6.2 后量子同态加密

6.2 后量子同态加密：抗量子的天然属性与迁移纪律

本节摘要：同态加密建在格问题上，对已知量子算法（包括萧尔算法与格上的筛法加速）只有平方根级的成本折价，天然处于密码学后量子迁移的第一梯队。本节算清量子攻击的复杂度账，说明"抗量子"的确切含义与边界，讨论标准化语境下的定位，并给出系统级迁移的纪律清单。

量子威胁的不对称打击

量子计算对经典密码的打击是不对称的：公钥密码的两大数论地基（大整数分解与离散对数）在量子模型下被多项式时间算法（通称萧尔算法）直接击穿，属于"归零式"威胁；对称密码与哈希只被通用搜索加速（格罗弗类算法）削去一半安全位，把密钥长度加倍即可恢复。第三类是格上问题——最短向量、最近向量与其代数化身（误差学习）：已知最好的量子加速来自筛法内部步骤的幅度放大，成本指数的每维系数从约零点二九二降到约零点二六五，折算下来整体只有平方根量级的折价。三类威胁的量级差距，决定了后量子迁移的主战场在公钥体系，而格基础的公钥技术（同态加密、以及新一代签名与密钥封装）天然站对了阵营。

把账落到参数上。第四章讲过按量子模型验收参数：一百二十八比特安全意味着最好的已知量子攻击成本不低于二的一百二十八次方。格参数的量子折价是平滑的（指数系数微调），不是断崖式的（算法类别改变），所以参数调整是"维度加档"级别的动作，不要求推翻方案。这与数论基础的处境形成鲜明对照——后者的迁移意味着整个算法家族更换。演化史的视角在这里给出一个漂亮注脚：格密码在一九九零年代被研究时，"抗量子"还不是卖点，人们看重的是最坏情况归约与代数结构；等量子威胁成为现实议题，早期"恰好选对地基"的红利才显现出来。技术的长期回报常常来自当初未被计入的理由。

抗量子的确切含义与边界

"同态加密是后量子的"这句话要拆成三层才能准确使用。第一层，数学层：其安全假设（误差学习及其环上版本）对已知量子算法只有平方根级折价，这是可证明、可核算的——用第四章的估计器按量子模型核对即可。第二层，方案层：同态方案内部的全部构件（加密、求值材料、自举）都建立在同一族格假设上，没有数论"后门"需要补漏——这一点优于许多拼装式的后量子协议。第三层，系统层：一个使用同态加密的系统未必后量子——传输层若仍在用传统密钥交换，认证若仍是传统签名，系统水位由最弱环节决定。三层含义依次收窄，工程文档里的"后量子"声明必须写明指的是哪一层。

边界之外还有两个诚实的限定。其一，"对已知量子算法安全"不等于"对量子计算机安全"——未来可能出现更好的量子格算法，这是所有后量子技术共享的剩余风险，对冲手段是密码敏捷性（算法可替换的架构），而非对单一假设的信仰。其二，格假设的强度在学术上有细分级差：一般误差学习的归约最干净，环上版本依赖理想格的额外假设，超奇异同源类被攻破的历史提醒我们假设会出事——持续跟踪密码分析的进展，是安全工程的常规动作而非可选动作。

标准化语境下的定位

后量子迁移的全球协调由标准化组织牵头：新一代公钥标准（密钥封装与签名）已定稿落地，全部基于格与哈希类难题。同态加密在这个版图里的位置特殊：它不是迁移清单上的"替代品"（没有经典对应物要替换），而是迁移后新能力的技术底座——迁移完成后，加密计算、隐私协议这些新能力天然继承抗量子属性。标准组织对同态加密的独立立项（下一节展开）把参数安全位、量子模型核算写进了文本，等于把本章的复杂度账官方化了。采购与合规视角下，这带来一个实用结论：把同态部件引入系统，可以同时在"新能力"与"后量子水位提升"两个科目记分，这是它在大型机构技术路线图里位置上升的现实原因之一。

迁移纪律清单

把讨论收束为可执行的清单。第一，算法清单化：枚举系统全部密码构件（传输、认证、加密计算、密钥存储），标注每个构件的量子脆弱性，输出迁移优先级——同态部件通常是绿灯，传输与认证往往是红灯。第二，水位声明分层：文档里区分"算法抗量子"与"系统抗量子"，避免营销口径污染技术口径。第三，密码敏捷性改造：密钥协商与算法协商走可升级协议，把算法标识与实现解耦，未来更换格参数档或算法家族时不推翻架构。第四，参数复核周期：量子攻击模型的进展要纳入定期复核（第四章的核算纪律在后量子语境下频率加倍）。第五，长数据保密性：今天加密传输的敏感数据若需要保密十年以上，"先截获后解密"的威胁模型要现在评估——数论基础的通道在量子时代会失守，把长保密数据的通道切到格基础上，紧迫性高于其他场景。

💡 关键直觉：后量子迁移的正确心态是"换地基不换楼"——同态加密的地基（格）恰好是新城区的标准地基，所以它不是被迁移的对象，而是迁移后新楼盘的承重结构。

本节要点回顾

• 要点一：量子威胁不对称——数论地基被多项式时间击穿、格问题只有平方根级折价，格基础的天然抗量子是演化史的迟到红利
• 要点二："后量子"分三层（数学、方案、系统），声明必须写明层次；系统水位由最弱环节决定
• 要点三：剩余风险是"未知量子算法"与"假设强度细分级差"，对冲手段是密码敏捷性与跟踪复核
• 要点四：迁移五纪律——算法清单化、水位分层、敏捷性改造、参数复核加频、长保密数据优先切格基础

四、迁移视角的实操清单

把后量子视角落到迁移操作的清单上。清单一，盘点数据寿命：把组织的数据按保密期限分级——需要保密超过十年的数据（医疗档案、基因数据、长期合同）是同态加密与后量子优先级最高的战场，因为今天的截获就是明天的解码。清单二，方案侧的现状评估：主流同态方案的安全根基（LWE 与 RLWE）在量子算法面前的证据链，比 RSA 与椭圆曲线的强几个量级，但"参数-安全强度"的换算表要锁定到最新建议版本，旧参数表一律停用。清单三，混合模式过渡：密钥交换与身份认证环节采用经典与后量子的双证书拼接（即使一方被破仍保安全），数据加密环节直接上格基方案——这是当前权威机构推荐的迁移姿势，同态加密的场景可以直接沿用。清单四，性能预算重估：后量子参数的密文膨胀与计算开销普遍上浮，既有同态业务的噪声预算与硬件规格要重新核算。四项清单走完，组织面对量子威胁的姿态就从口号变成了路线图——而同态加密恰好站在"数据寿命长"与"计算需保密"的交点上，是这场迁移里最值得提前布防的阵地。