Shor 算法的提出像一记警钟，让密码学界意识到：现有的公钥密码体系在量子计算机面前不堪一击。但恐慌不是办法，行动才是。就在肖尔发表算法的同一年，密码学家们开始了另一场竞赛：寻找那些连量子计算机都束手无策的数学难题，构建新的密码体系。这就是后量子密码学（Post-Quantum Cryptography，PQC）。
后量子密码的目标不是修补 RSA，而是彻底换一套根基。它基于的数学问题，量子计算机同样难以解决。目前，有几个主要的候选方向，每个都源于不同的数学难题，各有优劣。让我们逐一认识它们。
基于格的密码：数学里的“高维迷宫”
格是什么？你可以想象一个无限延伸的、由点阵组成的网格。在二维空间，格就是铺满平面的平行四边形网格；在高维空间，它变得极其复杂。格密码的核心难题是：在格中找到一个很短的向量。这个问题的困难在于，高维格中向量短不短很难判断，经典计算机难以解决，量子计算机同样难以解决。
格密码有很多优点。首先，它的安全性有严格的数学证明，可以规约到格上的最坏情况困难问题——这意味着，如果它能被破解，那么所有类似的格问题都能被破解，概率极低。其次，格密码的算法效率较高，密钥和密文尺寸适中，特别适合实际应用。事实上，美国国家标准与技术研究院（NIST）选出的首批后量子标准中，基于格的方案占了多数，包括：
- CRYSTALS-Kyber：用于密钥封装（类似密钥交换），已被 NIST 选中为通用标准。
- CRYSTALS-Dilithium：用于数字签名，同样是 NIST 推荐标准。
- FALCON：另一种基于格的签名方案，效率更高。
这些方案已经进入了标准化流程，预计将在未来几年内被广泛部署。
基于编码的密码：纠错码的逆用
纠错码本是通信中用来对抗噪声的技术：发送方在信息中加入冗余，接收方即使收到少量错误也能恢复原信息。如果反过来呢？你可以把公开的编码矩阵当作“公钥”，把译码的“秘密”当作私钥。没有私钥的人，要从一个加了大量“错误”的码字中恢复出原始信息，极其困难。这就是基于编码的密码的基本思想。
最著名的编码密码方案是 McEliece，由罗伯特·麦克埃利斯于 1978 年提出（比 RSA 还早）。它使用一种特殊的 Goppa 码，至今未被有效攻破。它的缺点在于公钥非常大（几百 KB），但加密和解密速度很快。随着技术的发展，研究人员正在开发更紧凑的编码方案，如 Classic McEliece，它也是 NIST 的候选标准之一。
编码密码的数学基础（随机线性码的译码问题）同样被认为是对量子计算机困难的，因此它也是后量子阵营的主力。
基于多变量的密码：解方程组之难
中学时我们都学过解方程组。如果方程组是线性的，很容易解；但如果方程是二次的，并且变量很多，求解就会变得极其困难。基于多变量的密码就是利用这种“求解多元二次方程组”的困难性。这类方案通常用于数字签名，如 Rainbow 和 GeMSS。它们的签名短、运算快，但公钥较大。
不过，多变量密码近年遭遇了一些攻击，部分方案被削弱。但仍有幸存者，它们也在标准化竞赛中占有一席之地。
基于哈希的签名：简单而可靠
哈希签名是后量子密码中最古老、最“朴素”的一类。它的安全性只依赖于哈希函数的抗碰撞性，而哈希函数本身（如 SHA-2、SHA-3）被认为对量子计算机相对安全（虽然 Grover 算法可以加速碰撞搜索，但通过加长哈希值可以抵御）。哈希签名的代表是 Merkle 树签名，它利用一棵二叉树来管理海量的私钥。每个叶子对应一个私钥，一次签名消耗一个叶子。这种方法简单可靠，但状态需要维护，签名数量有限。它适合证书颁发、固件签名等场景。NIST 已经将 SPHINCS+ 标准化为基于哈希的无状态签名方案。
后量子密码的标准化竞赛
2016年，NIST 面向全球征集后量子密码算法。经过几轮评审，2022年选出了首批四个优胜方案：CRYSTALS-Kyber（密钥封装）、CRYSTALS-Dilithium（签名）、FALCON（签名）、SPHINCS+（签名）。另外还有一批候选方案进入下一轮。
标准化意味着这些算法将很快出现在我们的操作系统、浏览器、SSL/TLS 库中。迁移已经开始。
后量子密码不是万能药
后量子密码虽然能抵抗已知的量子攻击，但它也有一些新的挑战：
- 性能与尺寸：很多后量子方案的密钥或签名比 RSA 大得多，这对网络带宽和存储是考验。
- 安全性未知：这些新数学难题没有被充分研究，可能存在尚未发现的攻击。
- 迁移复杂：替换全球的公钥基础设施是一项浩大的工程，需要软硬件协同升级。
尽管如此，后量子密码是未来数字世界安全的唯一选择。我们等不起“量子危机”真正来临才开始行动。下一节，我们将探讨这场规模空前的迁移之路：我们现在该准备什么？