量子密钥分发与后量子密码学：各自防护的对象是什么

量子密钥分发与后量子密码学在目标、假设、部署权衡以及各自应对的威胁方面有何不同。

本页由英文翻译而来。公司和产品名称及来源链接保持不变。阅读英文原文

量子密钥分发（QKD）和后量子密码学（PQC）常被一并归类为“量子安全”技术，但它们以不同方式解决的是不同问题。QKD 是一种创建共享秘密密钥的方法，其安全性与量子力学行为相关；而 PQC 则是一类主要由公钥算法构成的方法，旨在让当今的数字系统在未来量子计算机面前依然保持安全。

在实际中，选择通常并不是二选一。QKD 关注的是在特定物理和网络假设下、带有窃听检测能力的密钥建立；PQC 关注的是在现有基础设施中替换脆弱的密码学基础构件。要理解它们各自防护的是什么，首先要明确这一区别。

对量子威胁的两种不同回答

这两种路径背后的核心担忧都是：量子计算会威胁许多被广泛使用的公钥体系。根据 Wikipedia 对后量子密码学的概述，大多数已部署的公钥算法依赖整数分解、离散对数或椭圆曲线离散对数问题，而一台足够强大的量子计算机如果运行 Shor 算法，就能高效求解这些问题。

但这并不意味着所有密码学会同时失效。Wikipedia 的概述还指出，当前的对称密码和哈希函数通常被认为对量子攻击相对安全，尽管 Grover 算法可以加速暴力搜索，但在实践中可以通过将密钥长度加倍来应对。

从这里开始，QKD 与 PQC 走向不同方向：

QKD 的目标是让通信双方利用量子态生成一个共享的随机秘密密钥。
PQC 的目标是用新的经典公钥算法替换脆弱的传统算法；这些新算法目前被认为——但尚未被证明——能够抵御量子攻击。

这种范围上的差异非常重要。QKD 本身并不加密你的应用数据；它负责分发密钥。相比之下，PQC 的设计目标是嵌入那些已经在使用公钥密码学进行密钥建立和数字签名的位置。

QKD 防护的是什么

QKD 是一种建立在量子力学基础上的安全通信方法，涉及测量扰动原理和不可克隆定理。它的目的，是让通信双方生成一个只有双方知道的共享秘密密钥。

它最突出的安全特性是窃听检测。一般来说，对量子系统的测量会扰动该系统。因此，如果第三方试图通过测量所传输的量子态来获知密钥，这种干扰就会产生异常，而合法通信双方可以检测到这些异常。如果观测到的扰动低于某个阈值，他们仍然可以导出安全密钥；如果扰动过高，则中止过程。

Wikipedia 关于量子密钥分发的条目将 QKD 的安全性描述为建立在物理规律之上，而不是建立在某个数学难题“被认为很难”这一前提之上。该条目还将 QKD 描述为具有基于信息论的可证明安全性，并且能够提供前向保密。

不过，QKD 所保护的问题范围，比很多人设想的要窄：

它保护的是密钥分发过程。
它不会直接传送消息数据。
生成出的密钥仍然必须与某种加密方法配合使用，例如一次一密，或 AES 这样的对称算法。

因此，如果问题是“QKD 防御的是什么？”，答案是：在协议和实现所依赖的假设成立的前提下，它通过让量子信道上的窃听行为可被检测，来保护密钥交换本身的机密性。

从高层次看 QKD 如何工作

Wikipedia 关于量子密钥分发的条目介绍了两大类 QKD 协议。

制备-测量型

在这种模型中，一方制备量子态，并通过不安全的量子信道发送出去。接收方对这些量子态进行测量。之后，双方通过经过认证的经典信道比较有限的信息，以检查测量结果是否与未受扰动的传输一致。

如果不一致，他们就会推断可能存在窃听或噪声过高，并可能中止协议。

最知名的例子是 BB84，由 Charles H. Bennett 和 Gilles Brassard 于 1984 年提出。在 BB84 中，发送方用两组可能的基之一对随机比特进行编码，接收方则对每个到来的量子态用随机选择的基进行测量。之后，双方公开比较所选的基，并丢弃那些双方使用了不同基的位置。接着，他们会对剩余比特中的一个子集进行误码检测；如果错误过多，就意味着无法保证安全性。

