本文研究了后量子密码迁移过程中混合X.509证书验证的语义缺陷。混合证书同时携带经典（如RSA、ECDSA）和后量子（如CRYSTALS-Dilithium、Falcon）凭据，其设计为兼容性，通常将后量子证据放置在经典路径验证可能忽略的位置。验证者可能仅通过经典路径验证就接受证书，而从未让后量子证据影响验证决策，导致“经典接受”被错误地当作“混合认证”成功。作者测量了八个路径验证栈（七个独立代码库）在九种验证模式下对六种证书方案的处理行为。结果显示，在要求混合验证的策略下，几乎所有解析可分离混合证书的栈都仅依赖经典路径接受，而未使后量子证据成为决策的必要部分；一种强制验证模式却因签名输入编码尚未互操作配置而导致互操作性断裂；即使栈验证了后量子签名，也默认不强制执行绑定约束——这种缺陷是结构性的，不能仅归因于缺少基本能力。当生命周期不同步时（例如后量子凭据被撤销而经典证书仍然有效），默认路径仍会接受，因为已撤销的凭据不在决策范围内。作者贡献了一个基于规范的验证者模型和一个可执行的、策略参数化的参考合同，明确了验证者在报告混合验证成功前必须识别、验证、使其影响决策并进行检查的语义，并分析了现有标准未要求此语义的原因。本文适合密码学实现者、证书颁发机构、浏览器和操作系统安全团队阅读。

本文针对车辆间（V2V）通信中支持后量子密码学（PQC）所面临的独特挑战展开研究。V2V通信对安全性和实时性要求极高，而当前PQC算法存在显著的带宽和计算开销，导致在有限无线电频谱资源下几乎无法直接部署。作者首先通过实验验证了现有V2V系统中的签名验证过程占用了大量频谱资源，使得PQC难以融入。为解决这一瓶颈，他们提出了一种自适应调度技术，用于优化消息签名证书的传输时机，发现当前高达93%的证书传输是冗余的，通过减少不必要的传输可大幅降低频谱占用。在此基础上，本文首次设计了将PQC集成到V2V中的完整方案，满足严格的约束条件。具体而言，他们分析了NIST选定的三种后量子签名算法（如CRYSTALS-Dilithium、FALCON、SPHINCS+）以及XMSS（RFC 8391），并提出了一个部分混合认证协议，即在向全PQC过渡的初期阶段，将经典密码学与PQC融合使用。该协议在安全性和性能之间实现了高效平衡，并且经过了严格的证明。实验部分采用了软件定义无线电（USRP）、商用V2V设备以及交通模拟器进行验证，结果表明该联合调度优化与部分混合设计在实际条件下具有可扩展性和可靠性，与现有方案相比仅增加了平均0.39毫秒的延迟。本文适合车联网安全研究人员、密码学标准化制定者以及智能交通系统开发者阅读。

该论文针对金融交易中现有 RSA-2048 面临“先收割后解密”（HNDL）攻击及未来量子计算威胁，提出了一种双包裹混合密钥封装机制（DW-HKEM）。该机制同时集成 RSA-256 和 ML-KEM-768（基于格的后量子密码），将 AES-256 会话密钥分别用两者封装，再通过基于 SHA-256 的密钥派生函数合成组合密钥，从而同时提供经典安全性和抗量子安全性，并保持与现有银行系统的向后兼容性。配套开发了 CryptoX 实时仪表板，提供操作时间追踪、会话级分析和性能趋势可视化，可直接用于企业银行安全运维。通过 100 次独立迭代的基准测试，总开销仅约 1.58 毫秒，远低于企业部署阈值，证明该架构作为金融行业向抗量子时代迁移的实用、可扩展参考方案是可行的。论文还提供了完整源代码。

本论文聚焦于后量子密码学中的哈希签名方案，研究其盲化技术。哈希签名（如SPHINCS+）作为后量子安全的数字签名候选，具有抗量子计算攻击的特性，但直接用于盲签名场景存在隐私与效率挑战。作者提出了一种通用的盲化框架，适用于后量子哈希签名方案，通过引入随机盲化因子和新型零知识证明机制，使签名者无法得知被签名消息的内容，同时保持签名的可验证性与不可伪造性。论文详细形式化了盲化签名的安全性定义，包括盲性（blindness）与不可伪造性（unforgeability），并基于标准后量子哈希签名结构（如WOTS+、FORS等）构造具体实例。安全性分析表明，新方案在随机预言机模型下可证明安全，且签名大小与计算开销相比原始哈希签名仅有适度增加。实验评估显示，盲化后的签名生成时间约为原始方案的1.2倍，验证时间接近不变，适用于需要隐私保护的后量子安全场景（如匿名投票、电子现金）。该工作填补了后量子哈希签名在盲化领域的空白，为实际部署提供了理论依据与工程参考。

本文提出了一种基于 Crypto Dark Matter 假设的恶意安全后量子不经意伪随机函数（OPRF）。OPRF 允许客户端在服务器帮助下计算 PRF 值，同时服务器无法获知客户端输入。现有 OPRF 构造或仅满足半诚实安全，或依赖量子不安全假设。本文首次同时实现恶意安全（即抵抗主动攻击）与后量子安全，且通信复杂度与半诚实构造相当。核心技术包括：基于 Crypto Dark Matter 的 PRF 构造、利用 MPC-in-the-Head 范式实现恶意安全编译、以及针对性的零知识证明优化。实验表明，在局域网环境下，构造的在线阶段仅需几毫秒，适合密码协议中的隐私集合求交（PSI）等应用。该工作为后量子安全密码协议的实用化迈出重要一步。

