量子密码学

⚛️ 当加密遇上量子——哪些会塌，哪些不会

前面学过的所有加密方法——RSA、ECC、AES——都是在经典计算机上设计的。但量子计算机提出了一种全新的计算范式。

对密码学来说，量子计算是一个”双刃剑”：

• 🔴 威胁：某些量子算法可以破解经典加密
• 🟢 机会：量子力学本身可以用来实现”理论上绝对安全”的通信

📐 量子 vs 经典——关键区别：

经典计算机的比特是 0 或 1（非黑即白） 量子计算机的量子比特（qubit）可以同时是 0 和 1（叠加态）

这让量子计算机可以在某些特定问题上指数级地比经典计算机快。

---

🔴 威胁：Shor 算法——RSA 和 ECC 的终结者

1994 年，Peter Shor 提出了一种量子算法——Shor 算法——可以在多项式时间内完成大整数分解。

冲击有多大？

加密算法	经典计算机破解时间	量子计算机（Shor）
RSA-2048	10¹² 年	几小时（如果有足够量子比特）
ECC-256	同等	几小时
AES-128	10¹⁰ 年	≈ 10¹⁰ 年（Grover 算法减半但不致命）

RSA 和 ECC 在量子计算机前会"瞬间崩溃"。
AES 受影响较小——密钥强度减半（128→64 位），但加长密钥就行了。

为什么 Shor 算法这么厉害？

经典计算机解决”分解 2048 位的数”需要指数级时间（目前最好的算法也需要 10¹² 年量级）。

Shor 算法利用量子叠加态，可以在 O(log³N) 时间内解决——指数级的加速。

后果：一旦拥有足够量子比特的通用量子计算机出现，所有依赖 RSA/ECC 的系统（HTTPS、数字签名、加密货币）都会瞬间不安全。

Grover 算法——对对称加密的影响没那么大

Grover 算法可以把暴力破解的搜索从 O(N) 加速到 O(√N)：

AES-128：经典需要 2①²⁸ 次 → 量子需要 2⁶⁴ 次
AES-256：经典需要 2²⁵⁶ 次 → 量子需要 2¹²⁸ 次

对策：使用 AES-256——2¹²⁸ 次搜索仍然不可行。

---

🟢 机会：量子密钥分发（QKD）

量子力学有一个奇怪的性质——观测会改变被观测的量子状态。

这意味着：如果有人尝试窃听量子通信信道——窃听行为本身就破坏了信道，通信双方立刻知道”有人偷听”。

BB84 协议——第一个 QKD 协议

Alice（发送方）                   Bob（接收方）
   │                                │
   │── 发送随机偏振的光子 ────────→│
   │   ↑ → ↗ ↖ 等方向              │ 随机选择测量方向
   │                                │
   │←── 告诉 Bob 测量方向 ────────│（不需要加密）
   │── 确认哪些方向是对的 ────────→│
   │                                │
   │ 双方只保留"测量方向一致"的比特 │
   │ → 这就是共享密钥！              │
   │                                │
   │ 如果有窃听者 Eve：             │
   │ Eve 的测量会改变光子状态       │
   │ → Alice 和 Bob 的比对中       │
   │    会发现错误率异常             │
   │ → 知道有人在偷听               │

QKD 的理论基础是量子力学本身——不是算法的复杂度假设。 这意味着 QKD 是信息论安全的——即使用无限计算能力也无法破解。

QKD 的现状

✅ 优点：理论上绝对安全
❌ 现状：
   - 需要专用光纤/卫星设备（昂贵）
   - 传输距离有限（~100 公里光纤）
   - 不能放大（量子中继器还不行）
   - 不是"端到端"——只解决链路层安全

实际用例：银行和政府机构的关键通信链路
商用产品：ID Quantique、Toshiba 等已有 QKD 设备

---

🧱 后量子密码（Post-Quantum Cryptography）

既然量子计算威胁 RSA/ECC——但 QKD 又不能用——我们能不能设计一种”量子计算机也破解不了”的经典加密算法？

这就是 后量子密码（PQC）——在经典计算机上运行，但抗量子攻击的算法。

NIST（美国国家标准技术研究院）正在进行 PQC 标准化竞赛：

# 2024 年选定的标准：

# 1. CRYSTALS-Kyber——密钥封装（替代 RSA 密钥交换）
#    安全性基于：带错误学习（LWE）问题——量子计算机也不擅长

# 2. CRYSTALS-Dilithium——数字签名（替代 ECC 签名）
#    安全性基于：格（Lattice）上的困难问题

# 其他入选：
# FALCON（另一个签名方案）
# SPHINCS+（基于哈希的签名——不同的安全性假设）

这正是互联网正在经历的重大迁移——类似从 HTTP 到 HTTPS：

2024-2035：互联网从 RSA/ECC 迁移到后量子加密
影响：每个 HTTPS 连接、每个数字证书、每个区块链

---

📝 小结

概念	一句话
Shor 算法	量子算法——多项式时间分解大整数，破解 RSA/ECC
Grover 算法	量子搜索——暴力破解速度减半，AES-256 仍安全
QKD（量子密钥分发）	用量子力学保证通信安全——窃听会被发现
后量子密码（PQC）	经典计算机上运行、但抗量子攻击的新算法
迁移	未来 10 年互联网从 RSA/ECC 迁移到 PQC

🎯 思考题：为什么说”当通用量子计算机出现时，现在的 HTTPS 记录可以被破解”？现在的加密通信记录如果被保存下来——等到量子计算机成熟了再解密——这是威胁吗？

为什么先学这个？ 量子密码学展示了”攻防对抗”的演化。最后看看密码分析——密码分析——攻击者是怎么攻破加密系统的。