基于纠缠型

这类协议使用由双方共享的纠缠态。Wikipedia 解释说，对纠缠对中一半的测量会影响整个系统，而截获行为会以可检测的方式改变其关联性。文中引用的一个例子是 E91，由 Artur Ekert 于 1991 年提出。

对于非专业读者来说，关键点在于：这两类协议都试图实现同一个目标——在让截获行为可见的同时，生成一个共享的秘密密钥。

QKD 的隐藏依赖：认证

QKD 最醒目的特性，可能会掩盖一个关键要求。Wikipedia 关于量子密钥分发的条目指出，QKD 通常依赖一条经过认证的经典信道。这是为了让通信双方在公开讨论阶段能够确认自己确实是在彼此通信，而不是在与冒充者通信。

这带来了一个重要的现实限制：

为了对这条经典信道进行认证，双方本来就需要某种可信的密码学基础，例如预先交换过的对称密钥，或足够安全的公钥。

这意味着 QKD 并没有消除认证问题。它解决的是“在认证已可用”的前提下的密钥分发问题。

Wikipedia 的条目对其后果说得相当直接：如果你已经具备了安全认证所需的条件，那么在实践中，你可能无需使用 QKD，仅靠传统对称密码学就能实现安全通信。它甚至将 QKD 形容为以高得多的成本完成流密码所做的工作。

这是围绕 QKD 争论中的一个关键权衡点。它的安全模型很有吸引力，但在系统层面的部署负担也相当沉重。

PQC 防护的是什么

PQC 面对的是另一类威胁面。它是指一类密码算法的发展——通常是公钥算法——这些算法目前被认为在面对量子计算机攻击时仍能保持安全。

它的主要目标，是应对当今公钥体系在未来可能失效的问题。Wikipedia 对后量子密码学的概述还强调了在大型量子计算机出现之前就必须推进迁移的两个原因：

迁移需要时间。
先收集、后解密 是现实存在的风险：今天收集到的数据，几年后可能依然敏感。

因此，PQC 防护的是两类相关风险：

未来对今天使用易受量子攻击的公钥方法所保护数据的解密。
未来对依赖这些同样脆弱方法的真实性机制进行伪造，或导致其失效。

与 QKD 不同，PQC 并不依赖量子通信硬件。它本质上是一场经典密码学迁移：在软件、硬件、协议和标准中替换算法。

PQC 并不只是一类算法

Wikipedia 对后量子密码学的概述列出了 PQC 的若干研究方向，包括基于格、多变量、基于哈希、基于编码和基于同源的密码学，以及使用足够大密钥的对称密钥方法。

一个关键细节是，PQC 并不是在整体意义上“已被证明安全”。Wikipedia 多次将这些系统描述为目前被认为是安全的，并指出其中一些候选方案已经失败。一个醒目的例子是 SIDH/SIKE，它在 2022 年被攻破。

这并不否定整个 PQC 方向，但它确实说明，“抗量子”并不是一个永久性的标签。它是一个建立在持续密码分析之上的研究与标准化过程。

有些算法家族拥有比其他家族更强的形式化归约，而有些则存在现实中的权衡，例如更大的密钥、签名或密文。Wikipedia 指出，许多 PQC 算法所需的密钥尺寸比前量子时代的公钥系统更大，这会在传输大小和计算效率之间带来权衡。

标准化与部署现实

关于 PQC 实际地位，最明确的信号来自 NIST。

NIST 表示，其已在 2024 年发布主要的 PQC 标准，并建议各组织立即开始迁移。列出的标准包括：

FIPS 203：ML-KEM
FIPS 204：ML-DSA
FIPS 205：SLH-DSA

NIST 还表示，这些标准应构成大多数部署的基础，同时其他标准也在推进中，包括 Falcon 和 HQC。它进一步指出，根据 NIST IR 8547 中的过渡时间表，易受量子攻击的算法将在 2035 年前从 NIST 标准中被弃用并最终移除，而风险更高的系统会更早推进。