本文研究学习带误差问题（LWE）中秘密向量的恢复问题，特别关注秘密具有低汉明重量的情况。LWE是后量子密码学的基础假设，其安全性依赖于给定样本恢复秘密的困难性。传统方法通常假设秘密均匀分布，但在许多实际场景（如FrodoKEM、Kyber等方案）中，秘密往往具有稀疏性。作者提出了一种从"完美提示"到"近似提示"的转变：即攻击者可以获得关于秘密的部分信息（如某些位的值或软信息），这些信息可能来自侧信道攻击或协议特性。核心贡献是设计了一种高效的秘密恢复算法，利用低汉明重量和近似提示，将问题转化为求解近似最短向量问题（apprSVP）或使用格基约简技术。实验表明，当秘密汉明重量较低且提示质量较高时，算法能在多项式时间内恢复秘密，比传统格攻击更有效。该工作对LWE参数选择具有指导意义，提示需要避免低重量秘密或限制信息泄露。

该论文提出了一种基于格的分布式伪随机函数（DPRF）的新型高效构造方案——LaKey，旨在解决分布式密钥管理中的可扩展性和安全性问题。分布式密钥管理需要多个参与方在不泄露私钥的情况下共同生成和使用密钥，而传统的方案往往依赖双线性配对或大整数分解，在量子攻击下存在风险。LaKey利用格密码学（特别是环-LWE假设）来设计DPRF，实现了更小的密钥尺寸和更高的计算效率。文中详细描述了LaKey的协议流程，包括密钥生成、分发、评估和组合步骤，并证明了其在标准模型下的安全性。与已有方案相比，LaKey在通信复杂度和计算开销上均有显著改进，支持动态添加或移除参与方，适用于大规模分布式系统如区块链、物联网和安全多方计算。实验评估展示了在典型参数设置下的性能指标，验证了其实用性。该工作为后量子安全的分布式密钥管理提供了一种可行的轻量级替代方案。

该论文重新审视了后量子安全 WireGuard（PQ WireGuard）协议的安全性，并提出了一种使用强化密钥封装机制（KEMs）的新设计。WireGuard 是一种流行的 VPN 协议，以其简洁性和高性能著称。随着量子计算的威胁日益逼近，将后量子密码学集成到 WireGuard 中成为迫切需求。然而，早期的 PQ WireGuard 提案可能存在安全缺陷，例如对 KEM 的滥用或组合方式不当。本研究通过全面的安全分析，识别了现有设计中潜在的漏洞，并提出了一种新型的、更加鲁棒的 KEM 组合方案，旨在达到 IND-CCA2 安全性。论文可能还提供了新设计的安全证明，并讨论了与 TLS 1.3 等标准的兼容性问题。实验评估可能显示新设计的性能开销在可接受范围内。该工作为后量子 VPN 协议的实际部署提供了重要参考，适合密码学家、协议设计者和 VPN 服务提供商阅读。

本文提出了一种基于格（lattice）的阈值盲签名方案。盲签名允许用户在不向签名者透露消息内容的情况下获得签名，而阈值特性则将签名权分散到多个签名者之间，提高安全性。该研究主要贡献在于将格密码学与阈值盲签名相结合，旨在抵抗量子计算攻击。由于摘要内容仅提供了会议信息，未给出具体技术细节，因此无法深入描述方法、实验或结果。

本文提出了一种基于格（lattice）的扩展可撤销签名（Extended Withdrawable Signatures）方案，是对Liu、Susilo和Baek之前工作的扩展。该方案构建于Fiat-Shamir with aborts范式之上，并采用了无提示（no-hint）、全t的Dilithium风格方案作为基础签名，以及一个已有的格上one-out-of-many证明作为环签名层。其核心创新在于通过可声明的环签名（claimable ring signature）实现扩展可撤销性：签名者匿名性由one-out-of-N签名作为黑盒提供（在完全密钥暴露下保持匿名），而确认是签名者的声明，包括一个绑定签名以及一个隐藏索引承诺的开销（该承诺绑定在签名文本中）。与早期草案不同，该方案不公开任何直接泄露签名者的值。本文提供了完整的安全性证明，包括正确性、扩展可撤销性（即匿名直到声明）、内部腐败下的不可伪造性以及声明可靠性。这些安全性归约到决策型模学习带错误（MLWE）问题（承诺隐藏性）、模短整数解（MSIS）问题（承诺绑定性）、one-out-of-N方案的匿名性以及基础签名的EUF-CMA安全性，所有证明均在（量子）随机预言机模型下完成。该工作为后量子密码时代提供了可撤销签名的新构造，适用于需要匿名但允许在特定条件下揭示签名者身份的密码协议。

本文扩展了 Liu、Baek 和 Susilo 提出的可撤销签名（withdrawable signatures）概念，将其推广到 Fiat-Shamir with aborts 范式。作者首先给出了一个抽象的构造方案，并提供了完整的安全证明。作为实例化，论文基于无提示（no-hint）、全尺寸 Dilithium 风格的 Fiat-Shamir with aborts 构造，设计了一个具体的可撤销签名方案；当适配生产级 ML-DSA（带提示）时，会引入一个小的 epsilon 项。该研究为后量子签名方案的密钥撤销管理提供了理论支持，但仅限于 abstract 中的描述，缺乏实验验证。

