0引言量子計(jì)算給傳統(tǒng)公鑰密碼體系帶來了極大沖擊，抗量子密碼 (Post-QuantumCryptography,PQC)系統(tǒng)遷移工作勢在必行。國際上，美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NationalInsandTechnology,NIST)已經(jīng)進(jìn)行了多輪PQC標(biāo)準(zhǔn)化工作。我國也正1.1量子計(jì)算對密碼系統(tǒng)的威脅勢。以肖爾(Shor)算法(多項(xiàng)式時(shí)間破解大整數(shù)分解與離散對數(shù)問題)為代表的量子算法，已對現(xiàn)行公鑰密碼體系的安全性根基構(gòu)成系統(tǒng)性威脅。而格羅弗(Grover)算法(二次加速無結(jié)構(gòu)化搜索問題)則對對稱加密密鑰搜索等場景產(chǎn)生影響。2025年5月，美國谷歌通過算法優(yōu)化和糾錯(cuò)技術(shù)改進(jìn)，提出在特定硬件假設(shè)下，采用不足100萬個(gè)含噪量子比特的量子計(jì)算機(jī)，可在不到一周時(shí)間破解2048位LeonardAdleman名字首字母縮寫而成)加密密鑰1。盡管此結(jié)果依NIST在2016年正式啟動(dòng)了PQC標(biāo)準(zhǔn)化項(xiàng)目。2022年7月，NIST正式宣布首批標(biāo)準(zhǔn)化的4種抗量子密碼算法，包括公鑰加密/密鑰交換算法Crystals-Kyber和數(shù)字簽名算法布了3份抗量子密碼算法標(biāo)準(zhǔn)：FIPS203,基于模格的密鑰封裝機(jī)制標(biāo)準(zhǔn)，對應(yīng)Crystals-Kyber方案3;FIPS204,基于模格的數(shù)字簽名標(biāo)準(zhǔn)，對應(yīng)Crystals-Dilithium方案4;FIPS205,基于哈希的無狀態(tài)數(shù)字簽名標(biāo)準(zhǔn)，對應(yīng)Sphincs+方案⑤。表1展示了4種算法在行代表對應(yīng)算法的密鑰生成時(shí)間，Enc/Sign行代表對應(yīng)算法的密鑰封裝時(shí)間或簽名時(shí)間，Dec/Verify行代表對應(yīng)算法的密鑰解封裝時(shí)間或驗(yàn)簽時(shí)間，所有算法運(yùn)行時(shí)間單位均為時(shí)鐘周期cycle;sk行代表對應(yīng)算法的私鑰大小，pk行代表對應(yīng)算法的公鑰大小，ct/sig代表對應(yīng)算法的密文大小或簽名大小，所有參數(shù)大小的單位均為字節(jié)byte)。比名稱格密碼體系自20世紀(jì)90年代提出后，已經(jīng)過學(xué)術(shù)界多年的分析和完善。在NIST標(biāo)準(zhǔn)化征集的主要技術(shù)路線(即基于格、編碼、哈希、多變量、同源的密碼方案)中，格密碼在計(jì)算性能、參數(shù)大小、成熟度以及功能性等方面綜合表現(xiàn)最優(yōu)。因此，在NIST確定的第一1.3NIST新的簽名標(biāo)準(zhǔn)征集2022年7月，NIST在入圍第3輪的公鑰加密/密鑰交換算法中選取了3種基于編碼的密碼方案位翻轉(zhuǎn)密鑰封裝(Bit-flippingKeyQuasi-Cyclic,HQC)和1種基于同源的密碼方案超奇異同源密鑰封一步開展第4輪標(biāo)準(zhǔn)化評估。2022年9月，NIST發(fā)起了額外的簽名方案征集流程，并于2023年7月從提交的50種候選算法方案中選取了40種作為進(jìn)入第一輪標(biāo)準(zhǔn)化評估的方案，包括基于編碼、格、模[7]。2024年10月，NIST針對進(jìn)入額外簽名方案征集的40種候選方案宣布了評估結(jié)果，14種方案進(jìn)入了第二輪的評估，其中2種基于編碼、1種基于格、5種基于模擬多方計(jì)算、4種基于多變量、1種基于對稱密碼、1種基于同源7。2025年3月，針對第4輪標(biāo)準(zhǔn)化評估的化8。在第4輪標(biāo)準(zhǔn)化評估的過程中，基于同源的密碼方案SIKE被再被考慮作為標(biāo)準(zhǔn)化候選方案；3種基于編碼的密碼方案McEliece、的密文大小顯著小于HQC和BIKE,但M密文大小大約是HQC的30%~70%,但BIKE的解封裝和密鑰生成的效率大約比HQC慢5~6倍8。表2展示了3種算法在128bit安全性下的性能參數(shù)對比情況。