2. 后量子密码体系全景
后量子密码（Post-Quantum Cryptography, PQC）并不是某一种算法的名字，而是一组能够在经典计算机与量子计算机攻击模型下同时保持安全性的公钥密码方案集合。理解 PQC 体系，需要同时回答三个问题：标准由谁定义、算法建立在什么困难问题之上、以及这些算法在工程上如何取舍。本节围绕 NIST 标准化进程、五大技术路线、安全假设与性能特征、适用场景以及迁移选型的初步框架展开。
一、NIST PQC 标准化进程
NIST 于 2016 年发起后量子密码标准化征集，目标是选出可替代 RSA、ECDH、ECDSA 等经典公钥算法的量子安全方案。整个进程大致分为几个阶段：2017 年收到 82 份提交，2019 年公布第二轮候选，2020 年进入第三轮，2022 年 7 月公布首批入选算法，2024 年 8 月正式发布三项标准：FIPS 203（ML-KEM，基于 CRYSTALS-Kyber）、FIPS 204（ML-DSA，基于 CRYSTALS-Dilithium）、FIPS 205（SLH-DSA，基于 SPHINCS+）。此外，NIST 还在推进基于编码的 HQC 作为备用 KEM，并持续评估 Falcon 等签名方案的标准化。
这一进程的关键意义在于：PQC 不再是学术候选，而是有明确标准编号、参数集和实现要求的工程对象。迁移工作可以围绕 FIPS 203/204/205 展开，而不必在众多候选算法中反复摇摆。
二、五大技术路线及其安全假设
PQC 算法按底层困难问题可分为五类，每类都有不同的安全假设与工程特征。
- 基于格（Lattice-based）：安全假设包括 LWE（Learning With Errors）、SIS（Short Integer Solution）及其环/模块变体。代表算法有 Kyber（ML-KEM）、Dilithium（ML-DSA）、Falcon。优点是密钥和密文相对紧凑、运算速度快，是目前最主流路线；缺点是参数选择敏感，需关注格约减攻击的进展。
- 基于编码（Code-based）：安全假设是解码随机线性码的困难性，经典方案如 McEliece、Niederreiter，现代方案如 HQC。优点是安全假设经过长期检验；缺点是公钥体积大，McEliece 公钥可达数百 KB 至 MB 级。
- 基于多变量（Multivariate）：安全假设是求解多变量二次方程组（MQ 问题）的困难性，代表如 Rainbow（已被攻破）、GeMSS、UOV。优点是签名短、验证快；缺点是安全性分析复杂，历史上有多次被攻破记录，工程信任度较低。
- 基于哈希（Hash-based）：安全假设仅依赖哈希函数的抗碰撞/抗原像性，代表如 SPHINCS+（SLH-DSA）、XMSS、LMS。优点是安全假设最保守、最易理解；缺点是签名体积大、签名速度慢，适合作为高保障场景的签名方案。
- 基于同源（Isogeny-based）：安全假设是寻找同源映射的困难性，代表如 SIKE（已被攻破）、CSIDH。优点是密钥极短；缺点是计算开销大、安全性波动大，目前工程可用性有限。
三、性能特征与适用场景对比
不同路线在密钥/签名/密文体积、运算速度、安全保守程度上的差异，直接决定了它们的适用场景。下表给出典型量级的对比（数据为公开文献中的常见范围，仅作选型参考，具体以实现和参数集为准）。
| 路线 | 代表算法 | 公钥/密文体积 | 速度 | 典型用途 |
|---|---|---|---|---|
| 格 | ML-KEM、ML-DSA | KB 级 | 快 | 通用 KEM、数字签名 |
| 编码 | HQC、McEliece | KB～MB 级 | 中等 | 备用 KEM、长期保密 |
| 多变量 | UOV、GeMSS | KB 级 | 签名快 | 短签名场景 |
| 哈希 | SLH-DSA | KB～几十 KB | 慢 | 高保障签名、固件签名 |
| 同源 | CSIDH | 极小 | 慢 | 研究/特殊场景 |
从工程角度看，格路线在体积与速度之间取得了较好平衡，因此成为 NIST 首批标准的主力；哈希路线虽然慢且大，但安全假设最保守，适合对安全性要求极高、对性能不敏感的场景；编码路线适合作为 KEM 的备用方案；多变量和同源路线目前更多处于研究或补充地位。
四、迁移选型的初步框架
面对具体系统，迁移选型不能只看算法本身，还要结合协议位置、性能预算、合规要求和生命周期。一个可操作的初步框架如下：
- 识别密码资产：列出系统中所有使用公钥密码的位置，区分密钥交换、数字签名、证书、固件签名等用途。
- 评估量子风险时间窗：对需要长期保密的数据，优先迁移 KEM；对需要长期验证的签名，优先迁移签名算法。
- 匹配算法路线：通用场景优先选择 ML-KEM + ML-DSA；高保障签名可叠加 SLH-DSA；资源受限场景需评估密钥/签名体积是否可接受。
- 设计混合模式：在过渡期采用“经典 + PQC”混合密钥交换或混合签名，避免单一算法被攻破导致全盘失效。
- 验证与回退：在测试环境验证互操作性、性能和协议兼容性，并保留回退到经典算法的能力。
五、本节知识图谱
下图将 NIST 标准化进程、五大技术路线、安全假设与适用场景组织为一张关系图，便于快速定位每条路线的定位与取舍。
通过这张全景图可以看到，NIST 标准是迁移的锚点，五大路线各有其安全假设与工程取舍，而选型框架则把“算法特性”与“系统需求”连接起来。实际迁移时，建议以 ML-KEM 和 ML-DSA 作为默认起点，再根据体积、速度、合规和长期安全需求，决定是否引入 SLH-DSA 或 HQC 作为补充。