本APNIC文摘原標題為How organizations can prepare for post-quantum cryptography，由Kathleen Moriarty撰文。
新聞與業界文宣材料中，越來越常出現後量子加密準備工作的相關內容。這有兩種原因：一來量子運算時有進展，二來美國國家標準技術研究院（National Institute of Standards and Technology，NIST）下世代加密演算法的選拔最終回將於2024年結束。
這些準備的背後動力乃基於安全考量：量子運算的進展可能破解目前常用的對稱或不對稱密鑰加密演算法。大部分研究都說這最早可能在10到15年後發生，但也同意科技進展難以預測。
本文中，美國網際網路安全中心（Center for Internet Security，CIS）技術長Kathleen Moriarty說明量子運算現狀、衍生資料保護擔憂，以及組織可採取以減緩相關憂慮的實際步驟。
可能在後量子時代成功解密的演算法
量子運算還需要好幾年，才能達到足以破解當代盛行加密技術的穩定與規模。然而，有些機密的保密期限長達數十年，即使十多年後才解密，也仍具殺傷力。許多組織因此憂心忡忡，擔心自己淪為勒索軟體或資料外洩的受害者。
以下Moriarty列出可能在後量子時代破解加密的演算法，並說明各演算法的限制，以協助讀者進一步了解量子運算在破解加密上的進展與侷限。
- Shor演算法若搭配足夠規模的量子運算能力，將有可能破解不對稱加密演算法、利用公私鑰配對加密的RSA[1]。「足夠規模」表示至少上百萬個量子位元（qbit），而目前最進階的量子電腦IBM Osprey只有433個量子位元。雖然考量摩爾定律，難以斷定量子電腦進展會多快，但Shor演算法可能還要一段時間才能真正發揮實力。
- Grover演算法預期可於後量子時代破解對稱加密，如靜態資料加密常用的進階加密標準（Advanced Encryption Standard，AES）。根據NIST，只要從目前通用的AES-128進階使用AES-256，就能有效避免破解風險。
- 除了量子電腦，演算法也在進化。日前有份研究指出若利用以Shor為基礎改進的新演算法，僅需372個量子位元就能破解RSA加密。此研究目前仍在驗證中。
- 另一顧慮是國家政府不會公開他們在量子運算上取得的進展，遭敵國竊取的加密資料因此非常危險。
轉向後量子加密的具體步驟
標準組織和服務供應商都正如火如荼未進入後量子時代做準備，但無痛轉型需要許多努力。
NIST遴選後量子加密演算法的漫長流程終於將近尾聲，2022年7月篩選後的演算法如下（依類別）：
- 公鑰加密與金鑰建立（Public Key Encryption and Key Establishment）
- CRYSTAL-KYBER
- 數位簽章演算法（Digital Signature）
- CRYSTALS-DILITHIUM
- FALCON
- SPHINCS+
針對上述加密演算法的完整評測預計於2024年完成。一旦選定最終優勝，標準組織將開始將演算法整合納入既有協定，開始支援動態與靜態資料的後量子加密。
由於後量子加密演算法的參數和金鑰長度和當代加密不同，網際網路工程任務組（Internet Engineering Task Force，IETF）及其他標準制定組織如資訊標準架構促進會（Organization Advancement Structured Information Standards，OASIS），仍需經過特定流程以將後量子加密演算法納入協定。IETF中已展開若干相關工作。
產品及服務供應商也在為後量子時代做準備，包括追蹤相關標準進展、根據新標準更新服務產品的支援協定，以及全面更新所有產品與協定等。
3個步驟為後量子時代做好準備
第一步是了解自身組織的資料資產，包括儲存位置及敏感資料在組織內的流向。可以使用試算表進行資訊管理，或利用CIS的關鍵安全控管工具以電子儲存資料（electronically stored information，ESI）資料地圖方式保管。同時，應依資料敏感度、商業重要程度及儲存期限將資料分類標注，並遵守如複製及離線備份等最佳實踐。
再來，應利用適當的保護措施保護組織的資料資產，評估資料外洩、外部攻擊等風險，並採取措施將風險最小化。
最後，組織必須在後量子加密量產三到四年內全面轉換使用後量子加密。在此同時，一樣必須依據資訊管理最佳實踐保護資料，如第一步驟所言，清楚掌握組織內的資料資產，將大有助於後量子加密轉型的相關決策。
| 本文內容純屬筆者個人意見，並不代表TWNIC立場 |
*台灣網路資訊中心（TWNIC）與亞太網路資訊中心（APNIC）合作，定期精選APNIC Blog文章翻譯摘要，提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為How organizations can prepare for post-quantum cryptography。
圖片來源： APNIC Blog
[1] RSA於1977年由Ron Rivest、Adi Shamir和Leonard Adleman提出，利用對極大整數做因數分解的難度，開發使用公私鑰機制的非對稱加密技術。演算法名稱RSA來自創始開發三人的姓氏首字母。
