypt Later）”的威胁，凸显了为何这些工作刻不容缓——攻击者可能已经在囤积加密数据，等待量子解密成为可能时加以利用。
虽然量子计算可能还需数年，但升级现有算法的工作已经启动。如今，政府与私营企业的系统可能运行数十年，因此改进密码学算法的需求极为巨大。引领研究的机构之一便是美国国家标准与技术研究院（NIST），他们正在筛选未来可用的算法。但专家认为，距其成熟仍有数年之遥。
现有先进函数包括基于格的密码学（lattice-based cryptography）与超奇异同源密钥交换（supersingular isogeny key exchange）。基于格的密码学利用格等数学结构，可创建多种密码学工具与方案；超奇异同源密钥交换也称为超奇异同源 Diffie-Hellman 密钥交换（SIDH），是一种让互不了解的双方能在不安全信道上建立密钥的算法。SIDH 在 128 位量子安全级别下使用 2688 位公钥，也是体积最小的方案之一！
后量子密码学算法的标准化
NIST 与众多其他组织正致力于公钥加密与密钥协商算法的标准化。NIST 正在研究无状态的抗量子签名。一旦新算法完成标准化，便会被标注到各类安全协议中。NIST 目前正处于为后量子密码学算法遴选标准的过程中。2019 年，NIST 选定了 26 个颇具前景的算法进行评估与测试，并计划到 2022 年确定最终方案并公开发布以征求意见。
开始准备的最佳方式是：确保当前与未来的所有系统都具备“密码学敏捷性（cryptographic agility）”——即能够轻松重新配置以加入抗量子算法。
——Brian LaMacchia，微软研究院安全与密码学组负责人
IETF 密码学论坛已标准化两种基于哈希的算法，即 XMSS 与 LMS，它们可作为固件更新的候选方案。
后量子算法的类型
基于格（Lattices）：这是被研究最多也最灵活的方案，可支持数字签名与密钥交换，并具备复杂加密模型的能力。其基础建立在线性代数之上，尽管安全证明与优化需要复杂的数学过程。在考虑纳入 NIST 标准的各类基于格的算法中，Kyber 是一种密钥封装机制（KEM），利用代数数论以获得更优性能；Dilithium 则是一种基于数字签名的方案，性能表现非常出色。
同源（Isogenies）：同源将 Diffie-Hellman 类型协议作为椭圆曲线密码学的一部分。同源是一种将一个椭圆曲线变换为另一个椭圆曲线的函数，第一个曲线的群结构会反映在第二个曲线上，类似于一种带有附加结构的群同态，该结构处理各曲线的几何特性。其密钥是一条同源链，而公钥则是曲线本身。
量子密钥分发的优势
量子密钥分发（QKD，Quantum Key Distribution）是量子密码学的一个实例。它使用光子而非通常的比特来传输信息。实体可利用光子“无法被克隆或以任何方式改变”的属性，从而保障双方交换的信息安全。
QKD 利用量子力学原理确保通信安全，不给任何未授权访问留下机会。QKD 原理势必在高敏感度信息交换中发挥作用，且通信实体必须位于固定地点，这意味着它将主要应用于政府、军事与金融服务等对敏感信息交换需求巨大的行业。
QKD 具备一项特性：若有任何未授权的窃听企图，光子将改变其状态，密钥随之失效，从而向双方发出告警。因此，QKD 提供了一条安全的通信信道，它使用一次性密码本（OTP，One-Time Pad）加密，所提供的密钥长度与待加密数据等长，且只能使用一次。
后量子密码学（PQC，Post Quantum Cryptography）则可用于对系统成本与移动性要求极高的标准商业场景，它能够复用当前网络所采用的相同硬件基础设施。PQC 的风险在于，任何新算法都存在被强行攻破的微小可能，但其市场依然庞大。据 Inside Quantum Technology 的报告，到 2029 年其市场规模将达到 95 亿美元。
总结
每天尝试的网络攻击数量显著增长，成功的数据泄露数量似乎也未见下降。研究表明，各类实体需要尽可能保持警惕。关于如何改进现有密码学算法的研究从未停止，而 Peter Shor 发表论文证明量子计算机能够破解当前使用的加密算法之后，风险更是成倍增加。令我们稍感安慰的，正是对改进现有算法所做的研究。
在寻求先进算法的同时，我们也必须识别最易遭受网络攻击的领域并尝试封堵漏洞。用于数字签名、并负责初始 SSL/TLS 握手的密码学算法亟需被重点关注。就目前而言，对称算法对量子计算机的攻击仍具抵抗力。