该论文针对一个长期被忽视的度量问题：标准机构（如 NIST、各密码测评体系）通常用单一“比特数”来表述密码方案的安全强度，但这一数值实际上依赖于所采用的敌手成本模型——即如何为时间、内存、量子资源定价。不同约定（例如内存成本权重、量子算力折扣）会给出不同结果，甚至导致密码方案的排名发生翻转。作者提出 GAUGE 框架，把“安全性”从标量重新定义为定义在可行成本模型锥上的函数，称为“安全轮廓（security profile）”。这样，方案之间的比较就变成轮廓之间的比较，而排名翻转则被刻画为一种明确的结构性质，而非测量误差。论文形式化了成本模型锥上的“价格泛函”，证明安全轮廓是分段线性且凹的，并给出一个“评级三难（rating trilemma）”定理：当两条轮廓相交时，不存在任何评级方式能同时满足三点——忠实反映底层成本、对可比方案对全序可比、以及独立于所选成本模型。作者进一步给出一个多项式时间的线性规划（LP）流程，用于判定两个方案的排名是稳健的、在某些可行模型下会翻转的，还是本质不可比的。GAUGE 还被扩展为两层风险度量，融合随机密码分析退化（随时间推移攻击成本下降）与对正确成本模型的不确定性。评估覆盖 NIST 后量子标准、经典锚点方案以及 25 年密码分析攻破时间线：分析证明 ML-KEM-512 与 AES-128 的排名仅因内存定价 4–5% 的偏移即可发生翻转，并测得格筛法成本以约每年 9.79 比特的速度漂移（八年区间）；同时表明 X25519 + ML-KEM-768 混合握手在 2.3 KB 开销下可将联合被破概率降低约二十倍。配套工件可在 7 秒内复现全部表格与图。该工作为在相互竞争的成本模型下报告密码安全性提供了显式、可审计的框架。适合密码工程、密码敏捷性规划、后量子迁移与安全度量研究者阅读。

DNSSEC 能对 RRset 做来源认证，但不提供端点身份认证与信道加密。DoT/DoQ 虽可补足，但其设计假设是 stub 到递归解析器这一跳：连接长期存活，可摊薄昂贵的初始握手。而递归到权威这一跳具有高扇入、每个解析器查询频率不均的特点，恰好反转了上述经济性。后量子原语进一步放大矛盾：ML-DSA 的 WebPKI 证书链超过 TCP 初始窗口大小；一次冷启动的 PQ DoQ 查询开销可达同一查询走 UDP 时的约 140 倍字节数。作者还调研了 TLD 与 2LD 域名服务器，发现连接生命周期受限，近半数即使对非空闲连接也设有上限。为此提出 Enc53：一种无状态会话票据协议，实现高效的、经认证的权威 DNS 加密。Enc53 分两阶段：第一阶段在首次查询时完成短时、DNSSEC 锚定、TLS 认证的票据配置；第二阶段进入稳态，使用 1-RTT AEAD 加密的 UDP DNS 查询。协议在服务器侧无状态：递归解析器持有流量密钥与会话票据，权威服务器仅保存对称 STEK。作者在 Knot DNS 中实现 Enc53。稳态一次交换约 570 字节，约为明文 UDP 查询的 3 倍，延迟与未加密 UDP 基线相差 1 ms 以内。恢复型 PQ-ADoT 需 7.7 倍字节与 3 倍延迟；恢复型 PQ-ADoQ 需 10 倍字节但延迟相同。基于根服务器查询轨迹评估，Enc53 相对 ADoT/ADoQ 有 2 倍计算效率，相对 ADoT 有 3 倍内存效率，相对 ADoQ 有 12 倍内存效率。与 FN-DSA-512 后量子 DNSSEC 联合部署时，Enc53-DNSSEC 的 UDP 数据报仍低于 1232 字节缓冲区上限。

该论文针对数字身份验证（eKYC）场景中隐私保护与效率难以兼顾的问题展开研究。作者指出，现有基于零知识证明（ZKP）的 eKYC 框架存在计算开销高、电路设计僵化、集成复杂以及链上验证成本昂贵等缺陷；同时，W3C 2021 提出的基于 BitString 的凭证状态机制在大规模部署下也存在更新效率低、可扩展性差的问题。为此，论文提出一种基于安全多方计算（MPC）的透明且低成本身份验证框架。其核心设计包括：支持私密的链下代码执行，并生成与区块链锚定的运行时证明，从而在不暴露敏感凭证数据的前提下实现可验证性；引入多维比特矩阵（multidimensional bit-matrix）模型并配合高效压缩算法，使用 ZSTD 将凭证数据压缩至 76 字节，相比 GZIP 的 140 字节显著降低存储与带宽成本；支持细粒度的凭证状态更新，并采用 Layer-2 区块链锚定实现防篡改且低成本的验证；采用可复用的可验证凭证呈现（VP）与唯一访问令牌，使验证过程无需链上费用并强化访问控制；通过选择性披露机制保障用户对个人信息的控制权与隐私。此外，系统集成 SHA3 哈希与 Falcon 后量子签名，以抵御量子计算攻击，兼顾透明性与可扩展性。论文通过实验与安全性分析验证了该框架的鲁棒性与适用性，并声称其可作为面向国家级规模身份验证的前瞻性解决方案。整体而言，该工作属于隐私增强身份验证与后量子安全交叉方向的架构型研究。

