7.3 抗量子与后量子迁移：给假设做资产管理

7.3 抗量子与后量子迁移：给假设做资产管理

本节摘要：量子计算对零知识证明生态的威胁并不均匀：配对与椭圆曲线路线面对 Shor 算法是灭顶之灾，哈希路线只是被 Grover 算法降速一半。本节给全部技术成分做威胁评级，给出迁移顺序与触发信号，并纠正"量子末日"叙事里的常见误读。承接 7.2，通往 7.4 的工具链。

先分清两把刀：Shor 与 Grover

量子威胁的讨论常被混为一谈，先把两把刀分开。Shor 算法：对大整数分解与离散对数给出多项式时间解法——一旦实用化，椭圆曲线上的离散对数（SNARK 系的全部底层假设）、配对结构、现行数字签名全部作废。这是存在性威胁：不是变慢，是直接攻破。Grover 算法：对无结构搜索给平方级加速——把 128 位安全的哈希搜索降到等效 64 位。这是降级威胁：加倍哈希输出长度即可对冲，抗碰撞的等效安全随输出长度平方关系回落，参数补偿就能续命。

对零知识证明生态逐项评级，结论相当分明。证明系统的核心结构（承诺、抽查、FRI）本身不依赖数论难题的，天然站在受冲击较小的一侧；配对承诺（KZG）与基于离散对数的承诺（Pedersen）依赖的结构正是 Shor 的靶心；哈希承诺与 Merkle 树只需参数加倍。换算成第 3 章的家族划分：STARK 系几乎整装待发，Groth16 与 Plonk 系需要整体换发动机。

误读一：签名先死，证明系统未必同日

一个高频误读是把"量子来临"当作单一时点。实际威胁取决于数据需要活多久。资金与签名的暴露面是长期的：今天公开的公钥，十年后仍可被回溯攻击（先存后破）——所以签名体系的迁移最紧迫。证明系统的暴露面相对短期：一份证明只在一小段时间内需要安全保护，过期后即使被伪造也失去对象。真正需要立刻规划的顺序是：长期签名 → 密钥交换 → 证明系统的承诺层。反过来的优先级排法（先折腾证明系统）是常见的预算错配。

还有一个容易忽略的复合点：证明系统不是孤立运行的——它上链要过签名验证合约、要用密钥管理。整条信任链上最弱的那个部件才是实际安全等级。配对路线的证明配合经典签名的链，其"抗量子"讨论在签名迁移完成前都是纸上谈兵。

亲手算一次安全等级换算

把威胁换算成参数动作，比空谈"末日"或"安全"都有用。下面演算把 Grover 降级换算成具体的参数补偿表：

# Grover 降级换算：输出长度加倍，等效安全如何回落
def effective_security(bits, quantum_ratio=0.5):
    # Grover 平方加速：N 比特经典安全在理想量子对手下约剩 N/2 比特
    return bits * quantum_ratio

def preimage_and_collision(bits):
    # 原像攻击受 Grover 减半；抗碰撞（生日型攻击）的量子加速较温和（约三次方根级）
    preimage = effective_security(bits)
    collision = bits * (2 / 3)               # 工程常用的保守近似
    return preimage, collision

print(f"{'哈希输出':>8}{'原像安全':>10}{'抗碰撞安全':>12}{'结论':>20}")
for bits in [128, 192, 256, 512]:
    p, c = preimage_and_collision(bits)
    verdict = "够用" if min(p, c) >= 100 else "需换参数"
    print(f"{bits:>8}{p:>9.0f}位{c:>11.0f}位{verdict:>18}")
# 典型输出：
#  哈希输出   原像安全   抗碰撞安全              结论
#      128       64位        85位             需换参数
#      192       96位       128位             需换参数
#      256      128位       171位                够用
#      512      256位       341位                够用
# 工程动作：哈希路线直接把输出提到 256 位档即完成对冲
​

