自从量子计算成为各大科研机构、大型企业、创业公司竞相追逐，且逐渐升温的前沿领域以来，量子计算与网络安全之间的“矛”与“盾”之争便不断被关注和研究。一方面，我们关心量子计算机到底何时能够到来，并成为我们解决若干关键问题的“杀手锏”；另一方面，我们又不得不关注：量子计算带来的全新的网络安全风险到底有多大，应该如何做好应对准备？

　　2020年4月9日，美国智库兰德公司发布了一份报告：《在量子计算时代确保通信安全：管理加密风险》。该报告提醒，未来的量子计算机可能对当今最安全的通信构成威胁。这项研究是兰德公司“Security 2040”计划的一部分，该计划通过跨领域方式对未来威胁进行分析和评估。本文以该报告为基础，介绍量子计算的最新发展，分析其安全风险，了解美国应对量子计算机攻击的政策建议及风险缓解措施，以期对我国提前应对量子计算引发的网络安全风险提供参考。

　　一、量子计算发展迅猛

　　进入2020年，关于量子计算机研发的最新进展就有以下重磅消息令业界高度关注：

　　2020年5月初，IBM有关负责人透露，IBM目前已拥有18台量子计算机，其中本季度就增加了3台，这是一个相当大的机群，这表明公司正努力从一种革命性的计算中获益；目前，IBM公司性能最佳的量子计算机是“Paris”，其量子比特数为53，能够在200秒内完成目前最先进的传统超级计算机需要1万年完成的特定计算任务。IBM同时宣布，将在2020年晚些时候推出一个更大的系统，运行超100万个量子比特。IBM正朝着每年至少将其量子计算机的性能提高一倍的目标迈进，到目前为止，该公司已连续四年实现这一目标。

　　同样引人注目的是，IBM的竞争对手美国霍尼韦尔公司在2020年3月宣布，他们正在建造一种不同类型的量子计算机——离子阱量子计算机，预计将于2020年年中推出，其量子体积数高达64，它的运行温度比IBM的超导设计要低一些。目前，霍尼韦尔公司的量子计算机仅有6个量子比特，但其称每年将量子体积数提高10倍，5年后预计达到640000，比IBM的速度快得多。目前，霍尼韦尔有6台量子计算机。

　　2020年4月，美国英特尔公司在《自然》杂志上发表了一项最新的科研技术，即“热”量子计算机技术，该技术是将需要在约0.1开尔文（零下273.05摄氏度）下运转的量子计算机，温度提升至1.1左右开尔文温度。该技术能将硅中的电子自旋作为量子比特，并且可以和周围在1.1开尔文左右温度的材料有效的隔离开，从而引入定域电子来操控量子比特，科研人员声称这将是此类量子处理器扩展至百万量子比特所不可或缺的先决条件。虽然温度的提升不是很大，但是却极大的降低了量子计算机在温度控制上的成本，在量子计算机技术中是非常重要的里程碑，对量子计算机的技术进步和发展起到非常大的作用。

　　4月6日，《美国国家科学院院刊》（PNAS）发表了麻省理工、印度理工、加州大学、香港科技大学等研究人员的一项发现论文：在金属“金”中观察到了马约拉纳费米子，这种粒子具有其反粒子就是自己本身的独特属性，是制造量子计算机的完美选择之一。因此，这一发现无疑推动了容错量子计算机的研发，向人类量子计算之梦的实现又迈进了一步。

　　综上，可以看到：量子计算机研发进展迅猛，虽然量子计算技术仍处于初期发展阶段，关于实现量子计算机基本架构的最佳方法，即量子比特尚未达成共识（目前正在探索可能实现的量子比特架构，包括超导量子比特、捕获离子量子比特、自旋量子比特、光子量子比特和拓扑量子比特），但是，经过多年的研究和大量的投资，像IBM、谷歌、微软、英特尔和霍尼韦尔等大型科技公司，以及IonQ、Rigetti、本源量子等初创公司，都在竞相将量子计算推向成熟。

　　二、现代公钥加密面临严重威胁

　　2.1公钥加密（PKC）是现代数字通信的骨干

　　自互联网诞生以来，公钥加密（Public Key Cryptography，PKC）已成为所有可信数字通信的骨干，它为人们以多种数字交互方式进行重要和敏感信息共享提供足够的隐私和安全性，确保了开放式网络通信的基本信任。

　　在PKC中，每个用户都有两个密钥（公钥和私钥），用公钥加密的任何消息只能用私钥解密，因此可以在可观察的通道上安全地传输。尽管公钥和私钥在数学上是相关的，而且当密钥足够小时，从公钥确定私钥在技术上是可能的，但是由于导出私钥所需的操作（作为数字分解和解决离散对数问题的工具）在计算上一直具有相当大的挑战性，因而PKC在实践中可以始终实现安全性。