其中，KeyGen行代表對應(yīng)算法的密鑰生成時(shí)鑰解封裝時(shí)間，所有算法運(yùn)行時(shí)間單位均為時(shí)鐘周期Cycl表2NIST第4輪入選的抗量子密碼算法運(yùn)行效率和參數(shù)大小對比NIST未選取McEliece標(biāo)準(zhǔn)化的原因主要在于其密鑰生成速度太標(biāo)準(zhǔn)化，這可能導(dǎo)致標(biāo)準(zhǔn)不兼容的問題。對于HQC和BIKE的選擇，NIST認(rèn)為HQC方案中解密失敗概率評估技術(shù)比BIKE更成熟，這對于方案的安全性分析至關(guān)重要，因此最終選擇HQC作為標(biāo)準(zhǔn)化的方案。加速PQC的使用，NIST于2024年11月發(fā)布了PQC遷移報(bào)告9。密碼自2016年NIST啟動(dòng)抗量子密鑰封裝機(jī)制(KeyEncapsulation2.1PQC研究進(jìn)展隨著NIST正式發(fā)布PQC算法標(biāo)準(zhǔn)，且后續(xù)持續(xù)發(fā)布抗量子遷移重視PQC技術(shù)能力的發(fā)展布局。2025年2月，我國商用密碼標(biāo)準(zhǔn)研試點(diǎn)階段，尚未形成大規(guī)模商用落地項(xiàng)目，這也導(dǎo)致抗量子產(chǎn)品相對于商用密碼硬件產(chǎn)品單價(jià)普遍更高。2.2PQC遷移重點(diǎn)行業(yè)抗量子項(xiàng)目剛需行業(yè)具備關(guān)鍵基礎(chǔ)設(shè)施、提供公共服務(wù)、大量內(nèi)外部數(shù)據(jù)交互三大特征。目前，抗量子遷移已經(jīng)在金融、能源和交通行業(yè)開展小規(guī)模試點(diǎn)，未來的高潛需求行業(yè)為通信、電力、醫(yī)療、黨政軍等。在金融行業(yè)，中國人民銀行要求逐步完成非核心的生產(chǎn)系統(tǒng)到核心的生產(chǎn)系統(tǒng)替換，并需要指定檢測機(jī)構(gòu)出具系統(tǒng)抗量子遷移評估報(bào)告，目前華夏銀行等已經(jīng)開始遷移試點(diǎn)；在能源交通行業(yè)，現(xiàn)有落地項(xiàng)目主要為能源、交通等大型央國企“出?！表?xiàng)目，在數(shù)據(jù)跨境流通場景，數(shù)據(jù)更容易受到“先收集、后攻擊”的囤積攻擊，需要提前布局抗量子保護(hù)數(shù)據(jù)出境安全；在通信行業(yè)，正在探索PQC算法與城域網(wǎng)、骨干網(wǎng)等通信網(wǎng)的融合研究；在電力行業(yè)，目前國家電網(wǎng)有限公司等均在進(jìn)行抗量子遷移的研究，探索對調(diào)度、輸變電、高壓監(jiān)測等業(yè)務(wù)系統(tǒng)進(jìn)行抗量子遷移；在醫(yī)療行業(yè)，正在探索對電子病例等系統(tǒng)進(jìn)行抗量子遷移；在黨政軍行業(yè)，由于對內(nèi)部政務(wù)信息保密性、安全性要求高，更偏重使用國產(chǎn)密碼算法。目前，國產(chǎn)密碼標(biāo)準(zhǔn)處于征集階段，因此相關(guān)抗量子應(yīng)用正處于研究和課題階段。2.3PQC遷移重點(diǎn)企業(yè)法標(biāo)準(zhǔn)還在制訂中，因此保持觀望和期待。從產(chǎn)業(yè)界來看，2024年之前只有極少數(shù)企業(yè)自發(fā)投入PQC技術(shù)的研究，2024年間也只有少量企業(yè)完成了基于NIST標(biāo)準(zhǔn)的PQC產(chǎn)品的集成發(fā)布，大部分企業(yè)預(yù)計(jì)會(huì)在2025年陸續(xù)跟進(jìn)。從調(diào)研結(jié)果來看，目前進(jìn)行PQC產(chǎn)品試點(diǎn)的主要廠商包括格爾軟件股份有限公司(簡稱“格爾軟件”)、三未信安科技股份有限公司(簡稱“三未信安”)、華為技術(shù)有限公司(簡稱“華為”)等。格爾軟件自2018年開始布局PQC相關(guān)的技術(shù)研究和儲(chǔ)備，沿著份有限公司、九州量子信息技術(shù)股份有限公司等廠商進(jìn)行了IPSec技術(shù)，形成了支持平滑過渡、敏捷遷移的PQC產(chǎn)品體系。2024年6技術(shù)作為研究重點(diǎn)，從技術(shù)研究邁向產(chǎn)品實(shí)現(xiàn)。發(fā)布了《2024抗量子密碼技術(shù)與應(yīng)用白皮書》,基于主流抗量子算法構(gòu)建了涵蓋PQC芯座。2025年4月，華為聯(lián)合北京數(shù)字認(rèn)證股份有限公司發(fā)布“鯤密”軟件定義密碼方案。該方案通過密碼敏捷性(CryptoAgility)實(shí)現(xiàn)2.4我國運(yùn)營商對PQC的研究和探索發(fā)了QKD、PQC和傳統(tǒng)光通信的融合傳輸設(shè)備，并發(fā)布抗