量子計(jì)算與密碼學(xué)之間存在一種奇妙的疊加態(tài)——它既是一種潛在威脅，又是一項(xiàng)目前對(duì)解密毫無實(shí)際影響的技術(shù)。如今，兩位知名密碼學(xué)家正準(zhǔn)備就這一不確定狀態(tài)將如何演變?yōu)榭珊饬康慕Y(jié)果，展開一場(chǎng)賭注。

過去十年間，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）一直在推動(dòng)后量子密碼學(xué)（PQC）的發(fā)展，其依據(jù)是：未來某一天，量子計(jì)算機(jī)將有能力破解采用傳統(tǒng)算法加密的數(shù)據(jù)。

然而，也有人對(duì)此持懷疑態(tài)度。去年，新西蘭奧克蘭大學(xué)計(jì)算機(jī)科學(xué)教授彼得·古特曼在接受《寄存器》采訪時(shí)，對(duì)PQC表示了否定。他指出，由于量子計(jì)算機(jī)目前無法有效糾錯(cuò)，甚至連35（6位二進(jìn)制）這個(gè)數(shù)字都無法完成因式分解。而橢圓曲線密碼學(xué)的私鑰默認(rèn)長(zhǎng)度為256位，量子計(jì)算機(jī)要實(shí)現(xiàn)真正的破解，還有很長(zhǎng)的路要走。

然而就在一周前，谷歌宣布對(duì)破解橢圓曲線密碼所依賴的離散對(duì)數(shù)問題（ECDLP-256）所需的量子計(jì)算資源重新進(jìn)行了評(píng)估。谷歌研究人員表示，運(yùn)行肖爾算法（一種用于解決因式分解和離散對(duì)數(shù)問題的方法），所需的物理量子比特?cái)?shù)量比此前估計(jì)減少了約20倍。

盡管如此，量子計(jì)算機(jī)何時(shí)能真正威脅到密碼安全，目前仍無定論。NIST希望在2035年前淘汰易受量子攻擊的算法，但沒有人能確定這一時(shí)間節(jié)點(diǎn)是否合理，而安全廠商則堅(jiān)持認(rèn)為量子威脅迫在眉睫。

谷歌宣稱的技術(shù)進(jìn)展，以及瑞士蘇黎世聯(lián)邦理工學(xué)院（ETH Zurich）于近期發(fā)布的量子進(jìn)展報(bào)告，都表明相關(guān)擔(dān)憂應(yīng)當(dāng)盡快得到重視——除非你認(rèn)為近期的量子研究本身就站不住腳。

曾供職于谷歌的密碼學(xué)工程師、開源維護(hù)者菲利波·瓦爾索達(dá)本周在一篇博客文章中援引了谷歌的最新研究及相關(guān)成果，主張向PQC的過渡需要加快步伐。

他暗指古特曼的反對(duì)立場(chǎng)過于淺薄，并援引德克薩斯大學(xué)奧斯汀分校計(jì)算機(jī)科學(xué)系主任、量子計(jì)算領(lǐng)域頂尖專家斯科特·阿倫森的相關(guān)表態(tài)，強(qiáng)調(diào)認(rèn)真對(duì)待PQC的緊迫性。

"總的來說，也許十年后這些預(yù)測(cè)會(huì)被證明是錯(cuò)的，但也有可能很快就會(huì)被證明是對(duì)的，而這種風(fēng)險(xiǎn)目前已經(jīng)不可接受。"瓦爾索達(dá)寫道。

約翰斯·霍普金斯大學(xué)計(jì)算機(jī)科學(xué)副教授馬修·格林注意到了瓦爾索達(dá)的這篇文章，并在Bluesky平臺(tái)的一條帖子回復(fù)中表示："我認(rèn)為這是一個(gè)合理的預(yù)防性分析，但我愿意押下巨額賭注，認(rèn)為2029年甚至2035年之前不會(huì)出現(xiàn)真正具備密碼破解能力的量子計(jì)算機(jī)。"

