后量子密码算法是一类旨在抵御量子计算机攻击的加密技术，其安全性基于量子算法难以解决的数学难题。
一、NIST标准化算法
经过三轮严格评选，NIST于2024年公布了首批后量子密码标准，涵盖密钥封装和数字签名两大核心场景：
1. 密钥封装机制（KEM）
CRYSTALS-Kyber
基于环上学习带误差问题（RLWE），是NIST首选的通用密钥交换算法。它通过多项式环和格理论实现安全性，支持多种安全级别（如Kyber-512、Kyber-768、Kyber-1024），并已被集成到TLS 1.3等协议中。其密钥生成和加密过程高效，适用于资源受限设备（如物联网终端），但需依赖SIMD指令集优化以提升性能。
2. 数字签名算法
CRYSTALS-Dilithium
基于模块-LWE（MLWE），是NIST推荐的主流签名方案。它通过Fiat-Shamir转换实现抗伪造性，签名尺寸和验证速度在同类算法中表现均衡，尤其适合需要频繁验证的场景（如区块链交易）。
Falcon
基于NTRU格，利用高斯采样器和傅里叶变换优化性能，签名尺寸紧凑（如Falcon-512签名约1.4KB），验证速度可达每秒数千次，适合对通信带宽敏感的应用。
SPHINCS+
基于哈希函数的无状态签名方案，安全性完全依赖哈希函数的抗碰撞性。其签名尺寸可低至8KB，但需预先计算哈希树，适合对长期数据完整性要求极高的场景（如软件供应链）。
二、NIST第四轮候选算法
在第四轮评估中，NIST对部分算法进行了进一步研究，但仅HQC（High-Quality Cryptography）被选定为新增标准：
HQC
基于超奇异椭圆曲线同源问题，通过优化同源路径选择实现高效密钥交换。其安全性在抗侧信道攻击方面表现突出，适用于对物理安全要求严格的环境（如智能卡）。
其他候选算法：BIKE（基于编码理论）、Classic McEliece（基于Goppa码）、SIKE（超奇异同源）因安全性或性能问题未被标准化。其中，SIKE因2022年发现的量子攻击漏洞被撤回。
三、其他重要算法与技术方向
1. 基于格的算法
NTRU
最早的格基算法之一，基于多项式环上的最短向量问题（SVP）。其密钥生成速度快，但抗攻击性略弱于Kyber，曾作为NIST第三轮候选算法。
SABER
基于RLWE的密钥封装机制，与Kyber同属CRYSTALS框架，但因性能稍逊未被NIST选中，仍在部分开源项目中使用。
2. 基于编码的算法
Classic McEliece
基于Goppa码的纠错码理论，公钥尺寸较大（约2MB），但抗量子攻击历史悠久，适用于对安全性要求极高的军事通信。
BIKE
基于位翻转密钥封装，通过改进McEliece方案降低密钥尺寸，但因解码复杂度较高未进入最终标准。
3. 基于多变量的算法
Rainbow
基于多变量二次方程组（MQ问题），曾作为NIST第三轮候选算法，但2020年被攻破，安全性已不可靠。
GeMSS
多变量签名方案的改进版本，目前仍在研究中，但尚未通过严格的安全性验证。
4. 基于哈希的算法
XMSS
基于Merkle树的一次性签名方案，虽未被NIST标准化，但其分层结构为SPHINCS+提供了设计灵感。
5. 基于同源的算法
CSIDH
基于普通椭圆曲线同源，相比SIKE更抗量子攻击，是当前同源密码学的研究热点。
四、技术特点与应用现状
1. 安全性与性能平衡
不同算法在安全性、计算开销和通信成本上差异显著。例如，基于格的算法（如Kyber）在密钥交换效率上较传统RSA提升40%，但签名生成时间是ECDSA的10倍以上；哈希签名（如SPHINCS+）无需依赖数学难题，但签名尺寸庞大，需结合缓存优化（如Merkle树遍历顺序调整）提升实用性。
2. 混合加密策略
为实现平滑过渡，当前主流方案采用传统+后量子算法双体系并行。例如，TLS 1.3的混合模式同时发送ECDH和Kyber公钥，加密性能损耗控制在3%以内。金融领域（如中国工商银行的量子支付网关）和区块链（如以太坊2.0）已开始试点此类架构。
3. 硬件加速与优化
格基算法的核心运算（如数论变换NTT）可通过定制硬件大幅提速。例如，RISC-V处理器通过添加专用ALU扩展，将Kyber和Dilithium的NTT周期数减少80%以上；FPGA实现的Kyber NTT模块吞吐量可达20Gbps，适用于数据中心等高并发场景。
4. 标准化与生态建设
NIST的标准化进程推动了全球PQC生态发展，OpenSSL、LibreSSL等开源库已集成主要算法。中国于2025年启动后量子密码全球征集，重点关注算法的软硬件实现性能，但目前尚未发布自主标准。欧盟《量子加密法案》要求2026年后政府通信强制使用量子安全算法，进一步加速了技术落地。
五、未来挑战与趋势
1. 抗攻击性验证
随着量子算法研究的深入，现有PQC方案可能面临新的攻击（如针对格基算法的“结构性弱点”分析），需持续进行安全性评估。
2. 密钥管理与迁移
后量子密钥生命周期管理（如每年轮换）和证书链改造（如复合签名格式）是迁移过程中的关键难点。
3. 混合架构优化
经典-量子双通道并行传输（如IBM的量子增强型SSL/TLS）和动态密钥切换机制（如微软的分层加密架构）将成为下一代加密协议的核心设计方向。
总结
后量子密码算法的发展已从理论研究进入工程化落地阶段，NIST的标准化工作为全球提供了技术基准。当前主流算法在安全性、效率和兼容性上取得了较好平衡，但实际应用仍需根据场景选择（如资源受限设备优先Kyber+Falcon，长期数据保护选择SPHINCS+）。未来5-10年，混合加密架构和硬件加速技术将成为推动PQC普及的关键，而新算法的持续创新和安全性验证仍是研究重点。
