<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/8-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">量子計算的獨特優勢預示了當今的加密方法，將在未來面臨嚴重威脅，為了能防禦量子計算的解密能力，目前正積極針對量子計算弱點，開發「後量子密碼」。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>近幾年，量子電腦和量子計算技術颳起一陣旋風，但目前離實際應用仍有段距離。於此同時，量子計算的獨特優勢卻已經預示了當今的加密資料將在不久的未來面臨嚴重威脅。量子計算還未成熟到足以為人類帶來福祉，但防禦量子電腦解密的工作已經刻不容緩。「後量子密碼學」早已是現在進行式，且將在近期完全改寫目前通用的加密方式。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>當密碼學遇上量子電腦</b></span></h2>
<p>密碼學最基本的概念在於設計一道複雜的數學題目，只有解開這個題目的人，才能讀懂加密訊息。舉例來說，傳統的 RSA 演算法便要求你將一個數字分解成兩個質數的乘積。有權限的使用者握有關鍵線索（也就是解密金鑰），可以輕鬆解開題目，但旁人若想要破解訊息，只能慢慢嘗試各種數字組合。即使是用古典超級電腦，要試出正確的組合也需要一千六百萬年的時間，根本是不可能的任務。</p>
<p>&nbsp;</p>
<p>而當傳統密碼學站穩了腳步，量子計算這時登上了舞臺。一般可能會把量子電腦想像成速度超快、性能超強的一般電腦，但這樣想並不完全正確，量子計算只在特定種類的問題上可以展現優勢。</p>
<p>&nbsp;</p>
<p>不幸的是，傳統密碼學樹立的幾種數學難題，剛好正中量子計算的下懷：它們都可以被拆解成某種週期性的結構，也就是量子電腦最擅長的題型。因此，這些對古典超級電腦來說，無法在短時間內解決的數學難題，都可以用量子電腦快速破解。</p>
<p>&nbsp;</p>
<p>而這個情況某種程度上也並非巧合。中央研究院資訊科學研究所鐘楷閔研究員說明：「回溯整個歷史，並非一開始發現的加密方式剛好都是量子不安全的；而是我們陸陸續續發現一些數學結構來做密碼學，當然現實上會希望使用效率較快的密碼，但那類都容易被量子電腦破解。」</p>
<p>&nbsp;</p>
<p>早在 1994 年，電腦科學家彼得．秀爾（Peter Shor）就證明了量子電腦可以快速進行質因數分解。不過當時僅限於紙上談兵，量子計算的物理技術才剛開始嬰兒學步，根本無法實際投入這個問題。</p>
<p>&nbsp;</p>
<p>將近 30 年後的今日，最頂尖的量子電腦已經有數百個量子位元。那要多少個量子位元才會對現行的加密資料造成威脅呢？答案是，只要有兩千萬個量子位元，就可以在數小時內破解現行的 RSA 2048。如果依照現行的指數發展，樂觀估計只要再 20 年就會出現規模夠大的量子電腦，危及所有的加密資料。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/8-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">大約要 2,000 萬個量子位元，才能在數小時內破解 RSA 2048，但目前最頂尖的量子處理器 IBM Osprey 只有 433 量子位元。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>與時間賽跑</b></span></h2>
<p>當然，量子技術發展的時程目前沒人說得準。那現在有什麼好擔心的呢？其實，此時此刻我們的加密資料可能已經陷入危機。「先儲存再破解」（Store Now, Decrypt Later, SNDL）攻擊指的是先將加密資訊存下來，等到大規模量子電腦普及後，再加以破解。鐘楷閔研究員說明密碼學中知名的「XYZ 定理」：假設你手中的文件需要保密 X 年，系統轉換到後量子密碼需要 Y 年，而量子電腦成長到足以破解現行密碼估計需要 Z 年；當 X+Y&gt;Z 時，任何先儲存再破解的嘗試便可說是已經得逞。</p>
<p>&nbsp;</p>
<p>Z 的數字大小現在還不好說，因此我們必須思考的是：Y 跟 X 分別是多少？過往經驗顯示，密碼學標準的轉換時常需要花費 10 年，甚至 20 年以上，而政府單位與特定產業的系統和產品，也有很大機會在數十年後持續運轉。</p>
<p>&nbsp;</p>
<p>因此，密碼學界早已開始建立可以抵禦量子電腦的「後量子」密碼學（Post-Quantum Cryptography, PQC）。「後量子密碼系統的安全基礎，仍然是計算上的數學難題，但這些難題不會像『因數分解』或『離散對數』可轉換成量子電腦擅長處理的函數週期問題。」匯智安全科技陳君明董事長說明，目前後量子密碼的主流是晶格 （lattice），也有基於雜湊函數、編碼理論、多變量、超奇異橢圓曲線同源等類型，這些都是量子電腦不擅長計算的難題。</p>
<p>&nbsp;</p>
