主流后量子密码算法 PQC 技术路线解析及展望

2.2.3 优缺点分析

优点：公钥尺寸小，安全假设少，理论安全性强。由于其安全性不依赖于特定数学问题，当所用哈希函数被攻破时，可直接替换为新的安全哈希函数，具有较强的灵活性和抗替代性。

缺点：一是签名体积较大，增加了通信开销；二是有状态的哈希签名方案签名次数有限，增加签名数量会降低计算效率并进一步增大签名体积。

2.3 基于编码（Code-based）的后量子密码算法

2.3.1 算法原理

基于编码的密码算法源于编码理论，其核心思想是利用纠错码的特性构造密码方案。该类算法的安全性依赖于在随机线性码中寻找特定结构（如 Goppa 码）或求解错误校正问题的困难性，例如纠正随机错误码字或计算校验矩阵的伴随式等问题，这些问题在计算复杂度上具有较高的难度，量子计算机难以高效求解。

1978 年，McEliece 提出了首个基于编码的公钥加密方案，开创了基于编码的密码学研究领域。该方案利用 Goppa 码的良好纠错性能，通过对私钥（Goppa 码的生成矩阵）进行随机线性变换得到公钥，加密时将明文编码后加入随机错误，解密则利用私钥的纠错能力恢复明文。

2.3.2 典型算法及应用

著名的基于编码的加密算法包括 McEliece 方案及其变体、HQC 等，该路线在 NIST 后量子密码标准化中承担备份保障角色。Classic McEliece 曾进入第四轮评估，但 2025 年 3 月 11 日 NIST 第四轮评估结果公布，HQC（基于编码理论）被选定为第二个密钥封装机制，作为 CRYSTALS-Kyber 的备份标准，计划 2026 年发布草案，2027 年完成最终标准化。McEliece 方案使用随机二进制的不可约 Goppa 码作为私钥，公钥是对私钥进行变换后的一般线性码；HQC 则通过优化编码结构降低了公钥尺寸。该类算法通常具有较小的密文尺寸，适用于对密文传输效率要求较高的场景，如卫星通信、无线传感器网络等。在早期的密码竞赛中，基于编码的算法因历史悠久、安全性基础扎实，一直是后量子密码的重要备选方向。

2.3.3 优缺点分析

优点：密文尺寸较小，加密和解密过程相对简单，具有一定的计算效率优势。

缺点：公钥尺寸过大，密钥生成速度慢，这限制了其在资源受限设备和带宽紧张场景中的应用，在实用化方面有待进一步提升。

2.4 基于多变量（Multivariate-based）的后量子密码算法

2.4.1 算法原理

基于多变量的公钥密码系统（Multivariate Public Key Cryptography, MPKC）将有限域上一组二次多项式作为公钥映射，其安全性基于求解有限域上非线性方程组（Multivariate Quadratic Equations, MQ）的 NP 难问题。目前尚无量子算法能够高效求解 MQ 问题，但该问题的安全性也缺乏形式化证明，主要依赖于实际攻击的难度。

MPKC 的基本构造思路是：选择一个易于求解的非线性方程组作为私钥，通过可逆的线性或仿射变换对其进行隐藏，得到公开的二次多项式组。加密时，将明文代入公钥多项式组得到密文；解密则利用私钥的变换关系，将密文对应的方程组还原为易于求解的形式，进而恢复明文。

2.4.2 典型算法及应用

基于多变量的密码算法典型代表包括 Sflash、Rainbow 等，在国际密码竞赛中经历了较多考验。Sflash 曾被选为欧洲 NESSIE 项目的签名标准，但因存在安全漏洞被攻破，退出了实用舞台。Rainbow 是一种多变量签名算法，在 NIST 后量子密码标准化第一轮征集中有提交，但因后续安全性分析和性能优化不足，未进入后续轮次。该类算法具有较高的签名验签速度，适用于计算和存储能力受限的物联网设备、智能卡等场景，这些场景通常注重算法效率但对带宽要求不高，无需频繁传输较大的公钥。目前，学术界仍在持续优化多变量算法的安全性和实用性，以期在未来竞赛中取得突破。

2.4.3 优缺点分析

优点：签名验签速度快，消耗资源少，在资源受限设备上具有较好的适用性。

缺点：公钥尺寸较大，且安全性面临较多挑战，部分算法已被成功攻击，整体安全性相对较低。

2.5 基于同源（Isogeny-based）的后量子密码算法

2.5.1 算法原理

基于同源的密码算法是基于椭圆曲线同源问题的后量子密码系统，其安全性依赖于寻找两条椭圆曲线之间同源的困难性。同源是椭圆曲线之间保持群运算的满同态映射，超奇异椭圆曲线上的同源问题（Supersingular Isogeny Problem）是该类算法的核心困难问题，目前被认为具有抗量子计算攻击的特性。

2011 年，基于超奇异同源的 SIDH（Supersingular Isogeny Diffie-Hellman）算法被提出，该算法通过交换椭圆曲线上的同源信息来实现密钥交换。2017 年，基于 SIDH 的高效实现 SIKE（Supersingular Isogeny Key Encapsulation）算法问世，进一步推动了基于同源的密码算法的发展。

