本文目录导读：
量子计算对传统密码技术（如RSA、ECC等基于大数分解或离散对数难题的算法）构成了根本性威胁，因为Shor算法等能在多项式时间内破解这些难题，为应对这一挑战，密码学界和业界正积极推进后量子密码（Post-Quantum Cryptography, PQC）的标准化和部署，以下是主要应对策略：
开发并标准化抗量子密码算法
NIST（美国国家标准与技术研究院）已选定并正在标准化几类被认为能抵抗量子攻击的算法：
- 基于格的密码（如CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON）：依赖格上困难问题（如最短向量问题、学习与错误问题），被认为是当前最成熟的PQC方案之一。
- 基于哈希的签名（如SPHINCS+）：利用哈希函数的单向性，安全性仅依赖于哈希函数的抗碰撞性（经典且量子安全的）。
- 基于编码的密码（如Classic McEliece）：基于线性码解码问题的困难性。
- 基于多变量的密码（如Rainbow，但已被部分攻击削弱）：依赖求解多元二次方程组问题的困难性。
- 同源密码（如SIKE，但已被量子攻击破解）：基于超奇异椭圆曲线同源图上的计算困难性（部分方案已被证实不安全）。
混合密码系统（Hybrid Schemes）
在全面迁移前,采用“传统算法 + PQC算法”的混合模式。
- TLS握手时同时使用RSA和Kyber进行密钥交换。
- 数字证书包含两份签名（如ECDSA和Dilithium），确保在任一算法未被破解时安全性依然有效。
迁移现有基础设施
- 协议升级：TLS 1.3、IPsec、SSH、DNSSEC等协议正在集成PQC算法（如TLS混合密钥交换、量子安全证书）。
- 密钥管理：逐步替换现有公钥基础设施（PKI）中的证书颁发机构（CA）和终端实体证书。
- 长期数据保护：对需要长期保密的数据（如档案、医疗记录），提前使用PQC加密，以防未来量子攻击解密“早期存储的密文”。
增强对称密码的安全余量
量子计算对对称密码（如AES）的影响较弱，Grover算法可将搜索时间减半，但通过增大密钥长度即可应对：
- AES-256的量子搜索复杂度与AES-128的经典搜索强度相当，目前被认为是足够安全的。
- 哈希函数（如SHA-3）通过增加输出长度（如SHA3-512）来提升抗量子碰撞性。
探索新兴密码方向
- 量子密码（Quantum Key Distribution, QKD）：利用量子物理原理（不可克隆定理、纠缠态）实现理论上防窃听的密钥分发，可结合经典加密使用，但QKD依赖专用硬件，距离与成本受限。
- 量子随机数生成器：用于生成真随机密钥，增强加密系统的基础安全性。
持续监测与攻击模型更新
- 量子算法仍在演进（如针对格密码的改进攻击、同源密码的破坏性进展）。
- 需要动态评估PQC算法的安全参数,及时替换被削弱或破解的方案。
当前挑战
- 性能开销：部分PQC算法的密钥/签名体积（如McEliece的公钥可达几百KB）远大于传统方案，影响带宽和存储。
- 标准化与兼容性：全球不同机构（NIST、ETSI、ISO）尚未完全统一标准，存在互操作性问题。
- 迁移复杂性：全球数十亿设备（IoT、嵌入式、旧系统）的升级需要多年时间。
应对量子计算威胁的核心路径是：尽早部署NIST标准化的PQC算法，优先保护长期数据；采用混合过渡模式；同时投入对对称算法和量子密码的完善研究，对于一般开发者，建议关注TLS库（如OpenSSL、BoringSSL）的PQC支持更新，并在新系统中预留PQC接口，量子计算时代的密码体系将是“经典对称加密 + 量子安全非对称协议 + 可选的量子密码技术”的多层结合体。
