Shor 之后：后量子密码 I

先备导航：你需要 039（Shor 与 RSA 的工程现实）、071（QKD——"换路"路线）、040（两大谱系）、081（BQP 地图）。

下一篇预告：087《迁移时钟表：后量子密码 II（2026-11 视角）》。

Shor 之后：后量子密码 I

小偷买到了新式撬棍（量子机还在造），你家整栋楼的锁（RSA）到期要换。换防有两条路：071 篇走的是换路——修一条物理上不可偷看的钥匙配送线；本篇走第二条：换锁——造一把连量子撬棍也撬不动的数学锁。

这就是后量子密码（术语，指"量子时代还能用"的经典密码学）：不用量子技术，纯经典算法，目标只有一个——量子机也啃不动。本篇讲它的主角：格密码。

先看清紧迫性从哪来

"量子机还没建成，急什么？"——039 篇埋的雷现在引爆：先存后解。攻击者今天就把加密流量录下来存着，等十年后量子机建成再解——机密的保密期从"现在"就开始倒计时：一份病历要求保密五十年，它的倒计时不是从量子机诞生那天起算，是今天。

所以全世界密码学家没在等：标准化机构（美国 NIST 主导）已经完成新一轮密码标准的遴选——新锁的图纸已发布，换锁工程已在进行（时间表与进程见 087 篇）。

格密码：一座没有坡的山

主角的数学题叫最近向量问题，白话拆解：

先想象格——高维空间里无限延伸的规则点阵（二维是方格纸上的格点，三维是晶格，继续往几十维、几百维推）。现在给你一个随机出发点（不在格点上），问你：离它最近的格点是哪个？

二维三维你目测就行；可到了几百维，画面变了：四面八方全是"差不多近"的格点——没有一个"最近的邻居"在距离上显著突出，也就没有一道坡可以顺藤摸瓜。经典算法在这座山上只能瞎撞，撞不到头。

为什么量子撬棍也撬不动

回到 040 篇两大谱系：量子指数级加速的杀器（Shor 类）全在隐子群家族——它们的共同前提是问题里藏着周期结构（因式分解有周期、离散对数有周期，037 篇的账）。

而格问题没有已知的周期结构——"找周期"的撬棍在这里找不到齿口。081 篇地图的语言：格问题住在已知量子算法疆域之外的地块上。这不是唯一候选（还有哈希类、编码类几族备选），但格密码凭三样东西成了主力：

1. 抗性：三十年公开攻击史，量子与经典都未能撼动——被众人反复撬过的锁； 2. 好用：加法好算、密钥更短、速度更快——比老 RSA 更适合手机与物联网设备（有些老锁在智能门锁上根本装不起）； 3. 带模糊性的加固：主流方案（行话 LWE，"带误差的学习"）故意往题目里掺一点随机噪声——让"差不多近"的迷惑性再上一个数量级。

过渡期的双锁并用

工程界的过渡策略也很值得学：混合模式——新锁（格密码）与老锁（椭圆曲线）同时上，两把锁都要打开才能进门。防的是新锁的"暗病"（万一格密码某天被发现弱点，老锁还在岗）；代价是开销翻倍。金融与通信系统当前的标配（2026-11 视角）。

与 071 篇的双腿框架在此合龙：换锁（后量子密码——数学层，软件升级就能换）与换路（QKD——物理层，要修新网）不是竞争关系——换锁覆盖全网（便宜、快），换路守住最高价值专线（保证最硬）。两条腿一起走，才叫量子时代的密码迁移。

诚实边界

把期望校准到概率语义："格问题没有已知量子算法"是当前事实，不是数学定理——没人证明量子机永远解不了它（就像没人证明 P 与 NP 不等，081 篇的地图语言）。标准化的含义不是"绝对安全"，是"人类现有的全部攻击智慧都被用过了"——这也是标准滚动修订的原因。安全性从来是"已知攻击打不动"，不是"无懈可击"。

把类比拆掉

换锁借了哪里：

• 不像之一：锁防撬棍靠机械复杂度；密码防攻击靠数学难度——"更复杂的数学"不必然"更安全"（复杂的结构可能自带巧妙的撬口）。锁具的可信度来自公开试撬的历史（密码学叫公开审查），不来自图纸的神秘。
• 不像之二：新锁没被撬过≠撬不开——"没有已知攻击"是概率语义的陈述；买新锁的人（部署密码的人）要清楚自己买的到底是什么。

带走的行李

1. 先存后解定倒计时：机密保密期从今天起算（039 的雷），换锁不能等量子机建成——新标准图纸已发布、工程已启动。 2. 格密码=没有坡的山：高维最近向量问题，无周期结构——040 谱系的撬棍找不到齿口；抗性（三十年试撬）+好用（密钥短运算快）+模糊性加固（LWE）。 3. 双锁过渡与双腿合龙：新旧锁并用防暗病；换锁（数学层全网覆盖）+换路（物理层高价值专线）=量子时代密码迁移的完整战略——"已知攻击打不动"才是安全性的诚实定义。

下一站的钩子：锁选好了，全世界几十亿台设备什么时候换完？迁移时钟表上的齿轮、各方的时间线，以及个人与企业在 2026 年该做什么。087《迁移时钟表：后量子密码 II（2026-11 视角）》。

#量子计算 #从硬币到纠错 #后量子密码 #格密码