　　2.2量子计算可能彻底颠覆和完全破解数字加密系统

　　量子计算的快速发展使得PKC未来面临巨大的安全漏洞。从理论上讲，量子计算机可以通过计算能力绕过现行的防御，直接暴力破解用于保护现有几乎所有网络通信的PKC，可能彻底颠覆和完全破解现代信息和通信基础设施所依赖的数字加密系统。通过这种对密码的破坏性，将使得身份验证的安全与通信隐私难以保证，军事情报系统、金融交易系统乃至全球经济的支持系统都将面临潜在的巨大风险。

　　量子计算在数字分解和数据库算法检索中能极大提高算力，减少计算时间和资源，使得量子计算机能够暴力破解这两个领域的PKC的公共密钥，使通信的身份验证和访问控制失去安全性。

　　另外，PKC通常使用更长的密钥长度来提高安全性，但更长的密钥需要更多的计算资源才能进行常规的加密或解密操作。量子计算从根本上改变了破解密钥的资源规模，如果试图通过加长密钥长度来确保在量子计算中的等效安全，则对这些密钥进行常规加密或解密操作所需要的计算资源将是完全不切实际的大体量。

　　最后，所有在当下被认为是安全的数据传输有可能被保存到未来量子计算成熟的时间点，从而被量子计算攻破。

　　2.3量子计算未来威胁风险的决定因素

　　量子计算未来的威胁风险将取决于三条时间线：

　　（1）量子计算机的开发和应用速度。

　　（2）能够抵御量子计算攻击或破密的PQC（postquantum cryptography，后量子密码学）及其标准协议的开发和应用速度。

　　（3）如何快速地、广泛地、平滑地向PQC过渡。

　　对此，美国智库通过调研和评估，得出以下结论：

　　（1）对能够实现破密的量子计算机问世时间的预计平均在15年后，即大约在2033年。但更早和更晚的开发都是可能的。

　　（2）PQC的标准协议预计将在未来5年内起草并发布，而PQC的完全采用将可能在2030年代中期或更晚，因为执行标准协议和减轻量子计算的脆弱性所必需的全国性或全球性过渡时间可能达到数十年之久。

　　（3）如果在有能力（破密）的量子计算机开发后尚未充分实施PQC，则在不对现有基础设施进行重大颠覆性更改的情况下，无法确保身份验证的安全和通信的隐私，系统漏洞不仅比当前网络安全漏洞更加严重，种类和路径也会相对不同。

　　三、美国智库建议的应对措施

　　量子计算的风险威胁将影响每个政府机构、关键基础设施和行业，这将构成全面的国家安全威胁。因此需要整个国家采取集中协调的方法来应对风险。对此，美国智库兰德公司在相关报告中，提出了以下应对建议：

　　3.1总体策略

　　兰德建议，美国应当在以下三个策略方向上，开展量子计算准备和安全应对工作：

　　（1）采取各种措施推动PQC的开发和普及

　　广泛、适当地过渡到PQC将是减轻量子计算安全风险的最有效手段，PQC的研制速度、普及规模和标准协议将是决定潜在风险大小的关键性因。PQC的可互操性标准实施和普及的越早，最终风险就会越小。

　　（2）在数字基础架构中构建网络弹性和加密敏捷性

　　通过对数字基础架构进行调整以应对不断发展的当前威胁和未来威胁（例如量子计算），新系统的目标应当是：①保持足够的与量子计算及其标准的预期演进和PQC未来更高要求的兼容性；②通过模块化实现对新威胁或漏洞的快速响应和低成本的密码适应。总之，过渡到PQC所需的系统性更新提供了在原有通信和信息系统中使用新密码和安全结构的契机，这将有利于提高我们对当前和未来网络威胁的响应能力。推动PQC应用和进行量子计算准备的工作应当具有使用新系统的连续性阶段目标，以实现更大的网络弹性和加密敏捷性。

　　（3）为不确定的未来做好准备

　　量子计算的发展时间节点带有较大的不确定性，这将会产生一个难以预测和不太安全的未来。因此在对公众进行量子计算风险的普及时，应当在夸大威胁和忽视真实风险之间寻求平衡。美国的风险预案和控制能力可以确保在最坏的情况也不会导致数字信息安全的终结，而在最佳情况下，全球网络安全性可能会提高。

　　3.2白宫和行政部门应对措施

　　（1）确保联邦协调机构充分地优先考虑威胁

　　美国政府的应对措施需要一个专门应对量子计算威胁的联邦机构，负责协调政府各部门和整个行业的行动。鉴于美国国家量子协调办公室（NQCO）的其他优先事项，目前无法确定NQCO是否能够重视和应对量子计算威胁，政府应当在其（无法重视）情况下考虑设立其他机构或者路径。

　　（2）制定促进量子计算和PQC采用的标准

　　美国国家标准技术研究院（NIST）应对相关算法标准进行梳理和精炼，并基于此逐步创建国际标准。同时要确保创建的国际标准与当前NIST评估标准一致，尽量避免市场的分散化，确保互操作性的最大化和广泛普及。

