后量子后AI时代的網絡安全

现代利用数学来加密的方式，大抵是利用陷门单向函数（trapdoor one-way function）的特性来实施。

陷门单向函数是一种双向计算难度差异巨大的函数。譬如将2个质数p和q相乘，得到一数N，这只是简单的乘法；但若要从N回复成p和q，就牵涉到质因数分解（prime factorization）问题，工夫就大了，除非事先知道p或q其中一个数目。

计算简单的方向，就是加密—计算简单，所以不会造成太大负担；计算繁复的方向，就是要造成解密的困难，除非持有金钥才能解密。

在上面质数相乘的例子，基本上就是口令学（cryptography）中公钥基础设施（Public Key Infrastructure；PKI）的基础原理：N是公钥，而p或q是私钥。整个演算法叫RSA（Rivest, Shamir, Adleman），是用来传送金钥的手段；而所传送的金钥，则用来加密或解密信息，最常用的标准是AES（Advanced Encryption Standard）演算法。

利用陷门单向函数的计算难度差异是近代口令学保护信息的重要手段。

不幸的是这些加密手段开始变成網安通讯标准不久后，立即面临可能的威胁。RSA在1977年提出、1991订为规范；AES在1998年提出、2001年成为美国国家标准暨技术研究院（National Institute of Standard and Technology；NIST）的标准。

但是在1994年，Shor’s algorithm被公开了，这个量子演算法可以破解质因数分解问题—也就是RSA的核心屏障。相较于经典演算法，这个量子演算法有指数型加速（exponential speedup）的优势；对于椭圆曲线口令学（elliptic curve cryptography）以及离散对数口令学（discrete logarithm cryptography），Shor’s algorithm也有同样的威胁。

1996年Grover’s algorithm接著发表—这个日期甚至早于AES被订为加密标准的2001年，而Grover’s algorithm对于AES的加密标准方法也有威胁：相对于经典的暴力破解（brute-force cracking），Grover’s algorithm有二次方加速（quadratic speedup）。Grover’s algorithm还对其他的加密学工具譬如HASH演算法—这可是比特币常使用的演算法之一—也构成威胁。

总体而言，Grover’s algorithm对加密的破坏力没那么大。譬如用量子计算机来破解AES-256加密的密文，其难度大约比以传统计算机暴力破解AES-128稍高。如果再考虑用量子计算机的额外负担（overhead），所得的计算加速极为有限。

之所以在RSA、AES的标准前后即有可以威胁其安全的量子演算法问世而仍持续采用其为标准，最重要的原因是可以执行量子演算法的通用容误量子计算机（Fault Tolerant Quantum Computer；FTQC）当时离成熟时间尚远。

现在FTQC逐渐成熟，已有多家公司宣布在2028年左右开始量产100个以上逻辑量子位元（logical qubits；经纠错、可以实际用于量子计算的量子位元）的FTQC，所以在加密标准及系统上也开始备战了。

NIST于2024年完成后量子加密（Post-Quantum Cryptography；PQC）标准的制定。2026年美国政府发布行政命令（Executive Order 14412）“Secure the Nation Against Advanced Cryptography Attacks”，要求某些高价值资产在2030、2031年逐次完成PQC迁移，并于2035年完成完整的PQC部署，这已比之前的预期稍早。

美国目前PQC的数学演算法标准为模塊格基（Module Lattice-based；ML），应用涵盖金钥封装机制（Key Encapsulation Mechanism；KEM）和电子签章演算法（Digital Signature Algorithm；DSA）等加密环节。ML之所以被认为安全，是因为目前没有已知的量子演算法可以破解它。

为了加强加密标准的韧性，NIST还提出汉明准循环码（Hamming Quasi-Cyclic；HQC）作为备用标准，以备在ML已无法作为安全加密机制时，HQC可作为备用方案。这是加密敏捷性（crypto-agility；系统能在不同加密方法之间迅速切换）在加密标准方面的实践。

在后量子、后AI的资通安全的短期方案大概率是ML-KEM、AES-256和ML-DSA的组合。

有既定的标准及备援方案，也有既定的时程及架构方案，但仍有令人担忧之处。

第一个是大家熟悉的先录后破解（Harvest Now, Decrypt Later；HNDL）方法：即使现在无法破解加密，仍可以先复制密文，等待未来有能力破解时再动手。对于时效性不太强的數據，这个威胁已经开始倒计时。

第二个问题来自于低估FTQC进展。虽然目前宣布能够在2028年商业量产FTQC的公司其逻辑位元元数大致在100~200之间，这与破解RSA需要的约1,400~4,000逻辑量子位元相差甚远，但是有些类型的量子位元，譬如中性原子（neutral atoms）或光子（photons），在规模化（scaleup；就是扩充量子计算机的量子位数）方面预期的障碍并不高。这迫使通讯系统PQC的部署必须提前，2035年才全面部署可能太晚了。

最后的變量来自于AI的进展速度。目前几乎所有对于未来的规划都基于目前对已知量子演算法的了解，但是AI对于数学解决问题能力的急速上升对于这些理解提出高度的质疑，特别是在Open AI于10月一口气提出对于372个久悬未解的数学问题提出答案之后。

PQC所采用的ML以及备用的HQC演算法是否有量子演算法—甚或经典演算法—可以轻易破解呢？

陷门单向函数的口令学体系在AI数学能力快速兴起之后面临的威胁愈来愈大，即使找到暂时的解决方案，其安全期也不会很长。以硬件及物理方式的加密，例如硬件信任根验证（hardware-rooted authentication）以及量子通讯，部署得愈早愈好。