<p>2016 年起，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）就開始籌畫「後量子密碼學標準化競賽」。NIST 徵召各方密碼學家，讓他們提出自己的 PQC 系統，再互相攻擊，看誰能破解其他人的密碼。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>後量子時代</b></span></h2>
<p>經過一連串激烈攻防，NIST 在 2022 年 7 月宣布四位優勝者提出的系統，徵召為新時代的 PQC 標準。在公鑰密碼的分類中，脫穎而出的是運用晶格密碼系統的 CRYSTALS-KYBER。數位簽章部分則由 CRYSTALS-Dilithium、FALCON、SPHINCS+ 這三組系統共同獲得被標準化的資格。</p>
<p>&nbsp;</p>
<p>選拔結束後，PQC 的時代似乎宣告正式開始。在選出 PQC 標準的同時，NIST 也制定了以 PQC 演算法為核心的 CNSA 2.0 （Commercial National Security Algorithm） 運作標準。匯智安全科技鄭嘉信執行長提到，美國政府計劃在 2025～2030 年，推動 CNSA 2.0 成為政府與民間共通之密碼應用的「預設演算法」，並在 2030～2033 年限制這些共通應用必須符合 CNSA 2.0 運作標準。</p>
<p>&nbsp;</p>
<p>「簡單來說，2025 年以後，在網際網路、金融交易、重大 IT 基礎設施，以及企業資料處理與交換等領域，將出現 PQC 演算法實作的需求；2030 年以後，目前正在使用的公鑰密碼系統演算法應該會開始被淘汰。」我們必須在這不到十年的時間內妥善因應，否則說不定到時候還沒面臨量子電腦的攻擊，僅僅是在密碼學方面與世界接軌，就可能遭遇困難。</p>
<p>&nbsp;</p>
<p>不過，導入新的後量子標準勢必要花費大量的時間和金錢，而且後量子密碼也並非毫無缺點。先前有提到，舊有的「前量子」密碼之所以被廣為採用，是因為其高效率的優點；換言之，PQC 效率相對較差。在密碼學上，效率牽涉到公鑰和密文的大小與複雜度等。「不管是大小還是時間上的效率，現行的標準是完勝，又小又快。」鐘楷閔研究員直截了當地說道，「PQC 採用五種數學結構，但總會有某方面輸給傳統標準」。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/8-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">後量子密碼無論是效率還是時間，都比現行的加密方式差，但未來難保量子電腦普及，因此要開始準備後量子密碼標準的設定。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>也就是說，目前等於是必須為了量子安全性，捨棄原本方便好用的密碼技術。雖然近年硬體發展快速，記憶和處理的性能相較以往已經不是那麼大的問題，但實際使用上是否會造成系統負擔，仍是設計與應用時的考量。</p>
<p>&nbsp;</p>
<p>不論軟硬體發展如何，往後將被標準化的演算法已經大致底定。因此，在組織層面上，該如何因應後量子時代的來臨，是接下來的課題。包括 J.P. Morgan、Google 等大企業都已經採取動作，為後量子標準的導入進行規劃。</p>
<p>&nbsp;</p>
<p>面對這波密碼系統的轉換，中央研究院資訊科學研究所楊柏因研究員對企業與組織提出了非常具體的建議：「我們必須正視遷移到後量子的必要性，指派專人負責後量子遷徙的工作。」作為第一步，我們可以盡速盤點所有使用密碼系統的軟硬體、抽換可以修補的部分、及早揚棄缺少原始碼的部分，並且重起爐灶。在遷徙到後量子的過程中，可以使用複合加密（傳統和後量子同時加密） ，並盡量重複使用已知高效、安全且形式驗證正確的開源程式，也就是盡量減少開發者自行編寫的部分。</p>
<p>&nbsp;</p>
<p>針對政府與國家機關，鄭嘉信執行長也列舉了一些適當的因應方針。包括：</p>
<ol>
<li>建立與 CNSA 2.0 相容的國家級密碼應用標準。</li>
<li>推動金融與重大基礎設施進行密碼系統轉換。</li>
<li>鼓勵民間企業參與 PQC 密碼系統相關應用產品設計研發等。</li>
</ol>
<p>&nbsp;</p>
<p>陳君明董事長提到，NIST 旗下的「國家網絡安全卓越中心」（National Cybersecurity Center of Excellence, NCCoE） 將致力於協助各界轉換至 PQC。其做法及出版的文件具有高度參考價值，值得臺灣政府與企業借鏡。</p>
<p>&nbsp;</p>
<p>那麼，在後量子時代來臨之際，我們作為終端使用者該怎麼辦呢？其實不須太過擔心，這些後量子密碼最終都會商業化，成為包裝上市的通用產品。只要多多關注通用密碼標準，並即時更新，便可以獲得後量子技術的保護了。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜中央研究院資訊科學研究所 楊柏因研究員、中央研究院資訊科學研究所 鐘楷閔研究員、匯智安全科技 陳君明董事長、匯智安全科技 鄭嘉信執行長；責任編輯｜曹盛威、劉品萱）</p>
