NIST三项后量子密码学标准详解

一、背景：为什么需要后量子密码学？

量子计算技术的快速发展，对现有加密体系构成了实质性威胁。当前广泛使用的RSA、椭圆曲线密码（ECC）等公钥加密算法，依赖于大整数分解、离散对数等传统计算机难以解决的数学难题。然而，一台功能足够强大的量子计算机将能够非常快速地筛选出这些问题的潜在解决方案，从而破解现有加密，威胁从电子邮件、医疗记录到国家安全信息的方方面面。
为应对这一挑战，美国国家标准与技术研究院（NIST）于2016年启动了后量子密码学（PQC）标准化项目，向全球密码学界征集能够同时抵御经典计算机和量子计算机攻击的算法方案。经过长达八年的多轮严格评审，NIST于2024年8月13日正式批准发布了首批三项后量子加密标准。

二、三项标准详解

三项标准分别为FIPS 203、FIPS 204和FIPS 205，各自服务于不同的加密场景。
1. FIPS 203：ML-KEM（通用加密标准）
全称：Module-Lattice-Based Key-Encapsulation Mechanism Standard（基于模块格的密钥封装机制标准）
来源算法：CRYSTALS-KYBER
核心功能：密钥封装机制（KEM），用于在双方通过公共信道通信时建立共享密钥。
应用场景：通用加密场景，包括安全网页访问（HTTPS）、电子邮件加密、电子商务交易等。
优势特点：
• 加密密钥相对较小，便于双方交换
• 运行速度快，适合需要快速加密操作的应用
• 被定位为通用加密的“主力标准”
2. FIPS 204：ML-DSA（数字签名标准）
全称：Module-Lattice-Based Digital Signature Standard（基于模块格的数字签名标准）
来源算法：CRYSTALS-Dilithium
核心功能：生成和验证数字签名，用于检测数据是否被未经授权修改，并验证签名者的身份。
应用场景：软件分发中的代码签名、身份认证系统、文件完整性校验等需要验证来源和完整性的场景。
优势特点：
• 被定位为数字签名的“主力标准”
• 在安全性和性能之间取得了良好平衡
• 适用于绝大多数需要数字签名的应用场景
3. FIPS 205：SLH-DSA（备用数字签名标准）
全称：Stateless Hash-Based Digital Signature Standard（无状态哈希基数字签名标准）
来源算法：SPHINCS+
核心功能：数字签名，功能上与ML-DSA相同，但基于完全不同的数学原理。
设计定位：作为ML-DSA的备份方案。如果ML-DSA所依赖的格密码体系在未来被发现存在漏洞，SLH-DSA可以提供备选的安全保障。
特点：
• 基于哈希函数，安全性假设更为保守
• 签名尺寸较大，生成时间较长，性能上不如ML-DSA
• 安全性更强，采用不同数学方法提供“纵深防御”

三、标准落地的重要意义

1. 即时可用，无需等待
NIST数学家Dustin Moody明确表示：“没有必要等待未来的标准，继续使用这三个标准。对于大多数应用来说，这些新标准是主要事件。”NIST鼓励系统管理员立即开始将新标准集成到系统中，因为完全集成需要时间。
2. 联邦强制，全球影响
这三项标准属于联邦信息处理标准（FIPS），对美国联邦系统具有强制性要求，同时被全球各组织广泛采用，为后量子加密和数字签名算法提供了一致的实现规范，确保安全互通的通信环境。
3. 持续演进，备份保障
NIST仍在继续评估其他算法方案，包括基于不同数学问题的通用加密算法（计划于2024年底前宣布选择）以及约15种进入下一轮评估的数字签名算法。未来的PQC标准将作为现有三项标准的备份，构建多层次的密码安全体系。

四、三项标准横向对比

FIPS 203（ML-KEM）：来源算法为CRYSTALS-KYBER，功能定位为密钥封装即通用加密，主要用途包括安全网站访问、邮件加密、电子商务交易。
FIPS 204（ML-DSA）：来源算法为CRYSTALS-Dilithium，功能定位为数字签名主力，主要用途包括代码签名、身份认证、文件完整性校验。
FIPS 205（SLH-DSA）：来源算法为SPHINCS+，功能定位为数字签名备用，主要用途为ML-DSA被攻破时的备选安全方案。
三项标准的发布标志着后量子密码学从理论研究迈入实际部署阶段。对于依赖密码技术保护数字资产的组织而言，尽早启动向PQC标准的迁移规划，是应对未来量子计算威胁的关键一步。