这与 QKD 形成了重要对比。无论人们如何看待两种路径各自的长期价值，PQC 都已经走上一条基于标准、面向普通数字基础设施广泛部署的迁移路径。

并列比较：各自防护的是什么

方面	量子密钥分发	后量子密码学
主要目的	创建共享秘密密钥	替换脆弱的公钥算法
安全基础	量子力学与可检测的扰动	被认为能抵御量子攻击的经典算法
直接保护的对象	密钥分发的机密性	数字系统中的密钥建立、签名及其他公钥功能
窃听检测	是，属于协议内建属性	没有对应的物理检测属性
硬件要求	需要量子信道加经典信道	运行于经典数字基础设施之上
认证需求	需要经过认证的经典信道	通过签名/KEM 标准自身提供认证机制
部署模型	专用链路与协议配置	在现有系统中进行软件、硬件和协议迁移
主要证据中的权衡点	成本高且依赖预先认证	更大的密钥/签名，以及持续存在的算法评估风险

那么，哪一种保护“更多”？

两者都不能普遍地说保护得更多；它们保护的是不同层面的问题。

QKD 为密钥分发提供了一种独特的安全主张：对量子信道的拦截尝试，在原理上是可以被检测到的。对于那些这一特性具有决定性意义的应用场景，QKD 可能很有吸引力。但它也伴随着苛刻的假设条件，尤其是对经过认证的经典信道以及专用通信基础设施的需求。

PQC 解决的是更广泛、也更紧迫的系统性问题：替换那些未来量子计算机可能攻破的公钥密码学。它不具备 QKD 那种基于物理规律的窃听检测能力，但它的设计目标，是保护现代网络在大规模运行时真正依赖的那些密码学功能。

换一种说法：

如果你关注的是两个端点如何在一个可被量子观测的信道上建立密钥，那么相关工具是 QKD。
如果你关注的是互联网、软件供应链、身份系统以及长期保存的加密数据如何在量子攻击到来后继续存活，那么核心答案是 PQC。

尚未解决的问题与权衡

一个平衡的看法，应当同时看到若干不确定性。

对于 QKD：

它在理论上的安全叙事很强，但依赖于正确实现。
它并没有消除对认证的需求。
Wikipedia 明确提出了一个现实问题：当经典认证加密可能已经足以满足需求时，额外成本是否值得。

对于 PQC：

这些算法是被认为安全，而不是已被证明可抵御量子攻击。
一些候选家族或具体方案已在密码分析下失败。
实际部署可能涉及更大的密钥，以及其他性能权衡。

尽管如此，NIST 指向了当前的一个操作层面共识：现在就应开始向标准化的 PQC 迁移，因为如果等到量子计算机完全成熟，可能已经没有足够时间来保护那些需要长期保密性与真实性的数据和系统。

关键要点

QKD 和 PQC 并不是简单意义上的替代关系。 QKD 分发秘密密钥；PQC 替换脆弱的公钥密码学。
QKD 最突出的特性，是量子信道上的窃听可被检测到，其基础是量子测量带来的扰动。
QKD 本身不会加密消息，而且通常需要一条经过认证的经典信道，这意味着某种信任基础必须事先存在。
PQC 针对的是更广泛的迁移问题，这一问题来自量子威胁对当前公钥体系的冲击。
与当前公钥密码学相比，当前对称密码学受到量子计算冲击较小，尽管采用更大的密钥长度可能是审慎之举。
PQC 已经开始进入主流标准体系。 NIST 在 2024 年发布了 FIPS 203、204 和 205，并表示各组织应立即开始迁移。
两条路径都不是没有代价。 QKD 带来基础设施和认证负担；PQC 带来算法不确定性以及更大密钥等性能权衡。
对大多数组织而言，PQC 是应对量子风险的主要近期方案，而 QKD 针对的是范围更窄、专业性更强的安全目标。