该论文提出了一种新的代数建模方法，用于解决超奇异同源问题（Supersingular Isogeny Problem）。该问题在后量子密码学中至关重要，特别是对于基于同源的密码方案（如SIKE）的安全性基础。传统的代数建模通常使用模多项式，但计算成本较高。本文利用Renes公式，针对度数为2或3的幂的同源，将椭圆曲线表示为Montgomery形式（度数2）或三角形形式（度数3），从而构建了一个多元多项式方程组。作者证明了该方程组是零维的，即只有有限个解，并计算了其最高次部分的维数，同时指出这些系统不在通用坐标下（即具有特殊结构）。实验结果表明，通过Gröbner基方法求解这些方程组比使用模多项式的代数建模显著更快。这一工作为后量子密码分析提供了一种新的工具，可能有助于评估基于同源的密码方案的实际安全性。论文适合密码学研究人员、后量子密码安全评估者以及代数几何领域的研究者阅读。

本文提出一种基于同源密码学的后量子不经意伪随机函数（OPRF）构造。随着量子计算的发展，传统数论假设（如离散对数、大整数分解）面临被破解的风险，因此构建抗量子攻击的密码原语成为研究热点。OPRF 允许客户端从服务器处获得一个伪随机函数的输出，同时服务器无法得知客户端查询的具体输入，在隐私保护、口令认证密钥交换（PAKE）等场景有重要应用。现有 OPRF 构造多基于 RSA 或椭圆曲线离散对数，不具备量子安全性。作者利用超奇异同源（SIDH/SIKE）等后量子密码假设，设计了一种新的 OPRF 协议。该协议采用同源图上的行走作为核心操作，通过同源映射实现伪随机性，并引入不经意性。安全性分析表明，该方案在量子随机预言机模型下可规约到同源计算性 Diffie-Hellman 问题。实验部分用 Python 实现了概念验证，与同类后量子 OPRF 相比，计算开销和通信带宽具有竞争力。本文适合密码学研究人员和后量子安全协议设计者阅读，为构建实用化的后量子隐私保护协议提供了新思路。

该论文针对超椭圆曲线（genus-2）上经典的 Richelot (2,2)-同源步提出了一种完全无导数的重表述。传统的 Richelot 步骤通过曲线 f=uvw 的因式分解，利用 Wronskian 导数构造目标三元组 (U,V,W)。论文在素数域 F_p (p>2) 上，通过系数矩阵的 2×2 子式以及从第一子结式和线性合冲来恢复 Wronskian 输出，从而避免了求导运算。由此得到的 Remainder-Polynomial Route (RPR) 被证明在 F_p[x] 中产生与经典方法完全相同的多项式元组（不仅是相差单位，而是精确的多项式恒等）。在此基础上，作者进一步提出了 Guarded Subresultant Route (GSR)，一种确定性评估器：通过常数大小的代数守卫和轻量级后检查来认证可容许性，并且最多允许一次有界仿射重试。所有路径每步执行 O(1) 次域运算。在多个素数域上的原型实现中，对超过 10^6 次匹配试验，RPR 相对于经典 Wronskian 公式获得了约 4.75–6 倍的核加速；即使计入认证开销，完整的 GSR 流水线仍比 WRO 快 1.4–3 倍。正确性通过双 Richelot 对合测试在 5 个素数上的 2.5×10^5 个随机三元组上得到独立验证。该工作为后量子密码学中基于同源的密码体制（如 SIDH/SIKE 的推广）的高效实现提供了新途径。

本文针对5G网络中用户设备（UE）与基站（BS）之间缺乏认证引导的问题，提出了一种轻量级后量子（PQ）安全认证框架EMULSION。5G的系统信息块（SIB）广播在无认证保护下易受伪造基站攻击、中间人拦截和虚假紧急警报威胁。现有方案如基于公钥基础设施（PKI）的证书链、令牌方案和身份签名存在开销大、不满足5G严格数据包大小限制或缺乏后量子安全性等问题。直接集成NIST后量子标准（如ML-DSA和FN-DSA）会导致大量数据包碎片和极高延迟（ML-DSA需要34个碎片SIB1数据包和高达5282ms端到端延迟）。EMULSION利用5G原生架构特性（固定SIB传输窗口、毫秒级时间同步、eSIM/USIM凭证管理），提出一种对称链式公开可验证认证框架。它采用TESLA风格的HMAC链，锚定每个epoch的紧凑后量子签名（MAYO），将认证信息压缩到单个数据包内，无需碎片化且完全消除证书传输。与以往方案不同，EMULSION保护完整的SIB系列（SIB1-SIB21）。在真实5G空中测试平台上评估，EMULSION相比ML-DSA端到端延迟降低33倍，通信开销降低31倍；相比FN-DSA延迟降低12倍，开销降低5.4倍。作者还正式证明了EMULSION的安全性，并开源了实现以供测试和适配。

