2. PQC核心算法选型：基于格的密码学在设备注册中的适用性分析
设备注册这个环节，说白了就是设备第一次跟服务器打招呼、证明自己身份的过程。这个过程中涉及密钥生成、签名、加密等多个密码操作。选什么算法，直接决定了注册流程的顺畅程度和安全水位。
我个人习惯把算法选型分成三步走：先看功能匹配度，再看性能开销，最后评估迁移风险。基于格的密码学，目前NIST标准化的Kyber和Dilithium，正好覆盖了加密和签名两大核心需求。
2.1 Kyber：设备注册中的密钥封装担当
Kyber是一种基于格的密钥封装机制（KEM）。它的核心任务很简单：让设备和服务器安全地协商出一个共享密钥。在设备注册场景里，这个共享密钥用来加密后续的通信内容。
我建议重点关注Kyber的三个特性：
- 安全性有保障：Kyber基于Module-LWE问题，目前没有已知的有效量子攻击。NIST将其选为最终标准，说明经过了充分的密码分析。
- 密钥和密文尺寸适中：Kyber-512的公钥约800字节，密文约768字节。相比传统RSA-2048的256字节公钥确实大了不少，但在物联网设备上还能接受。
- 计算效率不错：Kyber的核心操作是多项式乘法和数论变换（NTT），在ARM Cortex-M4这类嵌入式芯片上，一次密钥封装大概需要几十万周期。
实际项目中的体会： 我在一个智能门锁项目里试过Kyber-512。门锁的主控是ESP32，240MHz主频。一次完整的密钥生成+封装+解封装，总共耗时约12ms。这个延迟在注册阶段完全可以接受，用户基本感觉不到。
不过要注意，Kyber的密钥和密文尺寸比传统算法大。你想想看，如果一个网关要同时处理上千个设备的注册请求，网络带宽和存储压力就会上来。嗯，这里要提前做好容量规划。
2.2 Dilithium：设备身份签名的量子安全卫士
设备注册时，服务器需要验证设备的身份。传统做法是用ECDSA或RSA签名。迁移到PQC后，Dilithium是目前最成熟的替代方案。
Dilithium也是基于格的签名算法，它的特点我总结了一下：
| 参数 | Dilithium-2 | Dilithium-3 | Dilithium-5 |
|---|---|---|---|
| 安全等级 | NIST Level 2 | NIST Level 3 | NIST Level 5 |
| 公钥大小 | 1,312 字节 | 1,952 字节 | 2,592 字节 |
| 签名大小 | 2,420 字节 | 3,293 字节 | 4,595 字节 |
| 签名速度（参考） | 约 0.1ms | 约 0.2ms | 约 0.3ms |
从表格可以看出，Dilithium-2在安全性和性能之间取得了不错的平衡。我个人建议，对于大多数设备注册场景，选Dilithium-2就够了。除非你的设备处理的是金融或政务等高安全等级数据。
避坑指南： 我曾经在一个项目中直接选了Dilithium-5，觉得越安全越好。结果发现设备的Flash空间不够存储签名公钥和签名结果。后来改回Dilithium-2，安全等级够用，存储压力也降下来了。所以选型时一定要先看硬件规格。
2.3 性能与安全的权衡：没有银弹
做PQC迁移，最头疼的就是性能和安全怎么平衡。我直接说结论：没有完美的算法，只有适合场景的选型。
在设备注册环节，我建议从以下几个维度做权衡：
- 注册频率：如果设备只注册一次，那算法慢一点没关系。如果设备频繁重新注册（比如移动设备），那就要优先考虑计算速度。
- 网络带宽：Kyber和Dilithium的密钥/签名尺寸都比传统算法大。在低带宽网络（如LoRa、NB-IoT）中，传输开销可能成为瓶颈。
- 硬件资源：MCU的Flash、RAM、CPU主频直接决定了能跑哪个安全等级的算法。我见过一些低端MCU连Kyber-512的RAM需求都满足不了。
- 安全生命周期：设备计划用5年还是10年？如果长期使用，建议选高一个安全等级，预留未来攻击的余量。
重要提醒： 不要为了追求极致性能而使用未经标准化的“轻量级”格密码变种。我在一个项目中见过团队自己魔改了一个“简化版Kyber”，结果被密码分析专家发现存在安全漏洞。老老实实用NIST标准化的算法，这是最稳妥的做法。
2.4 知识体系总览
下面这张图梳理了基于格密码在设备注册中的核心逻辑。你可以把它当作选型时的参考框架。
这张图的核心逻辑是：从设备注册的需求出发，拆解出密钥协商和身份签名两个功能，然后分别对应Kyber和Dilithium。选型时综合考虑安全等级、计算性能、网络开销和硬件限制，最终确定具体的参数组合。
2.5 我的选型建议
说了这么多，直接给结论吧。如果你现在要做一个设备注册的PQC迁移，我建议这样选：
- 默认组合：Kyber-512 + Dilithium-2。这个组合适合大多数物联网设备，安全等级够用，性能开销可控。
- 高安全场景：Kyber-768 + Dilithium-3。适合金融、医疗、政务等对安全要求极高的场景。
- 资源受限设备：Kyber-512 + Dilithium-2，但要注意优化实现。比如使用硬件加速NTT，或者预计算部分密钥材料。
一个小技巧： 我在项目中习惯先做一轮性能摸底测试。拿真实的设备硬件跑一遍Kyber和Dilithium的基准测试，记录CPU周期、内存峰值、Flash占用。有了这些数据，选型就变得很直观了。别光看论文里的理论数据，实际跑一遍最靠谱。
最后说一句，算法选型不是一锤子买卖。随着NIST后续可能推出新的格密码变种，或者硬件能力的提升，你的选型策略也要动态调整。保持关注，持续优化，这才是PQC迁移的正确姿势。