一顆定時炸彈正在滴答作響，但計時器上的數字卻在忽大忽小地不斷躍動著，一會兒能給你足夠的時間挽救大局，過一會兒卻變成連逃命都來不及。
這不是什么動作電影里的情景，而是量子計算對加密技術構成的奇怪威脅。計算能力即將出現的大幅躍遷會讓現有的一些加密系統徹底失效，但這種威脅究竟有多嚴重呢？如果量子計算要再過30年才會真正登上歷史舞臺，則完全無需恐慌。但如果它在10年內降臨，我們的數據就會遇到大麻煩。麻煩就在于，我們無法確切地預測量子計算會在何時普及。
要避免加密技術的大崩壞，我們就需要開發出新的公鑰生成方法。目前研究人員已經在努力。不過，我們還面臨著更多的阻礙，就是信息技術與生俱來的那些麻煩事——標準化和部署實施——外加源自那不可測的最后期限的壓力。所以我們才把這比喻成定時炸彈。
對于這種局面，一些安全和情報機構已經采取了動作，比如美國國家安全局（NSA）在去年發出號召，讓大家開始計劃向抗量子計算的加密技術遷移；與此同時，美國國家標準技術研究所（NIST）正在舉辦一場比賽，以鼓勵人們開發后量子計算時代的加密算法。這兩件事都表明，學界和業界的安全研究人員正穩扎穩打地向前推進。
不過，這種推進可能需要加快速度了。“我們確實有很多具備潛力的算法，可以用來（修復加密技術），但這項工作的時間表可能是一個問題，因為有一些預測稱，實用化的量子計算機最快有可能在15年內問世，” NIST計算機部門的數學家達斯汀·穆迪（Dustin Moody）博士說道，“對此沒有人能夠十分肯定，因為那是科研上的事情。但是，研究算法、開展標準化工作和部署實施，整個過程需要的時間也許都不止15年。所以，時間表可能有問題，但沒有人能清楚地給出答案。”
沒有人知道，但米歇爾·莫斯卡（Michele Mosca）博士愿意試著估算一下概率——她是加拿大滑鐵盧大學量子計算研究所的副所長。據她估計：到2026年，一些基本公鑰將有七分之一的可能性遭到破解；而到2031年時，這個可能性將上升到二分之一。這倒不是說信息安全行業會一直在等到量子計算機全面普及之后才動手。
“我們確實控制著局面，但也有很多變數使我們確信，我們希望這成為人們高度重視的事情，”穆迪說，“我們不希望人們恐慌，量子計算機不會破解所有的加密技術。”事實上，只要密鑰長度增加一倍——這是一種比較簡單的補救辦法——對稱算法就是安全的。但得益于計算機科學家彼得·秀爾（Peter Shor）的研究，我們現在知道了：一旦量子計算機問世，我們目前用來保障在線銀行和電郵服務安全的公鑰將失去作用。
上世紀90年代中期，秀爾在AT&T任職期間編寫了一種基于整數分解和離散對數的量子算法，它可以破解加密，一下子就能讓RSA加密算法和迪菲-赫爾曼密鑰交換（Diffie–Hellman key exchange）失效。“目前所使用的公鑰密碼系統和簽名將遭遇滅頂之災，”塔尼婭·蘭格（Tanja Lange）說，她是荷蘭埃因霍溫理工大學（Technische Universiteit Eindhoven）編碼理論與密碼學的講席教授，并擔任歐盟PQCRYPTO項目的召集人——PQCRYPTO的含義是“具有長期安全性的后量子計算密碼系統”。
此外，我們也將需要一臺足夠大的量子計算機來運行秀爾的算法。如果對量子計算這個概念還不是很了解，那可以參閱造就之前發布的相關文章補補課，總而言之就是：它們要比傳統計算機強大得多，但它們非常復雜精巧（算法必須分毫不差，否則計算機返回的答案就是不可讀的），而且不易建造。
那么，我們已經知道了問題所在，并正在努力解決它。但如果不知道加密技術的“大限”在什么時候到來，我們就很難“按期”完成改進工作。值得慶幸的是，面對量子計算機的潛在威脅，我們不需要等到它們真正到來之后才可以動手。“抗量子計算的計算技術跟量子計算無關（聽上去真拗口），”IBM的密碼專家瓦迪姆·利約巴什夫斯基（Vadim Lyubashevsky）解釋道，“它的存在以及發揮作用不需要依賴量子計算。即使某個人造出了一臺量子計算機，手頭沒有量子計算機的人也有能力抵御這些攻擊。”
目前有三種潛在的解決方案正在吸引研究人員的注意，分別是：基于格的加密，基于編碼加密，以及多變量加密。NIST預計它們各自都會有代表參與競爭。加密歸根到底是艱深的數學，基于格的加密的安全性基礎是，要在一個多維網格中找到最近點是極其困難的——其中公鑰是一個任意位置，而私鑰就是格點；基于編碼的加密則取決于破解一般的線性代碼有多困難；而多變量二次系統是利用多項式方程來保護加密的。
