量子计算会成为下一代网络安全威胁？

　　美防务独家新闻（DEFENSESCOOP）网站2023年5月17日发表了前美海军上将约翰·理查森的评论性文章《下一代网络安全威胁已经来临》。文章认为，量子计算的发展，将极大提升破解加密协议的能力，导致新网络安全问题的出现，建议进一步加快后量子密码系统的发展和运用。文章现编译如下。

　　2022年底，美总统拜登签署“量子计算网络安全准备法案”（QCCSP）为法律。该法案指示美国管理和预算办公室优先考虑在联邦信息技术系统上运用抗量子密码的任务，并在2023年12月前向美国会提交一份报告，概述其实现这一目标的策略。尽管这项法案通过并未大张旗鼓地宣传，但它代表了确保美国未来发展的重要一步。虽然量子计算机距离破解当今的加密协议还需要一段时间，但这样的威胁已经现实存在了。美国的对手正在进行所谓“现在存储，以后解密”的攻击——窃取加密数据，将其存放在自己的服务器上，以便具备技术能力后解密和利用。对于国防部而言，面临风险的数据可能包括机密情报、条约谈判的细节、军事战略、决策过程、武器设计、训练协议、人员信息或高价值目标数据等。

　　美国必须在更强大的量子计算机诞生前解决安全密码威胁，因为一旦可扩展量子计算机技术得到进一步突破，它们可能会在几小时甚至几分钟内破解几乎所有现有的安全代码和协议。为了防止这种情况发生，美国国家安全局设定了2035年在国家安全IT系统中采用后量子密码（PQC）的最后期限。美国国家标准与技术研究院（NIST）发布了一套经过验证的PQC算法，这些算法构成了量子安全加密的基础。这些算法是25个国家和地区的利益相关者经过6年严格努力的结果。

　　在国防部应用PQC协议过程复杂，需要时间，但凭借前所未有的公私合作，这项工作是可以实现的。2022年，NIST国家网络安全卓越中心（NCCoE）推出了“向后量子密码迁移”项目，其中包括一个由17家公司组成的国际联盟，以帮助相关机构和组织采用PQC，但仍有许多障碍阻碍国防部采用PQC。

　　首先，国防部正在应对日益复杂的安全环境，其中包括对手的崛起，他们拥有美国几代人都未曾见过的能力和实力。多极世界已经到来，保持美国在全球事务中地位的一个重要方面将是引领新兴和革命性技术的步伐——例如不断发展的数据加密标准——这些技术对国家安全具有深远影响。另一个挑战是，国防部对许多新兴学科（例如量子技术）仍然知之甚少，安全影响也仍然模糊不清。在考虑应该从哪里开始进行PQC迁移时，那些充分意识到量子计算机威胁的国防部人员也不知所措。

　　一种可行且富有成效的方法是将PQC迁移工作重新定义为一组可以分阶段解决的问题。许多专家建议，任何PQC迁移的第一阶段都应该是加密清单和漏洞评估，这不需要太多资金就能开展，但需要几个月或更长时间，这是迁移开始之前必不可少。许多行业参与者随时准备与国防信息系统局合作，以统计密码清单、制定迁移路线图、预测年度成本，这些是可以立即采取的步骤。

　　最后，国防部信息技术领导者必须记住，“密码敏捷性”，即网络安全系统快速适应新密码算法的能力，将是PQC迁移的一个重要因素，因为保护数据免受量子威胁的过程将是连续和动态的。应用上文概述的模块化、阶梯式方法将有助于实现和保持应对未来网络威胁所需的敏捷性。敏捷的信息技术架构必须维护一份加密组件清单，并根据需要更新它们，以与最新标准和最佳实践保持同步。

　　目前国防部领导层在零信任架构方面取得了长足进步，该架构不断验证数字交互的每个阶段。实现加密敏捷性的一部分是为零信任架构整合与补充PQC。正如QCCSP法案所强调的那样，国防部和所有依赖数据安全的组织仍然迫切需要立即开始PQC迁移过程，以保护关键数据和基础设施。美国国家安全局预计新的密码学将需要20年或更长时间才能在国家安全系统中得到全面部署。

　　编辑：黄飞