　　（3）制定强制性向PQC过渡的政策

　　美国国家安全局网络安全理事会（NSA Cybersecurity Directorate）应当考虑制定一个政府各个部门、关键基础设施和其他组织向PQC过渡的政策方案，并确保足够的执法权限和极少的豁免例外。

　　（4）联邦协调机构应当推动改革并提高意识

　　扩大联邦协调机构的代表范围，使联邦政府中更多部门和机构的人员参与进来。机构应当：①召集政府和私营部门的利益相关者，提高意识并共同解决量子计算带来的风险；②发布有关PQC过渡和加密敏捷性的最新指南；③推动广泛的信息技术变革。

　　3.3国会应对措施

　　（1）通过听证会提高人们的认识并保持监督

　　国会听证会能够提高各方对量子计算风险的认识，建立相应监督机制，并审查量子计算准备工作的进度。国会应特别注意国家安全组织与非国家安全组织之间的模糊界限。

　　（2）通过立法激励公共和私营部门向PQC过度

　　国会的立法选择包括：①对政府各部门和关键基础设施的PQC过渡和加密敏捷性进行进一步的立法和授权；②增加或集中相关的人力和资金，确保政府的PQC过渡和量子准备工作；③制定一系列PQC过渡的商业激励措施；④适当实施PQC的认证计划。

　　3.4相关组织应对措施

　　（1）评估并跟踪量子计算的未来风险

　　将量子计算的潜在风险整合到组织的风险评估和管理体系中。整合并储备目前已有的相关信息以备未来开发时使用，评估当下和未来可能的漏洞。

　　（2）制定密码公钥的使用清单

　　梳理组织、合作伙伴和第三方供应商在组织内使用公钥加密的每个环节，在未来具备可行性技术和标准时全部过渡到PQC。

　　（3）建立网络弹性和加密敏捷性

　　组织应当计划建立更大的网络弹性和加密敏捷性，以改善整体网络安全性，确保向未来PQC的平滑过渡。

　　四、启示与建议

　　量子计算机的发展对通信基础设施的安全提出了一种新的威胁，网络攻击者找到了绕过旨在保护信息的加密系统的方法。采用量子技术实施的网络攻击将使用一种直接攻击这些密码系统的设备，从而破坏信息安全的基石。这是一个重大而紧迫的安全威胁，如果不能解决它，可能会对信息、军事、政治和经济安全造成毁灭性的影响。对此，我们应该高度警惕，及时采取行动，采取适当的政策、减少风险的措施，并提前做好各种应对准备：

　　首先，密切跟踪并积极参与后量子密码算法标准的推进工作。当前，许多国际标准开发组织正在测试和分析PQC算法，NIST正在起草PQC的标准协议4。NIST报告称，PQC标准的目标发布日期为2022年至2024年，之后将开始使用新协议向广泛的安全性过渡。由于NIST的后量子密码标准工作具有很大的影响力，因此，国内密码学界对此应给予高度关注和密切跟踪，并适时参与其中的相关工作。一旦新算法标准被创建和发布，则可以及时开始转换并广泛采用。

　　第二，在国家重大关键数字基础设施中构建加密敏捷性与网络弹性，改善整体网络安全。由于系统转换到新标准的过程将是漫长的，从历史上看，密码转换的时间表是以十年为单位来衡量的。尤其对于国家安全系统来说，因为新标准可能需要在整个协议栈的许多地方进行重大更改，包括软件、硬件或嵌入式数据结构的更改，PKC和PKI（公钥基础设施）非常普遍，使用它们的每一个设备和网络最终都需要使用新的标准来抵御量子计算机，其中涉及的软件与硬件的替换都需要时间和成本，这可能会进一步延迟过渡决策。这个过程伴随着网络攻击脆弱性的代价，因此，在涉及国家重大利益的关键数字基础设施中，当前我们必须重视加密敏捷性和网络弹性。网络弹性是指网络在遇到灾难事件时快速恢复和继续运行的能力；加密敏捷性是指在计算能力提高导致密码过时的情况下更换密码系统的能力。加密敏捷性包括：算法的敏捷、协议敏捷和实现敏捷。正确实现更灵活的密码系统是当前提高网络整体安全性的绝对必要的手段，特别是作为减轻量子计算威胁的手段。

　　第三，成立应对量子计算威胁的国家专门管理与监督机构。鉴于量子计算可能对国家政治、经济和军事等造成重大威胁与影响，我国应该尽早成立专门的组织与管理机构，定期评估威胁影响程度，协调各方的资源，并发布相关倡议计划，推动PQC标准的平滑过渡和广泛采用，监督企业的采纳情况。因为依靠市场力量来推动商业组织采纳，往往会导致企业在被违反之前不采纳，而政府主导的过渡可能会迫使企业采取更积极的措施。