後量子後AI時代的網路安全

現代利用數學來加密的方式，大抵是利用陷門單向函數（trapdoor one-way function）的特性來實施。

陷門單向函數是一種雙向計算難度差異巨大的函數。譬如將2個質數p和q相乘，得到一數N，這只是簡單的乘法；但若要從N回復成p和q，就牽涉到質因數分解（prime factorization）問題，工夫就大了，除非事先知道p或q其中一個數目。

計算簡單的方向，就是加密—計算簡單，所以不會造成太大負擔；計算繁複的方向，就是要造成解密的困難，除非持有金鑰才能解密。

在上面質數相乘的例子，基本上就是密碼學（cryptography）中公鑰基礎設施（Public Key Infrastructure；PKI）的基礎原理：N是公鑰，而p或q是私鑰。整個演算法叫RSA（Rivest, Shamir, Adleman），是用來傳送金鑰的手段；而所傳送的金鑰，則用來加密或解密資訊，最常用的標準是AES（Advanced Encryption Standard）演算法。

利用陷門單向函數的計算難度差異是近代密碼學保護資訊的重要手段。

不幸的是這些加密手段開始變成資安通訊標準不久後，立即面臨可能的威脅。RSA在1977年提出、1991訂為規範；AES在1998年提出、2001年成為美國國家標準暨技術研究院（National Institute of Standard and Technology；NIST）的標準。

但是在1994年，Shor’s algorithm被公開了，這個量子演算法可以破解質因數分解問題—也就是RSA的核心屏障。相較於經典演算法，這個量子演算法有指數型加速（exponential speedup）的優勢；對於橢圓曲線密碼學（elliptic curve cryptography）以及離散對數密碼學（discrete logarithm cryptography），Shor’s algorithm也有同樣的威脅。

1996年Grover’s algorithm接著發表—這個日期甚至早於AES被訂為加密標準的2001年，而Grover’s algorithm對於AES的加密標準方法也有威脅：相對於經典的暴力破解（brute-force cracking），Grover’s algorithm有二次方加速（quadratic speedup）。Grover’s algorithm還對其他的加密學工具譬如HASH演算法—這可是比特幣常使用的演算法之一—也構成威脅。

總體而言，Grover’s algorithm對加密的破壞力沒那麼大。譬如用量子計算機來破解AES-256加密的密文，其難度大約比以傳統計算機暴力破解AES-128稍高。如果再考慮用量子計算機的額外負擔（overhead），所得的計算加速極為有限。

之所以在RSA、AES的標準前後即有可以威脅其安全的量子演算法問世而仍持續採用其為標準，最重要的原因是可以執行量子演算法的通用容誤量子計算機（Fault Tolerant Quantum Computer；FTQC）當時離成熟時間尚遠。

現在FTQC逐漸成熟，已有多家公司宣布在2028年左右開始量產100個以上邏輯量子位元（logical qubits；經糾錯、可以實際用於量子計算的量子位元）的FTQC，所以在加密標準及系統上也開始備戰了。

NIST於2024年完成後量子加密（Post-Quantum Cryptography；PQC）標準的制定。2026年美國政府發布行政命令（Executive Order 14412）“Secure the Nation Against Advanced Cryptography Attacks”，要求某些高價值資產在2030、2031年逐次完成PQC遷移，並於2035年完成完整的PQC部署，這已比之前的預期稍早。

美國目前PQC的數學演算法標準為模組格基（Module Lattice-based；ML），應用涵蓋金鑰封裝機制（Key Encapsulation Mechanism；KEM）和電子簽章演算法（Digital Signature Algorithm；DSA）等加密環節。ML之所以被認為安全，是因為目前沒有已知的量子演算法可以破解它。

為了加強加密標準的韌性，NIST還提出漢明準循環碼（Hamming Quasi-Cyclic；HQC）作為備用標準，以備在ML已無法作為安全加密機制時，HQC可作為備用方案。這是加密敏捷性（crypto-agility；系統能在不同加密方法之間迅速切換）在加密標準方面的實踐。

在後量子、後AI的資通安全的短期方案大概率是ML-KEM、AES-256和ML-DSA的組合。

有既定的標準及備援方案，也有既定的時程及架構方案，但仍有令人擔憂之處。

第一個是大家熟悉的先錄後破解（Harvest Now, Decrypt Later；HNDL）方法：即使現在無法破解加密，仍可以先複製密文，等待未來有能力破解時再動手。對於時效性不太強的資料，這個威脅已經開始倒計時。

第二個問題來自於低估FTQC進展。雖然目前宣布能夠在2028年商業量產FTQC的公司其邏輯位元元數大致在100~200之間，這與破解RSA需要的約1,400~4,000邏輯量子位元相差甚遠，但是有些類型的量子位元，譬如中性原子（neutral atoms）或光子（photons），在規模化（scaleup；就是擴充量子計算機的量子位數）方面預期的障礙並不高。這迫使通訊系統PQC的部署必須提前，2035年才全面部署可能太晚了。

最後的變數來自於AI的進展速度。目前幾乎所有對於未來的規劃都基於目前對已知量子演算法的瞭解，但是AI對於數學解決問題能力的急速上升對於這些理解提出高度的質疑，特別是在Open AI於10月一口氣提出對於372個久懸未解的數學問題提出答案之後。

PQC所採用的ML以及備用的HQC演算法是否有量子演算法—甚或經典演算法—可以輕易破解呢？

陷門單向函數的密碼學體系在AI數學能力快速興起之後面臨的威脅愈來愈大，即使找到暫時的解決方案，其安全期也不會很長。以硬體及物理方式的加密，例如硬體信任根驗證（hardware-rooted authentication）以及量子通訊，部署得愈早愈好。