3.2PQC主要研究方向

3.2 PQC 主要研究方向

PQC 是一组算法的统称，它们建立在五类"量子计算机也难解"的数学难题之上。NIST 标准化进程最终也让这几类各就各位。

方向分类

五大方向速查

选型逻辑

• 通用加密/封装：优先格密码（Kyber/ML-KEM），性能与体积均衡。
• 数字签名：Dilithium/ML-DSA 为主，SPHINCS+/SLH-DSA 作无状态哈希签名备份。
• 极端稳健需求：以哈希签名为保守兜底，因为它只依赖哈希的安全性，假设最少。

💡 格密码之所以胜出，是因为它在密钥尺寸、性能、安全性三项上最均衡，能够被同时用于封装与签名，简化部署。

⚠️ Rainbow（多变量签名）和 SIKE（同源）都曾进入 NIST 候选，后来分别因结构性弱点与经典攻击被撤出，选型务必以最新标准名单为准，不要照搬旧资料。

深入讨论：格密码为什么成为综合最优解

格密码能成为 NIST 主力，不是因为它在某一方面碾压对手，而是因为「安全、性能、尺寸」三项指标最均衡。它的数学基础是格上的最短向量问题（SVP）与带误差学习问题（LWE），量子算法目前只能把格问题的攻击复杂度降到一个亚指数级别，仍然足够安全；同时格方案的公钥、密文与签名尺寸都落在 KB 级，能被 TLS 握手、证书链等现实协议接受。反观编码密码，Classic McEliece 的数学假设极稳，但公钥达到 MB 级，握手场景直接不可用；哈希签名的假设最少、最保守，但签名体积大、速度慢。

另外几个方向的教训也值得记住：多变量密码的 Rainbow 因代数结构弱点被攻破，同源密码的 SIKE 被经典算法直接破解——它们都曾在尺寸上极具吸引力，却在安全分析上失守。这提醒工程人员，选型时「尺寸小、速度快」的优势必须与「经受住时间检验」的安全记录放在同一杆秤上称量。

# PQC 五大方向与主流实现对照
方向        代表标准/候选       典型尺寸             适合场景
格密码      ML-KEM/ML-DSA      公钥 KB 级           通用加密/签名
编码密码    Classic McEliece   公钥 MB 级           静态密钥封装
多变量      Rainbow（已撤）    签名小、验证快       历史教训
哈希密码    SLH-DSA(SPHINCS+)  签名 10KB+           保守兜底
同源密码    SIKE（已破）       密钥极小             历史教训

# 按场景选方向的口诀
通用加密封装：格（ML-KEM）
通用签名：    格（ML-DSA）
长期归档签名：哈希（SLH-DSA）作保守备份
带宽极敏感：  格（ML-KEM-512/FN-DSA 类紧凑参数）
​

这张对照表把「方向」落到「具体算法与场景」，让第五章的选型讨论有了可直接引用的锚点。核心结论是：方向没有绝对优劣，关键是匹配场景的安全需求、尺寸约束与成熟度，而「经过标准检验」是所有选型的第一前提。

补充一个趋势观察：PQC 的实现生态正在快速成熟，主流密码库已集成 ML-KEM 与 ML-DSA，TLS 1.3 也已支持混合密码组，这显著降低了工程接入成本。对多数开发团队而言，方向选型的实际工作已经从「评估算法」转为「评估参数集与集成路径」——优先采用标准库默认参数，避免自行裁剪或组合，是降低实现风险最直接的策略。

还要注意参数集的搭配一致性：密钥交换与签名若使用不同安全级别（如封装用 ML-KEM-768、签名用 ML-DSA-44），整体强度会被低的一档拉低，审计时难以解释。建议像经典时代统一 AES 与 RSA 强度一样，为每个系统设定统一的目标安全级别，让封装、签名与对称加密落在同一档。

（补充：NIST 安全级别 Level 1/3/5 分别对应破解 AES-128/192/256 的难度，选型时直接以「目标对称强度」翻译成「PQC 参数档」，是团队间沟通的最简洁语言，值得在各文档中统一使用。）

而方向层还有一个现实维度值得记录：多变量与同源两个方向虽已淡出标准名单，但它们的研究结论（如何被攻破、攻破速度多快）仍是 PQC 生态的宝贵输入，提醒后来者「尺寸优势永远不能凌驾于安全分析之上」。理解这段历史，是判断未来任何新兴候选方案成熟度的参照。