该论文提出一种在类似MLS（Messaging Layer Security）的安全群组消息协议中隐藏元数据的通用方法。MLS是IETF标准化的端到端加密群组通信协议，但其设计主要关注消息内容的机密性，而元数据（如发送者身份、群组结构、消息时序等）仍可能被观察者推断。作者设计了一种简单、模块化的方案，通过引入密码学原语（如匿名密钥交换、可穿刺加密、后量子安全假设）来隐藏通信模式。该方法独立于底层MLS协议的细节，可兼容现有实现，并支持后量子安全性（基于格密码）。实验表明，该方案在通信开销上仅增加少量带宽，且计算效率适合实际部署。核心贡献在于：(1) 形式化定义了群组消息中元数据隐藏的安全模型；(2) 提供了模块化构造，可组合不同隐私增强技术；(3) 给出了后量子安全的实例化。对于安全从业者，该工作揭示了群组通信中常被忽视的元数据泄露风险，并提供了可落地的解决方案。

该论文提出了一种名为 MergeLLL 的新型格基约简算法框架，灵感来源于归并排序的分治策略，并在重组阶段引入了 PotLLL 风格的深度插入操作。传统的 LLL 算法及其变体在高维格上的计算复杂度迅速增长，而 MergeLLL 通过将格基分割为子基，独立进行局部约简，然后通过层次化合并重构完整基，从而优先改善局部格结构，再逐步优化全局基性质。这种方法显著提升了 Gram-Schmidt 正交性和数值稳定性，同时降低了整体计算成本。由于算法天然支持并行化，能够高效地利用多核和分布式计算环境。论文证明了约简和合并步骤通过幺模变换保持了格结构，并实现了对数级别的并行深度。在子集和问题以及 NTRU 密码系统衍生格的实验表明，MergeLLL 相比经典 LLL 算法表现出更好的正交性、更少的昂贵交换操作次数以及更优的 Hermite 因子，意味着能够生成更高质量的约简基。该工作对于格密码的安全参数评估和密码分析具有重要参考价值。

该论文提出一种去中心化AI经济系统，旨在解决传统工作量证明（PoW）区块链中哈希计算不产生外部价值的根本缺陷。核心思路是让节点执行有实际价值的机器学习任务（如模型推理和训练）来获得代币奖励，而非无效的哈希计算。作者设计了三层架构：计算层（执行ML任务）、验证层（通过特定协议确保结果正确性）、经济协调层（管理代币发行与流通）。形式化地，论文提出了一个基于闭循环代币经济模型的框架，并推导出诚实参与所需的足额抵押条件。安全方面，论文分析了量子计算对区块链的威胁：Grover算法对哈希只有二次加速，不影响ML原生线性代数；而Shor算法威胁经典签名。为此，论文提出迁移至格基和哈希基后量子密码标准来保护签名层。实验（或分析）表明，有用工作共识在经济性和量子安全性上均优于经典PoW。适合对区块链共识、去中心化AI、后量子密码交叉领域感兴趣的读者。

随着物联网（IoT）的飞速发展，异构且资源受限的设备之间产生了前所未有的数据交换规模。在这种环境下保证机密性和安全的密钥管理极具挑战性。传统的公钥基础设施需要沉重的证书处理开销，而基于身份加密（IBE）通过直接从设备身份推导公钥，提供了一种轻量级替代方案，因此对IoT部署具有吸引力。然而，IoT设备极易受到侧信道和密钥提取攻击，这促使了前向安全IBE（FS-IBE）的需求——即使当前密钥被泄露，也不会威胁到过去的通信。现有的基于经典困难假设的FS-IBE构造在后量子时代不再安全，而基于格（LWE）的前向安全方案则面临密钥和密文尺寸过大的问题，限制了其在资源受限IoT系统中的应用。本文提出了一种新的基于环格（RLWE）的FS-IBE方案，通过采用最小覆盖机制的陷门委托技术，并构建在二叉树结构上，实现了后量子安全与显著的效率提升。与先前基于LWE的构造相比，本方案在公钥、私钥和密文尺寸上均有缩减，从而更适合实际的IoT环境。实验分析表明，该方案在安全性、密钥更新效率和存储开销之间取得了良好平衡。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

本文对 Stickel 型密钥交换方案进行了密码分析，这类方案基于有限域上 n×n 矩阵的双边乘法，且矩阵来自具有特定交换结构的公共子空间。研究表明，所有此类方案（包括 Stickel 原始方案、Shpilrain 的多项式扩展、Nager 的代数扩展等）都可以在多项式时间内被破解：通过一个证人发现（witness-finding）攻击，攻击者可以从公开信息中恢复共享密钥。此外，作者提出了一种新的密钥建立方案，该方案同样使用双边矩阵乘法，但通过私有权项对交换子空间进行共轭隐藏，从而阻断了上述基于公共子空间的攻击。新方案中的证人发现问题可直接归约到 Edmonds 问题——一个标准的 NP 难问题，暗示其可能具有更强的安全性。论文为后量子密码学中的密钥交换提供了新视角，既暴露了现有方案的根本弱点，也给出了一个潜在更安全的替代方案。由于是纯理论分析，未提供实际实现或性能评估。

该论文聚焦于后量子密码学转型背景下，组织面临更新大型复杂软件组合中密码算法的巨大挑战。当前多数密码API围绕特定算法设计，要求显式使用特定算法，缺乏基于策略的算法选择支持，且无法直接迁移现有密钥至新算法，导致密码算法过渡困难。论文首先通过配套评估框架识别密码敏捷性的障碍，指出算法过渡本质上是软件工程问题。为克服现有API局限，论文提出设计密码敏捷API所需的原则，这些原则源自五项基本架构特性：抽象性、稳定性、时间灵活性、分离性和可扩展性。具体实现上，论文展示了如何利用Protocol Buffers API设计模式，提出基于范围的意图词汇表，将密钥创建与算法身份解耦，支持在适用范围内透明替换算法。密码治理通过抽象策略API实现，不规定策略格式。密钥以稳定标识符表示，并支持密钥演化操作（轮换、转换、迁移），便于算法和提供商之间迁移，同时跟踪原始密钥身份及其演化历史。该方法使密码更新成为运维流程，无需重写应用程序代码。