兩人隨后進(jìn)行了一番友好探討。格林提出了一個(gè)單邊驗(yàn)證方式：購買一些比特幣并公開其公鑰——言下之意是，如果真的出現(xiàn)了具備密碼破解能力的量子計(jì)算機(jī)（CRQC），它將能夠破解保護(hù)該私鑰的橢圓曲線數(shù)字簽名算法（ECDSA），從而盜取資金。

不過，這對(duì)密碼學(xué)家最終似乎選擇了一種雙邊對(duì)賭的方式，具體方案由格林起草。

賭注金額為5000美元。若ML-KEM-768（一種近期獲批的抗量子算法）的共享密鑰被從公鑰和密文中成功還原——無論通過經(jīng)典攻擊還是量子攻擊——瓦爾索達(dá)將支付賭注；若X25519（一種廣泛使用的橢圓曲線算法）的共享密鑰被從曲線上的一對(duì)公共點(diǎn)中成功還原——無論通過經(jīng)典還是量子手段——?jiǎng)t由格林負(fù)責(zé)支付。

理論上，X25519比ML-KEM-768更容易被量子密碼破解機(jī)攻克，因?yàn)楹笳咴谠O(shè)計(jì)上對(duì)量子密碼分析具有更強(qiáng)的防御能力。因此，格林實(shí)際上是在賭：密碼分析領(lǐng)域的進(jìn)展，將在量子系統(tǒng)真正發(fā)揮作用之前，先暴露出基于模格的密鑰封裝機(jī)制（ML-KEM）的弱點(diǎn)。

截至太平洋時(shí)間本周三上午，這一賭注尚未正式確立。瓦爾索達(dá)在給媒體的電子郵件中表示，臨時(shí)出現(xiàn)了一些意外情況，但他預(yù)計(jì)賭約很快就會(huì)正式簽訂。

"生活中出了點(diǎn)狀況，我想我們今天或明天就會(huì)把協(xié)議敲定。"他說道。

時(shí)間正在流逝。

Q&A

Q1：后量子密碼學(xué)（PQC）是什么，為什么NIST要推動(dòng)它的發(fā)展？

A：后量子密碼學(xué)是一類專門設(shè)計(jì)用來抵御量子計(jì)算機(jī)攻擊的加密算法體系。NIST推動(dòng)PQC的原因在于，現(xiàn)有的橢圓曲線密碼等傳統(tǒng)加密算法，在未來功能足夠強(qiáng)大的量子計(jì)算機(jī)面前可能會(huì)被輕松破解。NIST計(jì)劃在2035年前完成對(duì)易受量子攻擊算法的淘汰替換，以保障未來的數(shù)據(jù)安全。

Q2：谷歌關(guān)于量子計(jì)算的最新研究說明了什么？

A：谷歌研究人員重新評(píng)估了利用肖爾算法破解橢圓曲線密碼（ECDLP-256）所需的量子資源，發(fā)現(xiàn)所需物理量子比特?cái)?shù)量比此前估算減少了約20倍。這一進(jìn)展意味著量子計(jì)算對(duì)現(xiàn)有密碼體系的威脅可能比預(yù)期來得更早，但目前仍無法確定具備實(shí)際破解能力的量子計(jì)算機(jī)具體何時(shí)會(huì)出現(xiàn)。

Q3：瓦爾索達(dá)和格林的5000美元賭注具體是怎么設(shè)定的？

A：賭注采用雙邊對(duì)賭形式。若ML-KEM-768算法的共享密鑰被成功破解，瓦爾索達(dá)支付5000美元；若X25519算法的共享密鑰被成功破解，則由格林支付5000美元。前者是抗量子算法，后者是傳統(tǒng)橢圓曲線算法，格林實(shí)際上是在押注：傳統(tǒng)算法的弱點(diǎn)在量子計(jì)算機(jī)成熟之前不會(huì)被發(fā)現(xiàn)。