郁昱
上海交通大学特别研究员，博士生导师。主要从事密码学基础理论的研究工作，2010年回国后曾分别在华东师范大学和清华大学任教，多项研究成果发表在密码三大会(CRYPTO/EUROCRYPT/ASIACRYPT)和CCS,TCC,CHES,CT-RSA,ESORICS等密码与信息安全的代表性会议上。目前服务于国际密码学会理事会（IACRboard）担任观察员并负责学会官网www.iacr.org的日常管理事务，2015年获得中国密码学会优秀青年奖。
张江
信息安全博士，主要关注于可证明安全、公钥加密和密码协议的研究，现为密码科学技术国家重点实验室助理研究员，在国际重要密码会议和期刊EUROCRYPT、ASIACRYPT、PKC、DCC、TCS等发表了多项研究成果。个人主页：jiangzhang
文/郁昱张江
最近一些新闻媒体报道了量子信息/量子计算将对传统密码技术（也称为现代密码或经典密码）构成严峻挑战甚至将是彻底的颠覆。作为密码学的研究人员，我们抛砖引玉谈谈对“量子计算vs密码技术”这一问题的看法，同时简单介绍一下近期正在开展的后量子密码方面的研究工作。
生活中的“密码”
随着信息技术的发展和互联网的普及，密码技术被广泛用于网络和信息系统安全的各个方面，保护着信息的秘密性、完整性、不可抵赖性等信息安全的重要属性，也是网络空间安全学科的一个重要组成部分[1]。由于翻译和使用习惯的原因，绝大多数民众理解的密码仅限于登录各种应用账号（如邮箱、支付宝、微信等）需要输入的若干数字和字母组合，即所谓的口令（英文为password/passphrase）。通常来说，口令只是用于实现服务器对用户的身份认证，然而密码学（Cryptology）的意义则广泛得多，生活中常用的手机SIM卡、银行U盾、比特币、网络证书、TLS/SSL等协议甚至包括公交卡、二代身份证等都需要不同密码技术的支持。
量子密码技术对传统密码技术的“威胁”
相对于现代密码技术，目前量子密码的应用相对较少，主要包括量子密钥分发和量子比特承诺等，其中量子密钥分发可用于实现信息的安全传输，是目前最受关注的量子密码应用。接下来，将围绕安全的信息传输，简要介绍一下传统的密码系统。经典的密码系统主要由密钥和密码算法两部分组成，密码算法通常是公开的，而密码系统的安全性只决定于密钥的保密性。如图1所示，在一个加密系统中，加密算法Enc和解密算法Dec都是公开的，而加密者Alice和解密者Bob则分别拥有加密密钥k1和解密密钥k2，Eve是传输信道上的攻击者。当Alice想要发送数据m给Bob时，Alice将加密密钥k1和数据m作为加密算法Enc的输入，计算得到密文c=Enc(k1,m)并发送给解密者Bob。当接收到密文c后，Bob将解密密钥k2和密文c作为解密算法Dec的输入，计算得到明文m=Dec(k2,c)。
根据密钥使用方式的不同，加密系统又分为对称加密系统和公钥加密系统。在对称加密系统中，加密和解密是用同一个密钥，即k1=k2，该密钥是对外保密的。对称加密系统主要包括流密码和分组密码，其中分组密码较为常用，我们熟知的美国的分组加密标准DES、AES以及我国的商用分组加密标准SM1、SM4等。这类算法通常是密码学家在一些现有的设计原则和分析方法上设计出来的，而不是基于已知的数学和计算复杂性理论方面的困难问题。据我们所知，在量子计算模型下，目前针对对称密码系统最高效的Grover算法，也只是将密钥的有效长度减少为原来的一半。换句话说，真正意义上的量子计算机，即使能够实现，其破解AES-256仍然需要2128量级的计算代价。
使用对称加密有个前提，即加密者和解密者必须事先共享一个较短(例如128比特)的密钥，这在一些应用场景下是不现实的。公钥加密系统的出现，解决了这个问题。最具开创性的Diffie-Hellman密钥交换协议可以确保通信双方在不共享任何保密信息的前提下建立共享的密钥，之后又出现了RSA和ElGamal公钥加密，我国也有相应的公钥密码标准SM2。由于公钥类的加密效率相对较低，现实应用中，在通信双方建立共享密钥之后，一般都会使用更为高效的对称加密算法对大量数据进行加密。公钥加密的特点是，它们的安全性都是建立在一些著名的计算困难问题之上，如RSA大数分解，离散对数等等，目前研究学者没有找到在图灵机模型下高效求解大整数分解和离散对数问题的经典算法，但美国科学家PeterShor在1995年却给出了能够在多项式时间内高效求解大整数分解和离散对数的量子算法。即借助于量子计算机，攻击者可以高效地破解基于大整数分解和离散对数问题的RSA和Diffie-Hellman等公钥密码方案。虽然目前量子计算机还局限在几个量子比特的原型阶段，在其上面运行Shor算法也仅能分解两位的合数，科学家们都在为迎接“后量子时代”做准备。量子信息技术对以上问题给出的解决方案是通过量子密钥分发技术在传输双方建立共享密钥，然后再通过香农一次一密或类似的方法对称地加密实现无条件的安全性。然而目前量子密钥分发的速率仍是实现高速率信息传输的瓶颈。而且，与传统的密码技术一样，理论上可论证的安全性并不等同于实际系统的安全性，密码系统在实现时硬件和系统的非理想性也可成为能被攻击者利用的漏洞。