您今日分享的資料，要經得起明日的電腦

有關量子電腦的報道，通常帶着一個很大的數字，卻很少留下讀者可以着手去做的事。這一篇同樣有一個數字，但它也有實際的一面，而兩者值得分開來看。

AI生成

IonQ 的研究人員在 Cryptology ePrint Archive 發表了一篇論文^[1]，就求解 secp256k1（比特幣所用的曲線）上 256 位元橢圓曲線離散對數問題，提出了詳細的工程估算。他們得出的數字是：約 19,397 個物理量子位元運行約 25.7 日，估計成功機會為 63%，對應的邏輯電路約為 1,450 個量子位元。

這是為一部尚未建成的機器所作的估算。作者形容這項工作是一個概念驗證：針對這一個問題，優化他們自己提出的離子阱架構；並總結指，以此為基礎的電腦「將能夠」（would be able to）求解這個問題。沒有任何東西被破解。改變了的，是公開發表的、關於破解需要付出多大代價的估算。

營運互聯網核心基礎設施的機構，正把這件事當作一個時間編排的問題處理。Cloudflare 已在其 1.1.1.1 解析器上，啟用對以 ML-DSA-44 產生的 DNSSEC 簽署的驗證；該算法是由 NIST 標準化的一種後量子數碼簽署算法。該公司的技術文章^[2]指出：能夠發動這類攻擊的量子電腦目前並不存在；公司正為這樣一部機器可能在 2030 年前建成作準備，並計劃在 2029 年前全面達至後量子安全。同一篇文章亦說明了為何這需要好幾年：一個 ML-DSA-44 簽署有 2,420 位元組，而 ECDSA P-256 只有 64 位元組，大了將近 38 倍，足以超出數十年前已寫進 DNS 軟件的大小上限。

各國政府的時間表亦相近。CISA 與 G7 Cyber Security Working Group^[3] 為這次過渡訂出五項優先事項：提高對量子風險的認識、制訂國家策略、推進研究及發展、促進公私營合作，以及把後量子密碼學納入網絡安全要求和採購之中。在英國，英國國家網絡安全中心（NCSC）公布了時間表^[4]：在 2028 年前訂立遷移目標並完成資產盤點，在 2031 年前完成最高優先級別的遷移工作，並在 2035 年前全部完成。

這與您有何關係

經加密的資料現在就可以被複製，由複製者保存下來，待將來具備相關能力時，在多年後才解密。Cloudflare 沿用了這種做法的通用名稱「先收集，後解密」（harvest now, decrypt later），這亦正是遷移期限遠遠早於任何預期突破的原因。NCSC 則從資料持有者的角度談同一點：它提醒各機構，資產盤點應記錄它們所持有的資料，包括這些資料預計需要保密多久，以及對攻擊者有多大價值。

這令讀者要問的問題有所不同。問題不再是今日下午的訊息到 2035 年是否仍然重要，而是哪些紀錄到那時仍然敏感：病歷、基因測試結果、身份證明文件、入境事務及法律檔案、財務紀錄，以及任何與您子女有關的資料。持有這些紀錄的是各類機構，往往一存就是數十年，而且副本數目往往比您想像的多。

並非所有密碼學的應用都面對這種風險。Cloudflare 指出，DNSSEC 提供的是真確性而非保密性，因此「先收集，後解密」對它完全不適用。風險在於被儲存或被截取的保密資料。

今年您可以做甚麼

• 向持有您長期紀錄的機構查詢它們遷移至後量子密碼學的計劃，特別是醫療服務提供者、銀行，以及任何持有您身份證明文件的機構。在英國，NCSC 的時間表讓您有具體依據可以查詢。
• 關閉不再需要的帳戶，並要求刪除不再需要保留的紀錄。現在已刪除的資料，將來便無從複製。
• 查詢每間機構在您不再是其客戶後，會把您的資料保留多久。長遠風險大多就在保留期。
• 減少您在資料經紀和尋人網站上的資料。這些資料本來已經公開，要讀取根本不需要等將來解密。
• 保持軟件更新。Cloudflare 在介紹轉用後量子 TLS 的過程時提到，較大的訊息暴露了現有網絡軟件中的一些隱含假設和錯誤，這是這個範疇更迫在眉睫的實際風險。

上文的時間表來自英國一個監管機構和一個 G7 工作小組，因此具體細節因地而異。但背後的問題放諸四海皆準：一間機構若說不清它持有您哪些資料、會保存多久，大概亦沒有計劃在十年後保護這些資料。