本文针对即将到来的后量子密码迁移挑战，指出当前密码API在设计时未考虑敏捷性，导致算法替换困难。作者提出一个基于组件的评估框架，用于系统性地衡量应用层密码敏捷性。该框架包含七个正交维度：三个耦合维度（操作耦合、创建耦合、配置耦合）衡量应用代码对算法和提供者的依赖程度；一个横切解耦机制；一个治理权威维度；以及两个敏捷性使能维度（版本化能力和外部化配置）。框架是非线性的，可以捕获非层次化特征。作者用该框架评估了六个代表性API：PKCS#11、OpenSSL 3.0、JCA、Google Tink、AWS KMS和HashiCorp Vault Transit。评估揭示了三个普遍且独立的缺口：没有系统支持基于意图的密钥创建，没有提供策略驱动的算法选择（区别于访问控制），也没有为现有密钥的算法转换提供专用的一流操作。这些缺口单独就足以阻碍敏捷迁移，解释了为何尽管API发展数十年，后量子迁移仍然是软件工程问题。本文适合密码学研究人员、安全架构师和软件开发者阅读，以理解现有API的局限性并指导未来设计。

该论文针对量子计算对现有金融加密体系构成的威胁，提出了一种后量子安全的联邦去中心化金融（DeFi）框架，旨在提升因信用记录不足而被传统银行排斥的个人的金融包容性。核心方法包括：多家银行将客户加密数据批量上传至虚拟服务器，采用基于格的全同态加密（FHE）实现端到端同态计算，确保数据在加密状态下完成融合分析；服务器融合本地数据驱动的概率评估、专家信念以及NASA-IBM Prithvi地理空间基础模型（GFM）生成的可验证证据（全部为密文形式）；利用区块链等去中心化技术保证证据的防篡改性和机构间数据交换的可审计问责。该框架以美国弗吉尼亚州农村借款人的农业贷款决策为测试场景，展示了在保护隐私的同时提升贷款覆盖率的潜力。论文的主要贡献在于首次将后量子密码学、联邦学习、FHE与地理空间AI模型系统性地整合到DeFi场景中，为应对量子威胁下的金融普惠问题提供了可扩展的架构方案。适合关注后量子安全、联邦学习、隐私计算及普惠金融的技术研究与安全架构师阅读。

该论文提出了一种面向药物警戒系统的后量子安全数据管道教育原型。药物警戒系统处理包括不良事件报告和临床观察在内的敏感医疗数据。随着量子计算的发展，RSA和椭圆曲线密码等经典公钥系统可能变得脆弱，对需要长期保密的医疗数据构成威胁。该原型采用ML-KEM-768进行后量子密钥建立，HKDF-SHA-256派生AES密钥，AES-256-GCM进行文件加密，以及ML-DSA-65进行数字签名和防篡改。管道支持TXT、CSV、JSON、PDF等多种文件格式，通过将文件视为原始字节并保留元数据以供接收方重建。系统包含独立的医院、网关、制药接收方、攻击者、基准测试和仪表板组件。使用不同大小和格式的合成药物警戒数据集进行评估，结果表明ML-KEM增加了较小的恒定开销，而AES加密和ML-DSA签名随文件大小增加成为运行时的主导。本工作并非生产就绪的医疗系统，而是一次教育性的系统级探索，展示了后量子密码原语如何集成到医疗风格的数据管道中。

本文提出并实现了首个实用的、轮次最优的基于格的盲签名方案。盲签名是一种基础的密码学原语，允许用户获取消息的签名而不向签名者泄露消息内容，广泛应用于匿名投票、数字货币等场景。此前，基于数论假设（如RSA、离散对数）的盲签名已相当成熟，但在后量子假设下，特别是格上，现有方案要么不实用（签名/密钥过大、效率低），要么仅支持有限次签名查询，要么轮次复杂度高。本研究解决了这些挑战，基于标准格假设（如SIS和LWE问题）构造了一个支持无限次签名查询、轮次最优（即两轮交互）的盲签名协议。作者提供了详细的参数估计和实现结果：在核心SVP硬度为109比特的安全级别下，签名大小约为45KB，签名者、用户和验证者的运行时间都非常小。方法上，他们利用了格上陷门函数、拒绝采样和零知识证明等技术，通过精心设计交互协议实现了轮次最优。实验表明该方案在效率和安全性上达到了实用水平，填补了后量子盲签名领域的空白。适合密码学研究者、安全协议设计者以及需要后量子安全性的应用开发者阅读。

