在快速发展的网络安全领域，**后量子密码学（PQC）**位于防御新威胁的前沿。量子计算仍处于初期阶段，预计将颠覆当前加密的基础。但是，下一代加密系统是否对所有威胁免疫，还是它们为复杂的新攻击打开了大门，比如由窃密技术留下的无形后门？
在这篇全面的长篇文章中，我们将深入探讨什么是后量子密码学，窃密攻击如何利用加密系统（包括基于格的密钥封装机制（KEM）的实际危险），并通过Bash和Python中的实际代码示例提供检测指南。无论您是初学者还是经验丰富的安全专业人员，这是通往前沿的门户。
后量子密码学（PQC）是指为了抵御量子计算机的能力而设计的加密算法（尤其是用于公钥加密、数字签名和密钥交换）。传统加密（如整数因数分解（例如RSA）和离散对数（例如Diffie-Hellman，ECC））会被运行算法如Shor算法的量子计算机轻易破解。
PQC并不是指今天的量子计算机，而是对未来量子突破的对策，是主动网络防御的重要组成部分。
来源： NIST—什么是后量子密码学？
量子威胁有两个方面：
时间表是不可预测的，但NIST、NSA和全球网络安全机构一致认为，应该从现在开始进行准备，以确保机密通信的未来安全。
现代加密依赖于被认为难以解决的数学问题。量子计算机威胁要将其中的一些问题简单化，因此PQC关注于对于经典计算机和量子计算机都难以解决的问题。
PQC中的一些关键数学基础包括：
当前这些问题能抵御已知的量子攻击。最广泛采用和标准化的项目是基于格的密码学。
格本质上是一个扩展到多维空间的网格，由一组生成向量的所有整数组合构成。基于格的密码学利用了在这些格中寻找短向量或某些关系的难题——被认为即便对于量子计算机也是难题。
以下是一些NIST决赛入围者：
典型的基于格的KEM工作流程：
窃密学——这个术语是由Adam L. Young和Moti Yung创造的，指的是在本来安全强健的算法或系统中隐藏加密后门的技术。窃密攻击远超越弱伪随机数生成器或明显的漏洞。它们被设计为在源代码审查或二进制检查时难以检测到，只能由持有秘密提取密钥的攻击者使用。
“窃密学是一种将秘密后门嵌入加密系统中的艺术，其方式对普通用户来说是不可见的。”
| 因素 | 窃密学 | 木马/传统后门 |
|---|---|---|
| 可见性 | 加密隐藏（例如，隐写术，密钥隐藏） | 通常可检测 |
| 逆向工程 | 抵抗 | 可行 |
| 利用性 | 由持有陷门的攻击者利用 | 任何人发现秘密后 |
| 操作模式 | 在生产系统中 | 恶意软件，附加组件 |
| 示例 | Dual EC DRBG，自定义库中的修改 | Rootkit，恶意DLL |
一个臭名昭著的例子是Dual_EC_DRBG，一个NIST标准的伪随机数生成器，被认为植入了NSA后门——巧妙地植入，以至于只有知道“陷门”点的人可以快速恢复内部状态并破解生成的所有密钥。这个机制如此隐蔽，以至于在经过多年同行评审后才发现。
格基系统的复杂性和“参数噪声”使其成为类似的下一代后门的首选。
按照设计，格KEM涉及使用随机性的操作——在密钥生成、加密和解密（解封）过程中。这给攻击者提供了多处嵌入细微泄漏或偏差的机会。
攻击路径：
通常，这些攻击无法追踪，除非确切知道需要寻找的内容或者持有攻击者的陷门密钥。
与可能使用偏置随机数生成器的传统木马不同，加密后门对逆向工程具有稳健性。
最新的开创性研究（“对基于格的KEM的窃密后门”由D. Apon等人， ACM CCS 2024）深入探讨：
是否可以扫描加密后门？ 有时——如果您足够幸运和警觉——但通常，答案是无法100%确定。
尽管如此，常规扫描、模式分析和行为监测可以捕捉到错误实现或被篡改的代码。以下是开始的方法：
假设您想验证PQC库（如libpqcrypto.so）是否未被篡改，并确保预期的参数未被更改。
步骤1： 哈希比较（检查文件完整性）
# 生成已知良好的Kyber KEM库的SHA256哈希值
sha256sum /usr/local/lib/libpqcrypto.so > known_good_hash.txt
# 将当前文件与基线进行比较
sha256sum -c known_good_hash.txt
步骤2： 用grep查找可疑常数或参数更改
例如，Kyber使用已发布的常数。搜索奇怪的更改：
# 提取硬编码格参数（例如，KYBER_Q）
strings /usr/local/lib/libpqcrypto.so | grep 'KYBER_'
# 寻找额外的、未经记录的偏移/数组
strings /usr/local/lib/libpqcrypto.so | grep -E 'trapdoor|secret|hidden'
假设您正在分析密文或密钥交换中的统计异常，以指示隐藏泄漏（例如，非均匀的随机性使用）。
示例：检查KEM输出中的随机性偏差
import numpy as np
from scipy.stats import chisquare
def analyze_ciphertext_randomness(ciphertexts):
# 假设每个密文是一个字节数组——测试均匀性。
all_bytes = b''.join(ciphertexts)
byte_counts = np.bincount(np.frombuffer(all_bytes, dtype=np.uint8), minlength=256)
expected = [len(all_bytes) / 256] * 256
chi2, p_value = chisquare(byte_counts, f_exp=expected)
print(f"Chi2-statistic={chi2:.2f}, p-value={p_value:.4f}")
if p_value < 0.05:
print("警报：检测到非均匀随机性。可能的偏差或泄漏！")
else:
print("随机性看起来是均匀的。")
# 收集KEM运行中的密文（需要进一步的集成）
ciphertexts = [...] # 通过API或日志解析收集
analyze_ciphertext_randomness(ciphertexts)
后量子密码学既标志着保护免于未来量子对手的通信的革命——也是窃密者和密码攻击者的新战场。
基于格的KEM，如Kyber，可能代表了最先进的技术，但如同任何强大的新技术一样，它们吸引攻击者寻找无法检测的立足点。从Dual_EC_DRBG到CCS 2024的最新研究，加密后门的风险真实存在——被设计为对业余和专家审计都不可透视。
保持警觉，保持心存戒备，因为在后量子密码学中，一个未被检测到的后门的代价可以是永久的。