利約巴什夫斯認為，基于格的加密技術，其背后真正的設計工作已經完成，一些版本已經完成標準化，而且已經有一些機構在使用。“如果有人真的想要使用基于格的加密，那可以在一個月左右的時間里完成，”利約巴什夫斯基說道。事實上，它已經在現實世界中接受過測試。今年早些時候，谷歌（Google）利用“新希望”（New Hope）這一基于格的加密算法，在“金絲雀”（Canary）版Chrome瀏覽器的部分流量中開展了一項小型測試。但該公司明確表示，他們并非要把基于格的加密做成這版瀏覽器的標配功能，而只是首次嘗試對后量子計算時代的加密技術進行測試。
除了上述三種加密方案外，還有一種基于散列的加密技術也在研究中。然而，這種技術只能用于少數應用場景，比如數字代碼簽名，所以并不是充分的解決方案。”
除此之外，還將有利用量子計算思路開發的安全手段，并最終由量子計算機本身來提供保護，它們可以提供物理性的加密保障。但是對于今后多年里仍將使用傳統計算機的普通人群來說，這樣的保護手段實在太過奢侈。
拋開那些不全面或者可望而不可及的方案不談，在三種最流行的后量子計算時代加密方案中，我們還不知道哪一種是最好的；但愿不止一種能夠奏效，并具有廣泛適用性。“非常重要的是，現在選出勝者還為時過早，”莫斯卡說，“NIST對少數加密系統進行標準化的計劃是非常好的做法，可以推動更大范圍的研究和審查。那樣，我們就可以對替代加密方案擁有更大的信心。”
然而，NIST并不是在舉辦加密算法的“達人秀”，該計劃還希望推動它們的進步。“我們還不覺得這些算法中有哪一種……已經為標準化以及大規模的部署和使用做好準備，”穆迪說，“就絕大部分而言，很多算法都非常非常新，尚未有很多人對它們的安全性展開研究。就所有的加密算法來說，僅僅是時間的考驗——讓人們在多年時間里對它們進行考察——就能幫助你對它們的安全性產生更多的信心。”因此就有了這場比賽，它旨在把學界和業界的注意力聚焦于審查這些被提出來的算法。目前，挑戰賽的規則正在討論當中，正式啟動的時間在11月份。
在后量子計算加密技術通過了安全性審查和完成了標準化之后（預計需要數年時間），就到了業界著手部署使用新系統的階段（很有可能也要相當長的時間）。“之前的幾次加密算法升級換代都經歷了很長時間才完成，一般要5到20年，因此我們很難迅速做出這些改變，”穆迪說道。從2000年開始，NIST就一直在呼吁人們快速向橢圓曲線加密技術遷移，而一些機構到現在才剛剛開始這種過渡。
為什么要花這么長時間呢？首先，做出改變的必要性必須廣而告之，這樣公司都能對他們需要做的工作有所了解，但向新技術遷移是無法在一夜之間完成的。“一旦某件東西問世并被投入使用，業界需要很長的時間，因為他們不希望替換掉所有那些依然嶄新的設備，他們會等待它下線，然后才會用上新的算法。所以，這很耗時，”穆迪補充道。
然而，我們已經沒有時間磨磨蹭蹭，這還有另外一個原因：長效型的敏感數據。如果有人現在就收集這類數據，那未來總有一天能用量子計算進行破解。所以，我們可以推定，政府及其情報機構正在收集所有這類數據，哪怕過上幾十年，照樣有破解的價值。“那為時間表帶來了緊迫性，”穆迪說，“如果你希望自己的數據在未來數十年都得到保護的話，那就需要盡快部署抗量子計算的加密算法。”
而且，這個威脅并非捕風捉影。蘭格指出，NSA被斯諾登（Edward Snowden）曝光的XKeyscore項目就清楚地顯示，情報機構正在囤積數量龐大的加密數據。“一旦大型量子計算機問世，它隨隨便便就可以破解所有信息，”她說，“目前，諸如醫療記錄這樣的敏感個人數據是通過互聯網在醫護人員、會計核算中心和醫療保險公司之間進行傳送的，有關的系統無法抵御量子計算機。司法或軍用數據也存在類似的問題。”
正因為如此，標準制定機構和組織需要對那個滴答作響的巨型炸彈迅速作出響應。“最大的挑戰在于確定一種系統在何時已經成熟到可以進行標準化，”蘭格說，“我確信，通過大量的工作，我們將能在3年后擁有更好的系統。那是否意味著我們應該在制定標準方面等待3年時間，以便獲得更好的標準？但是這樣的代價是不是太大了？誰也說不好。”
雖然蘭格和NIST一樣認為，標準化的工作仍然為時過早，但她表示，提供一些建議并不嫌早。“那些跟長期機密數據打交道的用戶現在就需要專家建議和工具，”她表示，“那些建議必須把機密性和安全性放在便利性的前面。一旦出現一種更加便利的系統，那些用戶將會很樂意升級。”簡單地說，如果你有這個需要，現在就開始為升級加密技術做準備吧。一旦量子計算機問世，如今的加密數據都必須被默認會遭到破解。對蘭格來說，問題是清楚無疑的：“如果我必須確保長期的數據安全，那我夜里肯定會輾轉難眠。”
京公網安備 11010502049343號