本文针对带宽受限的两方安全消息协议（如Signal、WhatsApp等）的后量子安全性进行比较研究。随着量子计算机的发展，当前基于离散对数或整数分解的密钥交换协议面临被破解的风险，因此需要后量子安全的替代方案。然而，后量子密码方案通常具有较大的密钥和密文尺寸，在带宽受限的网络环境（如卫星通信、物联网、低带宽移动网络）中成为瓶颈。论文系统性地比较了多种后量子密码体制（基于格、编码、哈希、多变量等）在双棘轮协议（Double Ratchet）框架下的性能，重点关注通信开销、计算复杂度和安全性权衡。核心贡献包括：提出一种统一的形式化安全模型来评估不同后量子原语的适用性；设计了一种新的混合协议，结合经典与后量子技术以兼顾效率与安全；通过实验模拟证明了该协议在典型带宽限制条件下（如每轮消息1KB以下）仍能满足实时性要求。研究指出，尽管某些后量子方案（如CRYSTALS-Kyber）在桌面端表现良好，但在移动端或极低带宽场景下仍需优化。本文适合密码学研究员、安全协议设计者和即时通讯软件开发者阅读。

本文介绍了首个基于机械化证明的后量子安全协议验证方法。作者提出了PQ-BC，一种针对量子攻击者计算安全性的计算一阶逻辑，并实现了对应的机械化支持工具PQ-SQUIRREL。该工作基于经典的BC逻辑及其在SQUIRREL证明器中的机械化实现。PQ-BC的发展需要使BC逻辑对单一交互式量子攻击者保持完备性。作者通过修改SQUIRREL，依赖PQ-BC的完备性结果并强制执行一组语法条件，实现了PQ-SQUIRREL证明器；此外，还提供了新的策略来扩展工具范围。利用PQ-SQUIRREL，作者进行了多个案例研究，提供了首个机械化的后量子安全性证明，包括两个通用的基于KEM的密钥交换构造、IKEv1和IKEv2的两个子协议，以及Signal的X3DH协议的一个后量子变体。此外，他们用PQ-SQUIRREL证明了几个经典的SQUIRREL案例已经具有后量子安全性。这项工作的贡献在于将形式化验证扩展到后量子设置，为安全协议的后量子安全性提供了自动化的推理工具。

本文针对金融行业在后量子密码（PQC）迁移过程中面临的操作性瓶颈，提出了一种自动化的TLS配置解析与混合PQC部署方法。背景是：大规模量子计算机尚未出现，但组织需要提前升级密码基础设施以抵御未来的量子攻击。NIST已标准化PQC密钥交换与数字签名算法，如ML-KEM（原Kyber），但实际部署中，企业面临异构环境（如Web服务器、API网关、负载均衡器、反向代理）中TLS配置不透明、缺乏统一视图、手动配置易错等挑战。作者认为瓶颈在于操作层面而非算法层面——主流库已支持混合密钥交换（如ML-KEM与经典算法结合），但安全团队没有精确的可视化和可重复的方法来启用兼容设置。 核心贡献包括：1）提出一种配置解析方法，自动从主流企业Web服务器（如Nginx、Apache等）提取并规范化TLS密码学配置，生成带有来源追溯的统一密码学清单（Cryptographic Inventory），作为迁移和合规的基础。2）在8443个来自公共仓库的真实Nginx配置上验证了该方法的可行性，并在某金融机构的概念验证部署中，对内部应用的TLS终端（Web服务器和API网关）启用了ML-KEM及混合ML-KEM密钥交换，零应用层代码修改，性能开销可控。 实验表明，该方法能有效识别当前TLS配置中的量子脆弱组件，辅助制定迁移优先级，并确保合规性。论文主要面向金融行业的安全架构师、密码学工程师和运维团队，为他们提供一套可操作的工具链，以加速PQC的规模化落地。

本文是'模格安全性'系列论文的第三部分，聚焦于分圆域Q(ζ_{2^k})的对数单位格上的结构化最近向量问题（CVP）距离。论文首先证明了从随机短环元素到对数单位格的L^2 CVP距离渐近收敛到(π/(2√6))√n，其中n=2^{k-1}。对于k≥4，该目标位于原点的Voronoi胞内。在L^∞范数下，n个子高斯坐标的最大值产生O(√log n)的边界，这转化为短生成元问题的次多项式近似因子。文章还提出了'粗格定理'：Babai算法对所有结构化目标返回零，但能精确恢复任意大小的单位扰动。对于模行列式理想，进一步证明了Trigamma定理，揭示了内在不平衡性σ_{g_0}=O(1)与模q无关。最后，结合前两部分，将ML-KEM的CDPR因子从exp(Õ(√n))降低到次多项式值。该工作为评估后量子密码标准ML-KEM的安全性提供了更紧的理论界。

后量子密码学旨在抵抗量子计算机构成的威胁，其中基于编码理论的McEliece和BIKE（Bit Flip Key Encapsulation）是两种代表性方案。这些算法通过选择适当密钥尺寸可有效抵御经典结构攻击。然而，物理实现的侧信道安全性尚未充分评估。本文聚焦于解密阶段（生成共享秘密密钥时）的信息泄漏问题，采用简单功耗分析（SPA）方法，利用低成本设备采集电磁辐射信号。实验结果表明，电磁辐射与秘密值之间存在显著相关性。仅需采集200条功耗迹线，机器学习模型即可预测解密阶段产生的共享会话密钥的秘密比特，且准确率较高。该研究首次系统地量化了后量子编码密码方案在功耗分析威胁下的脆弱性，揭示了即便算法在数学上安全，物理实现仍可能泄露关键信息。研究成果对后量子密码的标准化和实际部署具有警示意义，强调必须结合侧信道防护措施。

