什么是量子计算？
量子计算机是利用量子物理学的本质来创造的一种全新的计算范式，与我们自1960年代以来一直使用的传统0/1门控计算机不同。相反，它们在量子位上运行，量子位可以叠加和纠缠，以便同时执行多个过程。
正如我们所知，量子计算得到了一个名为Shor's Algorithm的数学的极大帮助和启发。由Peter Shor在1994年揭示，Shor的算法提供了使用量子计算机来帮助素数分解的路线图。这一点的影响怎么强调都不为过，因为 RSA 和 ECC 加密都依赖于随机数分解的难度来保持安全。量子计算将破坏这些加密方案所需的时间缩短了许多数量级，使得量子计算机由于安全问题而使RSA和ECC无法使用不仅实用而且不可避免。
并非我们标准化加密系统的所有方面都受 Shor 算法的约束。流行的哈希算法，如SHA-256和对称加密算法，包括AES，不依赖于素数，因此没有被使用Shor算法的量子计算攻击破坏的风险。
使用量子计算机击败这些方案的方法由Lov Grover在1996年使用所谓的Grover算法描述。尽管Grover算法确实大大减少了量子计算机使用暴力攻击击败AES加密和SHA-256散列所需的时间，但所需的中断时间仍然足够长，因此这些算法不被认为是使用可预见的量子计算架构和蛮力攻击的现实攻击向量。
QC 将如何影响我们现有的密码系统？
目前，所有依赖于公钥基础结构 （PKI） 的商用硬件、软件和服务都将 RSA 或 ECC 加密算法视为给定值。同样，来自企业、政府、学校甚至家庭爱好者的许多私有加密开发工作都假定 RSA 和 ECC 是可用的。
不可能对在没有传统PKI的情况下易受攻击的全套应用程序，用例，SaaS产品和设备进行编目。
量子计算将使RSA和ECC容易受到攻击，必须开发新的加密算法来取代它们。PKI作为一个整体，只要部署新的算法来取代RSA和ECC，就不会有风险。在最大程度上，任何新算法都必须能够在我们现有的环境和应用程序中即插即用，并且只是普通的工作。
同样，我们不能夸大我们的新密码学需要被证明免受加密攻击。几十年来，RSA 和 ECC 方案一直保护着世界上最有价值的信息目标，但没有人发现使用可用的计算体系结构从根本上破坏它们的方法。事实上，ECC直到1995年发现了费马大定理的证明，才获得广泛的接受，因为这是社区确信没有针对该算法的狡猾攻击等待被发现所必需的。
现在，行业、学术界和政府将争先恐后地选择和部署新算法，以取代这些久经考验、久经沙场的计划。如果一个数学天才在黑板上发现一种方法从根本上破坏所选算法的安全性，那么其影响将是毁灭性的。为了防止这种结果，必须彻底调查所有候选算法。出于这个原因，NIST（美国国家标准与技术研究院）目前正在领导研究潜在替代加密算法的努力。
“量子启示录”到底是什么？它是真的还是只是FUD？
量子启示录，或"Z日期"，是量子计算机具有足够的计算能力来击败当前的加密算法的那一天，这使得当前的加密方案过时，并允许受当前加密方案保护的信息受到损害。
鉴于量子计算的现状和最近的进展速度，在未来十年内，可能会构建出一台可能危及RSA 2048/4096，ECC或类似的基于离散对数的公钥密码系统的量子计算机，这通常是出乎意料的。
即使使用可以解密当前加密密码的量子计算机还需要十多年的时间，这种机器的危险也足够高 - 并且过渡到新的安全协议的时间框架足够长且不确定 - 后量子密码学的开发，标准化和部署的优先级对于最大限度地减少潜在的安全和隐私灾难的可能性至关重要。
如果我们要在量子计算机可用时拥有新的抗量子加密方案，我们必须从现在开始。
如果像SHA和AES这样的安全算法不受量子计算的影响，我们为什么不改用这些算法呢？
安全通信或数据保护方案依赖于不同类型的加密算法和哈希算法来执行不同的操作。
SHA256 是一种哈希算法。它就像类固醇上的CRC。它接受输入（文件，来自通信的数据流等）并计算数据的数学指纹。如果更改 1 位并重新运行哈希算法，您将获得非常不同的指纹或结果。哈希用于验证数据文件是否未更改。它用于支持安全通信（特别是签名和签名验证操作）。SHA256是目前广泛使用的标准哈希算法。其他可用，但这是正在使用的主要方法。该算法不受Shor算法的影响。SHA 哈希支持安全通信，但不能取代 RSA 或 ECC 加密算法。
有两种类型的加密算法：对称和非对称。
