第七章 · 量子威胁与密码分析实践

第七章 · 量子威胁与密码分析实践

章节摘要：本章跟着"攻击者如何思考"这条线走：从敌手模型与攻击分类开始，绕过数学直取物理的侧信道，再到悬在 RSA 与 ECC 头上的量子之剑与已启动的后量子迁移，最后以密码工程最佳实践与合规伦理收束全书。防御的体系，只有在看清攻击的全貌之后才算真正建立。

一条主线

这一章的主线：系统的实际安全水位，永远由它最脆弱的环节决定——而脆弱环节往往不在算法里。

前六章把防御的零件造齐了：对称密码够快够强、公钥协商与签名各司其职、哈希托住完整性、协议把次序焊死。本章换到攻击者一侧验收这份工程。验收从建模开始（7.1）：敌手能拿到什么——只有密文，还是连同明文样本，甚至能指挥加密机随心所欲地加密解密——决定了攻击的分类与防御的口径；接着钻进算法之外的缝隙（7.2）：功耗波形、执行时序、缓存抖动、电磁辐射，数学上无懈可击的实现照样被示波器读出密钥，恩尼格玛时代"操作规程比机器脆弱"的教训在此有了物理升级版。

然后是那把悬在头顶三十年的剑（7.3）：1994 年 Shor 算法在数学上宣判了 RSA 与 ECC 的死刑，只等量子硬件执行。通用量子计算机仍未建成，但"先存后解"的窃听者已经在收集今天的密文——迁移的时间窗不是"量子机建成之日"开启，而是现在。NIST 于 2024 年 8 月定稿了首批后量子标准：ML-KEM（原 Kyber）管密钥封装，ML-DSA（原 Dilithium）与 SLH-DSA 管签名；浏览器与云厂商的 TLS 已在试跑混合密钥交换。最后一节（7.4）把全书的教训装进一张可执行的清单，并处理两个技术之外的问题：合规版图（FIPS、国密、出口管制）与加密后门的世纪之争。

沿途站点

• 7.1 攻击模型与方法：唯密文、已知明文、选择明文、选择密文四档敌手能力，暴力穷举的成本算术与密码分析四大家族，协议层与实现层攻击为何比算法攻击更高产；
• 7.2 侧信道攻击：时间、功耗、电磁、缓存与故障注入五条物理信道，恒定时间实现与掩蔽等对策，"攻击时间而不攻击算法"的工程含义；
• 7.3 量子威胁与后量子迁移：Shor 与 Grover 各自威胁谁、威胁到什么程度，先存后解的时间悖论，NIST 标准定稿与混合迁移路线图；
• 7.4 最佳实践与合规伦理：一张可执行的工程清单，FIPS 与国密双轨合规，密码战争与后门争论的历史与现状。

拐点与结论

本章的认知转折在 7.2 与 7.3 的合流处：算法的数学强度已经连续多年不再是实战攻击的主战场，实现与协议才是；而量子威胁恰好反过来——它攻击的不是实现，是数学本身。两条战线一实一虚，防御却共用同一个词：敏捷。实现敏捷（恒定时间、可替换的算法抽象层）与算法敏捷（后量子迁移的混合模式）是同一份工程哲学的两种落地。

最终落点呼应全书起点：凯撒死于穷举，恩尼格玛死于结构性线索，DES 死于算力兑现，MD5 与 SHA-1 死于内部捷径——密码学的历史就是一部"每一次自信都被某种攻击证伪"的历史。后量子迁移不是这段历史的反例，而是它的下一章：我们第一次在被攻破之前就开始迁移，历史第一次跑在了攻击前面。

读完你应该

• 说出四档攻击模型的定义，并给"窃听 Wi-Fi""控制加密机解密任意报文"各归一位；
• 估算任意密钥空间的穷举时间，说明 AES-128 与 AES-256 在 Grover 算法下分别剩多少有效强度；
• 用"先存后解"逻辑推算自己所在行业的量子迁移截止日期；
• 解释恒定时间编程为何重要，并指出两处真实实现里会泄露密钥的分支或查表；
• 落地一张密码工程清单：库的选型、随机源、算法抽象层、版本禁用、密钥轮换与审计节奏；
• 向管理层讲清 FIPS、国密双轨合规的取舍，以及"后门争论"里双方各自的技术理由。

下一站

全书没有下一章了——但密码学的下一次更替正在发生。读完本章，回看第一章凯撒的 25 把钥匙，你会认出一条贯穿三千年的定律：保密从来不是状态，而是持续被攻击检验的过程。