该论文研究 ML-KEM-768（即 FIPS 203 标准化的 Kyber 密钥封装）在诚实解封装条件下失败概率上界的严格认证问题。ML-KEM 的安全性论证长期依赖一个启发式结论：解封装失败率约为 2^-164 量级，但近期的形式化评估指出，这一启发式尺度缺乏严格证明，属于公开难题。作者在显式的随机函数/中心二项分布（ROM/CBD）抽象下给出了该尺度的、保持依赖关系的可认证上界：把按域分离的公钥矩阵流建模为独立均匀环元素，把秘密与噪声多项式建模为独立的 CBD2 原语；论文明确说明这不是针对 FIPS 203 固定 SHAKE 实例的信息论结论。分析保留了公钥矩阵以及两个密文压缩项 c_u、c_v 所引入的依赖关系，避免因独立性假设而失真。证明的终端链条分为三段：首先为联合 c_u/c_v 残差构造精确的图耦合全理想参考；其次通过 proper-ideal 二元傅里叶传输进行处理，其中罕见的 |T|>=3 分支用穷尽式三因子反集中重放予以封闭；最后采用精确到比特的 FIPS 解码事件，仅保留 256 坐标的联合界。作者还给出形式化的部分傅里叶引理，使从谱范数到全变差的步骤显式可验证。最终约化有理证书给出 Pr[K' != K] <= P_* <= 2^-164.81，其中 -log2(P_*) = 164.810716201343121…。该阈值精确但数值上极为紧致：认证指数仅超出 164.81 约 0.0007162 bit，而 164.82 未被认证。该结论对任意与公私随机性独立固定的消息、在诚实加密与诚实解封装下成立。作者明确声明它不是精确 DFR、不是固定 SHAKE 的等价定理、不是新的 IND-CCA 归约，也不是自适应 delta-correctness 结果。

该论文聚焦于后量子签名迁移在多方分布式授权场景中的系统问题。当授权由多方执行时, 传统原生阈值签名会将密钥生成、份额状态、预处理、交互、组合、刷新和恢复等环节与算法紧密耦合。为降低耦合, 有些架构在原生签名关系之外评估阈值策略, 但这些架构的授权证据无法被未经修改的原生验证器接受, 除非依赖一个持有完整密钥的可信签名者将批准转换为原生签名。论文通过三个属性来组织这一设计边界: 原生签名兼容性(native-signature compatibility)、单方签名抵抗性(unilateral-signing resistance)和阈值层敏捷性(threshold-layer agility), 并据此对专业阈值签名、通用MPC签名、分布式哈希构造、可编程多重签名与双门授权、以及阈值授权的HSM签名等方案进行了分类。通过迁移影响面(migration impact surface), 论文指出哪些组件会随签名算法变化而变化。梳理发现, 在被调研的方案族中, 没有任何设计能同时提供原生输出、单方签名抵抗性和阈值层敏捷性; 这是一种架构上的张力而非不可实现性论断, 并解释了为何仅替换API并不能让分布式授权具备密码学上的算法敏捷性。

该论文研究基于同源的密码学（isogeny-based cryptography）中的一个基础计算问题：在素数域 F_p 上搜索超奇异椭圆曲线。此前相关工作在 F_{p^2} 域上引入了非重数距离（NonMultiplicity Distance, NMD）目标函数，用于衡量 Frobenius 迹偏离 p 的倍数的程度，并表明无信息随机搜索在候选规模超过约 10^13 时失效。本文则将视角转向素数域 F_p，这一设置对应定向同源协议如 CSIDH、OSIDH 和 SQISign。尽管候选空间从 p^2 缩小到 p，但超奇异轨迹（supersingular locus）在渐近意义下仍然稀疏（约有 O(√p log p) 条曲线），因此搜索在指数级别上仍然困难。作者提出了一种针对 F_p 定制的模因算法（memetic algorithm），采用一维 j-不变量染色体、位级重组、自适应变异和周期性局部搜索，并以 NMD 作为优化目标。实验使用 30 个独立随机种子，在 40 位、46 位和 51 位素数（p ≈ 1.13×10^15）规模上进行基准测试，结果显示：算法在 46 位规模下能发现一条精确的超奇异曲线，并能持续收敛到 Frobenius 迹极接近零的“近超奇异”普通曲线。最佳 NMD 值在 40 位时为 19，在 51 位时为 3，对应的相对迹偏差在 Hasse 区间内分别达到 1.3×10^-5 和 4.5×10^-8。这些结果表明，NMD 驱动的模因搜索能有效导航稀疏的 F_p 搜索空间，并系统性地定位近超奇异结构。该研究的主要贡献在于：首次将模因算法应用于 F_p 域上的超奇异曲线搜索，提出了针对该问题的染色体编码与变异策略，并通过大范围实验验证了方法的有效性。适合关注后量子密码学、同源密码协议安全性分析以及数学优化算法在密码学中应用的研究人员阅读。