AES 是一种对称加密算法。使用 AES 时，加密数据的一方和解密数据的一方都使用相同的密钥。AES坚固，安全且快速，因此它是一个很好的解决方案。此外，它不容易受到Shor算法的影响。但有一个问题。要使用 AES，双方需要具有相同的密钥。在开始使用AES进行安全通信之前，我们需要确保双方都具有相同的密钥。我们不能为此使用AES。安全共享密钥的方法是使用非对称加密。
非对称加密也称为公钥加密。它使用由公钥和私钥组成的密钥对。我可以用我的私钥加密某些内容，并将其与我的公钥一起发送给您。然后，您可以使用我的公钥解密我使用私钥加密的数据。公钥加密是 PKI（公钥基础结构）的基础，PKI 是颁发证书的过程，以便您知道谁拥有公钥。
证书包括公钥以及有关谁拥有和有权使用公钥的信息。例如，证书可以使用特定的公钥将 amazon.com 标识为网站。我们使用非对称加密来共享 AES 密钥。例如，TLS 握手使用非对称加密来共享 AES 密钥，该密钥将用于加密单个 TLS 会话的通信。然后，新的 AES 密钥将用于下一个 TLS 会话。
非对称加密非常适合进行密钥交换，但它的速度非常慢，因此我们仅使用它来加密少量数据（密钥交换），因此我们可以在会话的其余部分切换到AES。大多数现有的非对称加密算法（即 RSA、ECC 算法）使用较大的质数来创建密钥。分解质数在计算上很昂贵，因此很难打破键。Shor的算法和量子计算改变了这一点。它们提供了一种更快地分解大质数的方法，从而可以打破非对称加密，发现AES密钥并解密通信流。
是否有可用的解决方案来克服量子计算威胁？什么时候可以实现这个方案？
为了帮助业界找到RSA和ECC的一个或多个合法替代方案，NIST（美国国家标准与技术研究院）创建了后量子密码学项目。该项目旨在激励和协调学术界和工业界的努力，以识别和审查潜在的下一代加密方案，以期获得一种或多种算法，这些算法被可靠地证明可以安全地被量子计算的进步所击败。
NIST将其后量子密码学项目分为几个阶段：
第1轮的重点是信息收集。相当于社区头脑风暴，第1轮收集了社区所能召集的尽可能多的潜在加密候选人。第一轮收到了82份提交，2017年12月，NIST将其剔除到69份，认为"完整和适当"。
NIST根据他们的基本方法将这些候选者分为四组：基于莱迪思，基于代码，多变量，基于对称和"其他"。NIST建议合并类似的候选算法，看起来团队可以有利可图地合作，整合其方法的最佳部分，将候选者的数量减少到26个。
第2轮的重点是测试第1轮候选人的加密可行性。特别是，候选者必须证明至少与AES128，AES192和SHA256一样难以破解二进制和量子计算机。此阶段于2019年8月结束。
NIST宣布了第2轮的结果，超过20名候选人符合要求。NIST将这些候选人描述为"相当不错，而且相当多样化"，并指出没有明显的最佳选择。
NIST建议需要更多的研究和对话，包括审查成功标准的相对重要性。该研究所预测，这项审查将需要两到三年的时间，并计划到2022年发布新标准。
NIST并不是这方面的唯一努力。大学和智库中具有适当技能的人才继续针对这些问题进行循环，而像Sectigo这样的IT行业提供商非常重视在准备就绪时快速采用新算法所需的工具和服务。
现在需要担心加密问题吗？
量子计算机肯定会到来，它们将使数字世界的加密基础变得不安全。问题不在于是否，而在于何时。虽然量子启示录的确切时间尚不清楚，也无法知道，但根据任何合理的估计，我们需要专注于尽快寻找和部署新的加密替代方案。
研究、政府和行业的领导者都在努力及时调查、选择和推出新的加密标准，以防止对世界数字经济的损害。这不会是一个快速或简单的过程，但这是一个至关重要的过程。
需要怎么做才能使量子计算面向未来？
2019 年 8 月，NIST 建议学术界需要两到三年的时间来审查替代 RSA 和 ECC 的候选算法。完成此步骤后，我们可以开始查看部署选项。然而，大多数对量子计算进展的预测都假设研究和制造方法都没有考虑在量子计算机的生产或使用它们攻击这些密码的方法中突破“尤里卡”时刻的可能性。
为了使量子计算机系统面向未来，您需要了解您正在使用的系统的生命周期以及这些系统生成的数据需要多长时间保持安全。对于将使用超过 8-10 年的系统（基于当前对量子启示日期的预测）和产生的数据必须保持安全超过 8-10 年的系统，您需要开始计划迁移到量子安全加密算法。您可以开始实施自动化证书管理和支持加密敏捷性的解决方案，让您可以在后量子加密算法可用时更轻松地转向它们。
---煤油灯科技victorlamp.com翻译整理---