2.5.2 典型算法及应用

基于同源的密码算法主要包括 SIDH、SIKE、CSIDH（Commutative Supersingular Isogeny Diffie-Hellman）和 SQIsign 等，在 NIST 后量子密码标准化竞赛中经历了起伏。SIKE 作为密钥封装方案进入了 NIST 第四轮评估，但在 2023 年因被发现存在严重安全漏洞（可在数小时内恢复私钥）而被撤回，未获得标准化资格。SIDH 是 SIKE 的基础密钥交换算法，也受此影响。CSIDH 和 SQIsign 是后续提出的改进算法，CSIDH 用于密钥交换，SQIsign 用于数字签名，目前尚未被攻破，但未进入 NIST 当前标准化进程。该类算法公钥和密文尺寸小，适用于通信量受限的环境，如低功耗广域网、射频识别（RFID）系统等，未来需在安全性证明和效率优化上持续突破以参与 NIST 后续标准化修订。

2.5.3 优缺点分析

优点：继承了椭圆曲线密码的底层运算，公钥和密文尺寸非常小，通信带宽占用低，适合在带宽受限场景中应用。

缺点：运行效率极低，密钥生成、加密和解密速度几乎比基于格的算法大两个数量级，难以在计算性能不足的设备上实现。此外，安全性问题不断被挑战，SIKE 算法在 NIST 后量子密码标准化第四轮中被攻破，虽 CSIDH 和 SQIsign 暂未被攻破，但整体缺乏可证明安全性。

3 其他后量子密码技术路线

3.1 基于 MPC-in-the-head 的后量子密码算法

MPC-in-the-head（Multi-Party Computation in the Head）是一种零知识证明技术，它将零知识证明与单向函数相结合构造数字签名。其基本原理是通过模拟多方计算协议的执行过程，生成具有零知识性质的证明，再结合单向函数对证明进行签名，从而实现数字签名的功能。

该类算法的优点是签名密钥较小，缺点是签名尺寸较大，计算复杂度较高。FALCON 作为融合 MPC 思想的格基算法，是 NIST 第三轮确定的数字签名核心算法，虽偏格路线，但体现了 MPC-in-the-head 技术的应用价值。GeMSS 等纯 MPC-in-the-head 方案在 NIST 早期征集阶段有提交，但未进入后续轮次。此外，NIST 每 6 个月发布《PQC 算法安全评估报告》，对各类候选及核心算法的性能与安全性进行持续跟踪，MPC-in-the-head 相关技术也在报告中被列为创新方向评估。

3.2 基于对称的后量子密码算法

基于对称的签名算法是指全部使用对称加密算法和哈希函数构造的签名方案。由于对称加密和哈希函数的安全性在量子计算环境下相对稳定（目前量子算法对对称密码的攻击提升有限，可通过增加密钥长度抵御），因此这类算法被认为是最可靠的后量子密码技术路线之一。

目前，基于对称的后量子签名算法中，除了 Preon 外，其他算法都已有不同程度的攻击。Preon 是基于 zkSNARK 配合单向函数构造的签名算法，但其签名尺寸较大且计算效率较低，实用化仍需进一步优化。在 NIST 后量子密码标准化中，对称密码虽未作为独立的公钥密码路线，但 NIST 也发布了《后量子时代对称密码使用指南》，强调通过增加密钥长度（如 AES-256、SHA-3-512）抵御量子攻击；在部分区域性密码竞赛中，基于对称技术的轻量级签名方案也被列为征集方向，用于资源极度受限的场景。

3.3 其他新兴技术路线

除上述类型外，后量子密码领域还涌现出一些新兴技术路线，如基于哈希的认证加密、基于格的全同态加密扩展等。这些技术路线仍处于研究探索阶段，尚未形成成熟的标准和广泛应用，但为后量子密码的发展提供了更多可能性。

4 总结与展望

4.1 各类算法特点总结

综合来看，主流后量子密码算法的特点总结如表 1 所示。

4.2 未来发展趋势

后量子密码技术的发展正处于关键阶段，结合 NIST 最新进展，未来将呈现以下趋势：

1. 标准化体系持续完善，2024 年首批 FIPS 203/204/205 标准发布后，2025 年确定 HQC 为备份 KEM 标准，形成'格基 + 编码'的双技术路线保障，计划 2027 年完成 HQC 最终标准化；NIST 要求联邦机构 2027 年前支持 PQ-TLS 混合加密，2030 年前全面禁用 RSA/ECC 等传统算法。
2. 算法优化与融合，格基算法将持续提升物联网等场景的效率，编码基算法聚焦备份安全性，跨技术路线融合方案（如 MPC 与格的结合）成为研究热点。
3. 应用场景加速渗透，金融、通信、云计算等领域将逐步推进 PQC 与现有体系的平滑过渡，优先部署 CRYSTALS-Kyber/Dilithium 等已标准化算法。
4. 动态评估机制深化，NIST 每 6 个月发布《PQC 算法安全评估报告》，计划 2028 年启动标准首轮修订，可能调整参数或新增替代方案，确保算法安全性与实用性与时俱进。