对照 7.2 的视角再看这张表：STARK 类方案默认使用 256 位档哈希，对冲动作在参数层就已完成；它需要的只是把"安全声明"明确写成"仅依赖哈希函数"并在标准里固定参数档。

图：迁移威胁时钟与触发信号

迁移的工程剧本

落地剧本分三步。第一步盘点：把系统全部密码学依赖列成资产清单——每项写明假设、参数档、数据寿命、替换候选，形成"假设资产负债表"。第二步定触发：给每个迁移项写明触发条件与负责人（上图的信号清单是起点），避免"等狼来了再讨论"的被动。第三步预演：在测试环境把替换方案跑通——哈希路线提到高参数档基本零成本；配对路线的替换则牵动整个证明系统，预演能提前暴露工具链与审计的连锁成本。剧本的精神与 5.1 一致：安全是假设加纪律，迁移是假设的资产重组——重组预案写在新假设出事之前，才是资产管理的本义。

过渡：迁移要动工具，工具链本身呢

假设的资产管理讲到工具就到了尽头，下一节走进工具链与标准化的现场——那里决定着这整套技术能不能被普通工程团队用起来。

一支团队的假设资产负债表示例

把迁移剧本落成文档样例。某中型团队的密码学资产清单（节选）：资产一，账户签名体系，假设为椭圆曲线离散对数，数据寿命长期（公钥公开后终身暴露），迁移优先级最高，候选为已定稿的抗量子签名标准，触发信号为行业基础设施库发布稳定实现。资产二，证明系统承诺层，假设为配对与知识指数假设，数据寿命中期（单份证明暴露窗口以周计），优先级中，策略是跟踪哈希承诺替代方案并在下一版电路预留双承诺接口。资产三，链下传输加密，数据寿命短，优先级低，随上游协议栈升级顺带完成。这份表的要害在"数据寿命"一栏：它把同一个量子威胁切成了不同紧急度的三笔账，预算与排期从此有了依据。每个团队都应该有这张表，而不是一份"我们关注量子风险"的表态文档。

追问两则

**问：格基证明系统研究到什么程度了？**早期但活跃：用格上难题替代数论难题构造承诺与论证的工作已有若干候选，证明尺寸与速度距生产水位还有明显差距。务实的路线是"先迁签名、证明层用哈希路线兜底"，格基证明等它自己成熟，不排进近期计划。

**问："先存后破"对证明系统有什么具体含义？**主要打击长期保密数据，对证明的直接影响有限——但有一条例外：若系统里存在"凭历史证明追溯权利"的设计（长期有效性的凭证、历史状态的合法性存证），那些证明的暴露窗口就是长期的，其承诺层要按长期资产对待。判断标准始终是数据寿命，不是技术名词。

补充：证明系统里的"长短命数据"速判

给迁移盘点提供一个快速分类法。问一个问题：**这份密码学材料的失效自愈性如何？**签名密钥可以轮换——旧公钥作废换新，属"可自愈"类，量子信号出现后再换也来得及；而"公钥已公开且资产不可迁移"的材料（区块链地址的公开钥、已部署合约的验证密钥）属"不可自愈"类——必须在新信号出现前完成迁移，因为事后无法召回历史公开材料。证明系统的承诺层多数落在两者之间：证明可重生成（可自愈），但承载证明的合约与参数仪式记录不可重写（不可自愈）。速判法的作用是防止两种极端：把可自愈的东西提前花大钱迁移，或把不可自愈的东西留到信号出现后的恐慌抢跑。

本节要点回顾

• 两把刀分开谈：Shor 是存在性威胁（数论假设全灭），Grover 是降级威胁（提参数档对冲）；
• 威胁评级落在家族：哈希路线近于整装，配对与离散对数承诺层需整体换发动机；
• 按数据寿命排顺序：长期签名最先，证明系统承诺层次之，哈希参数只是补一笔；
• 迁移是假设的资产重组：清单、触发条件、预演三步，把被动等狼变成主动排班。