📚 课程目录第4章量子计算威胁模型

4、量子计算威胁模型：Shor算法如何破解RSA和ECC，Grover算法对对称密码的影响，量子比特与门模型简介

好，我们进入第四讲。说实话，这一章是整个课程里最「烧脑」的一节，但也是你理解「为什么要迁移到PQC」的根本原因。

很多工程师问我：「量子计算机到底什么时候能造出来？我现在就要改代码吗？」我的回答是：你不需要等那台机器造出来，你现在就得理解它的攻击逻辑。因为一旦它造出来，你的签名方案就全废了。

这一章，我会带你拆解三个核心问题：

别怕，我不讲薛定谔的猫，只讲你写代码时用得上的东西。

先聊点基础。经典比特只有0或1，对吧？量子比特（qubit）可以同时是0和1——这叫「叠加态」。你想想看，一个比特能同时表示两种状态，两个比特就能同时表示四种状态。指数级增长。

我刚开始学量子计算时，也觉得这玩意儿玄乎。后来我把它理解成「并行计算的终极形态」。经典计算机一次只能走一条路，量子计算机一次走所有路。

量子门呢？就是操作量子比特的指令。比如：

这些门组合起来，就能构造出量子算法。说白了，量子程序就是一堆量子门的有序排列。

我的经验： 别纠结量子门的数学细节。你只需要记住：量子门是可逆的，经典门（比如AND）不可逆。这个区别决定了量子计算能解决某些经典计算解决不了的问题。

好，重头戏来了。Shor算法为什么能破解RSA？

RSA的安全性基于大整数分解。给你一个2048位的数，让你找出两个质因数。经典计算机要算到宇宙毁灭。但Shor算法可以在多项式时间内搞定。

核心思路是这样的：

我在一个内部安全评估项目中，曾经模拟过Shor算法对1024位RSA的攻击。虽然只是模拟，但看到那个周期被准确找出来的时候，我后背发凉。因为这意味着，一旦量子计算机达到几千个逻辑量子比特，RSA-2048就是一张纸。

ECC呢？ECC的安全性基于椭圆曲线离散对数问题。Shor算法同样可以破解——它只需要把离散对数问题也转化成周期查找问题。说白了，ECC在Shor面前和RSA一样脆弱。

  关键结论： Shor算法对RSA和ECC的攻击是「多项式时间」的。这意味着，只要量子计算机造出来，RSA-2048和ECC-256的破解时间就从「亿万年」变成「几分钟」。

我建议你记住这个表格：

密码方案	安全基础	经典破解复杂度	Shor破解复杂度	是否安全
RSA-2048	大整数分解	亚指数级	多项式级	❌ 不安全
ECC-256	椭圆曲线离散对数	指数级	多项式级	❌ 不安全
DSA	离散对数	指数级	多项式级	❌ 不安全

说完非对称，再聊对称密码。Grover算法对AES的影响，和Shor完全不同。

Grover算法解决的是「无序数据库搜索」问题。说白了，给你一个黑盒函数，找出满足条件的输入。经典算法需要尝试N次，Grover只需要√N次。

应用到对称密码上：

所以，业界共识是：对称密码只需要把密钥长度翻倍，就能抵抗Grover攻击。AES-256目前被认为是量子安全的。

注意： 别以为Grover只影响密钥搜索。它对哈希函数的碰撞查找也有影响——把安全强度从n位降到n/2位。所以，SHA-256在量子环境下只有128位的碰撞安全性。

我曾经帮一个客户做固件签名方案评估，他们还在用AES-128做MAC。我说：「你们这个方案，量子计算机一出来，密钥搜索复杂度只有2^64，用FPGA都能暴力破解。」他们后来改成了AES-256-GCM。

为了让你更直观地理解，我画了一张威胁模型对比图。它展示了不同密码原语在量子攻击下的命运。

好了，理论讲完了。咱们回到IoT固件签名这个具体场景。

你现在的固件签名流程，大概率是这样的：

在量子威胁模型下：

我曾经踩过的坑： 有个项目用了ECDSA-P256做固件签名，我当时觉得「256位够安全了」。后来做量子威胁评估时才发现，P256在Shor面前和没有一样。那批设备已经部署了，只能做OTA升级更换签名方案。折腾了三个月。所以，现在做新设计，我直接上PQC候选算法。

这一章信息量不小。我帮你总结三个必须记住的点：