后量子密码（PQC）就绪已成为关键基础设施面临的紧迫挑战，但现有障碍更多来自密码可见性不足、依赖关系复杂和治理碎片化，而非算法本身的缺失。本文以欧洲一家关键服务提供商为匿名案例，详细描述了其采用“先发现后迁移”策略推进PQC就绪的实践经验。该组织首先利用自动化工具对全网络进行密码资产清点，建立基于证据的基线，包括算法类型、密钥长度、使用场景、生命周期等。发现阶段揭示了三大系统性挑战：1）密码资产所有权高度分散，各部门缺乏统一管理；2）遗留系统与现代环境中的证据质量参差不齐，部分老旧系统文档缺失；3）严重依赖第三方供应商的密码路线图，可控性低。为将这些发现转化为可操作的风险缓解措施，组织设计了一套结构化的暴露登记册（exposure register），将资产关键性、机密数据保密期限（如需要保持机密超过10年的数据更易受“先收获后解密”攻击）、以及迁移可行性三个维度结合，对密码资产进行优先级排序。作者由此提出核心论点：PQC发现不应仅被视为技术清点工作，而应上升为一种治理能力——它能够稳定组织关于密码使用的知识，将模糊的不确定性转化为可衡量的责任主体，从而支撑基于风险的决策和跨团队协调。案例表明，即使不立即启动算法替换，建立系统的发现与暴露优先级框架也能显著提升组织的密码敏捷性。本文适合安全架构师、CISO、网络风险管理者和政策制定者阅读，为大型机构应对后量子过渡提供了可复用的治理方法论和实操经验。

该论文介绍了一个名为“Quantum Futures Interactive”的实时交互演示平台，旨在应对量子计算对区块链和分布式应用带来的长期安全挑战。随着量子计算的发展，广泛使用的公钥密码系统（如RSA、ECC）面临被破解的风险，这威胁到区块链平台的安全性。尽管后量子密码学（PQC）标准正在制定中，但对量子风险的理解在研究、工程、治理和投资社区中仍然分散。该平台通过教育可视化、参与式交互和密码学工件生成，展示了从经典密码系统到量子弹性区块链系统的过渡过程。参与者遵循结构化流程，包括量子威胁教育、情绪捕捉、技术优先级排序、基础设施权衡探索以及生成后量子密码学输出。系统集成了分布式信任概念、可持续性感知的基础设施考虑和负责任创新框架，并符合联合国可持续发展目标（SDGs）。该演示旨在促进区块链弹性方面的跨学科对话，并帮助不同背景的参与者理解量子风险、探索权衡，并生成实际的PQC工件（如密钥和签名）。实验表明，该平台能够有效提升参与者的量子安全意识和决策能力。

本文提出一种基于机器学习的攻击方法 SalsaPicante，针对带有稀疏二进制秘密的学习与错误（LWE）问题。LWE 是后量子密码（PQC）系统的基础难题，NIST 标准化的密钥交换机制（KEM）基于模 LWE，而现有同态加密（HE）库多基于环 LWE。出于效率考虑，PQC HE 方案常采用稀疏二进制秘密（即秘密向量中非零元素很少），但这可能削弱安全性。先前的工作 SALSA 展示了在低维度（n ≤ 128）和低汉明重量（h ≤ 4）下对稀疏二进制 LWE 的机器学习攻击，但它需要窃听数百万个 LWE 样本，并且在更高的汉明重量或维度下失败。SalsaPicante 通过改进攻击策略，能够在更实际的参数下（如更高维度和更高汉明重量）成功恢复秘密，同时减少所需样本数量。实验证明该方法对中等规模参数有效，揭示了稀疏二进制秘密在 PQC 实现中的潜在风险。本文适合密码学研究人员、后量子安全实现者及同态加密系统开发者阅读。

本文系统地探讨了后量子密码架构，特别是基于格密码（如 LWE）的根本局限性。传统观点认为，通过在加密过程中注入人工离散高斯噪声，可以抵御量子计算机的攻击。然而，作者从计算复杂性、信息论热力学、量子纠错和量子学习理论四个相互关联的领域，对这种噪声依赖模型的理论和物理边界进行了深入分析。首先，在算法基础上，作者指出这些框架依赖于暂时的复杂性理论假设，而这些假设可能被未来的量子算法突破。其次，通过将密码机制映射到物理热力学，作者证明故意注入的离散高斯噪声并不等同于信息的永久擦除，因为密码秘密的结构完整性仍保留在密文中。最后，作者论证，利用先进的量子纠错协议和量子学习模型，攻击者可以高效地提取底层的数学内核。因此，尽管基于格的密码学提供了稳健的过渡性替代方案，但将其绝对地归类为无条件后量子安全还为时过早，因为其安全性依赖于暂时的物理瓶颈而非不可逾越的理论界限。该研究对于密码学研究人员和量子安全标准制定者具有重要参考价值。

该论文对SSH协议进行了全面的后量子密码学安全性分析。SSH是首批升级以抵抗未来量子计算机攻击的互联网安全协议之一，OpenSSH自2022年4月起默认采用“量子（或其他经典）”安全的混合密钥交换。然而，现有文献对SSH抗量子版本的安全性分析不足：相关工作要么孤立地分析混合密钥交换，不考虑整体协议安全；要么在不适合SSH的安全模型（尤其是在后量子环境下）中分析协议。本研究通过“自顶向下”的方法填补了这一空白：首先在一个更合适的模型（即后量子扩展的认证机密信道建立协议安全模型，ACCE）中证明了SSH的安全性，该扩展能够捕获“先收集、后解密”攻击，具有独立研究价值；然后基于协议级别的ACCE安全分析，推导了SSH底层原语（如OpenSSH和TinySSH最新版本中使用的密钥封装机制“Streamlined NTRU Prime”）的密码学属性，在量子随机预言机模型中证明了相关属性，并解决了文献中关于其分析的开放问题。值得注意的是，对后量子SSH的ACCE安全分析依赖于混合密钥交换中使用的临时KEM的较弱IND-CPA安全性，而此前的工作依赖于更强的IND-CCA安全性。论文最后讨论了将当前后量子SSH实现中的IND-CCA安全KEM替换为更简单、更快的IND-CPA安全KEM的可行性，并提供了相应基准测试。

本文提出了一种名为Ringtail的基于格的后量子阈值签名方案。阈值签名允许将签名密钥分发给ℓ个参与方，其中任意t个参与方可以联合生成签名。现有方案要么需要三轮签名协议（Eurocrypt'24），要么依赖非标准假设（Crypto'24）。Ringtail首次实现了以下理想特性的组合：①签名协议仅需两轮，且第一轮与消息无关，可离线预处理；②具体效率高且可扩展到t≤1024个参与方，对于128位安全性和t=1024，签名大小为13.4KB，在线通信量为10.5KB；③安全性基于标准学习误差（LWE）假设（随机预言机模型）。为了验证实用性，作者在五大洲8个国家进行了首次跨广域网（WAN）的格基阈值签名实验，观察到端到端延迟的绝大部分由网络延迟消耗，证明了轮数优化方案的必要性。该工作对后量子密码标准化（如NIST的征集）具有重要参考价值。

本文提出 SILMARILS，一种基于信息论和量子安全的设计者验证签名方案，构建于有限域 F_p 上的最小代数核心，使用真随机性和完美 2-out-of-2 Shamir 秘密共享。方案支持两方和三方模式。两方模式下，实现可转移设计者验证签名（TDV）：指定验证者能够模拟出与真实签名不可区分的接受副本，满足 Jakobsson-Sako-Impagliazzo DV 安全；验证者可发布收据 r 用于公开验证，但即使有 r，外部方也无法区分签名或模拟。针对非指定验证者，在随机预言模型和量子随机预言模型中证明了 EUF-CMA^¬DV 安全性。三方模式下，采用 Fitzi 等人的广播模型，获得基于模拟安全的统计安全签名协议，错误率 1/p。安全性在纯信息论模型、IT+ROM 和量子随机预言模型下分析，并将 Fitzi 框架扩展到具有经典 I/O 的量子敌手。方案实现了正确性、保密性、可转移性和不可伪造性，且与基于模拟的安全等价。由于代数结构简单，SILMARILS 的密钥和签名尺寸显著小于 Dilithium、Falcon、SPHINCS+ 等标准化后量子方案，同时在后量子环境下提供 TDV 安全，特别适合区块链应用。

本文对FIDO2、CTAP 2.1和WebAuthn 2这一现代无密码认证协议族进行了形式化安全分析，并提出了后量子安全的实例化方案。研究者首先构建了这些协议的符号模型，涵盖了注册、认证、凭证管理等多阶段交互，并利用Tamarin Prover工具进行了自动化安全验证。分析揭示了在标准安全假设下协议能够满足预期的安全属性（如抗钓鱼、密钥泄露保护、绑定认证等），但发现了在特定场景下存在的设计缺陷，例如CTAP 2.1中某些消息序列可能导致不安全的凭证共享。基于这些发现，论文提出了两方面的贡献：一是给出了一个增强的、可证明安全的协议规范修正；二是引入了后量子密码原语（如基于格的签名方案），对协议进行了后量子安全实例化，并证明了其在量子计算机威胁下的安全性。实验评估表明，后量子实例化在性能开销上可接受，兼容现有硬件。该工作为大规模部署无密码认证提供了坚实的理论基础和工程指导。

本文（系列第6篇）聚焦后量子密码学中基于NTT（数论变换）硬件的算术掩码组合安全性。布尔掩码的组合理论（NI、SNI、PINI）已成熟，但素数域上的算术掩码（NTT后量子密码的基础）缺乏类似理论。作者提出并形式化证明了素数域上PINI（Prime-Field PINI）的组合定理。核心见解是“更新参数”（renewal argument）：当在两个流水线阶段间施加新的随机掩码时，中间导线无论第一阶段的防护参数如何都会变得完全均匀。对于两个PF-PINI gadgets（参数k1和k2），经新鲜掩码组合的两阶段流水线满足PF-PINI(k2)，阶段1的多重性被完全消除。无新鲜掩码时，中间导线多重性可达k1，构成差分功耗分析的必要条件。作者在Lean 4中形式化了两个定理，包含18个机器检查的证明，零个“sorry”存根。他们还形式化地桥接了Barrett约简的代数模型与硬件忠实算术模型，并实例化定理以正式诊断微软Adams Bridge PQC加速器：其缺失阶段间新鲜掩码导致Barrett输出导线在一阶探针模型下非均匀，这一架构缺陷与三个独立实证分析一致。计算证据进一步表明“1比特屏障”在Barrett和Montgomery约简中具有普遍性。本文适合对后量子密码侧信道防护、形式化验证与硬件安全感兴趣的研究者阅读。