该论文针对后量子迁移背景下 WebPKI 认证成本增加的问题，指出仅对压缩证书对象进行认证并不能保留依赖方（relying party）接受该证书时所依赖的可变授权上下文。作者形式化了“上下文闭合”（context closure）概念：验证者接受的经过认证的投影必须能够决定其声称的授权语义，且该语义需与声明的来源契约和事件覆盖见证一致。论文提出了 LRp，一种双平面（two-plane）后量子构造：在更新平面中认证可变的 CA 上下文状态，而热路径（warm path）仅携带由显式配置文件协商选择的状态局部依赖引用。在固定的 CCADB 重建中，作者从 Apple、Chrome、Microsoft 和 Mozilla 四个视图获得了 44,912 个路径/视图上下文和 16,858 个物理 CA 谱系。核心编译器产生的中位数、p95 和最大类型化依赖数分别为 m50=6、m95=16、mmax=18。因此，一个热路径 LR+ 选择器在携带相同依赖向量的情况下，中位数、p95 和最大大小分别为 296、776 和 872 字节，而单签名无状态捆绑包则分别为 3,842、5,932 和 6,350 字节。保留的全视图闭合状态大小为 16.15 MB，在所述检查点和更新模型下，每个视图的生命周期交叉中位热路径认证数为每天 19.60 到 50.41 次。实现和评估工件可在 GitHub 获取。该工作主要面向 PKI 研究者、后量子密码迁移设计者以及 Web 安全基础设施工程师，提供了一种降低后量子认证开销同时保持授权上下文完整性的新思路。

本文提出一种求解搜索型LWE问题（Search-LWE）的新代数算法。LWE问题由Regev于2005年引入，是现代密码学与后量子安全的核心假设。目前求解Search-LWE的算法大致分为代数类、组合类和格基类。该工作属于代数方法：其高层思想是将线性代数技术与Groebner基计算中基于S多项式的技巧相结合。作者提供了直接的复杂度分析，避免了以往依赖半正则（semi-regular）假设或通过正则度（degree of regularity）导出复杂度界限的做法。理论分析表明，与先前使用Groebner基求解Search-LWE的结果相比，新算法在复杂度上取得多项式量级的改进。这项工作将有助于更精确地评估基于LWE的密码方案的实例化参数，并为后量子密码的安全性分析提供新的视角。适合对代数密码分析、格密码和计算代数几何交叉领域感兴趣的研究人员阅读。

本文系统研究了后量子签名方案在阈值签名场景下的适用性与构造工具。阈值签名将签名密钥分散到 N 个参与者中的 T 个，只有 T 方合作才能生成合法签名，这种分布式信任模型在区块链、多方计算、密钥管理等领域有广泛应用。当前实际部署的阈值方案大多基于预量子签名（如 ECDSA），虽然高效，但在量子计算机出现后将不再安全。NIST 已就阈值签名标准发出呼吁，但现有后量子签名在阈值化改造上仍面临效率、通信复杂度和协议安全性等挑战。论文基于多种后量子密码范式——格问题、单向哈希函数、密码学群作用、同源问题以及多变量系统——对现有的阈值签名构造工具进行了系统梳理和分类。作者将工具按基础数学范式划分，并对比了不同范式下在设计 T-out-of-N 阈值方案时的优缺点。此外，论文还总结了利用全同态加密（FHE）、安全多方计算（MPC）或零知识证明（ZKP）等通用密码学原语来构建后量子阈值签名的通用途径。该分类法有助于研究者理解已有方案的设计空间，识别可复用的构建块，为后续设计和标准化工作提供参考。本文适合密码学研究者、后量子迁移工程师以及参与 NIST 标准化工作的人员阅读。由于仅基于摘要，分类和结论的具体细节需参阅原文验证。

本文提出了一种名为 HashRand 的高效异步随机信标协议，旨在解决区块链、投票、安全分布式计算等场景中对不可预测且无偏随机性的需求。现有随机信标协议大多依赖阈值密码学设置或存在高计算开销，部分协议还要求网络部分同步或具备有界延迟，这些限制影响了其部署的灵活性和效率。HashRand 仅依赖安全哈希函数和节点间的安全信道即可生成随机信标，无需阈值密码学，从而避免了复杂的密钥管理和初始化过程。在通信复杂度方面，每个节点每生成一个信标的均摊通信开销为 O(λn log n) 比特，其中 n 为节点数。计算效率上，由于一次单向哈希计算的时间比离散对数指数运算低两个数量级，HashRand 较同类协议显著降低计算成本。此外，利用哈希函数对量子攻击的安全性，HashRand 实现了后量子安全属性，这使其区别于基于离散对数密码学的现有协议。实验部分，作者在由 136 个节点组成的地理分布式测试床上进行了评估，结果显示 HashRand 每分钟可生成 78 个信标，吞吐量至少是 Spurt（IEEE S&P'22）的 5 倍。为了展示实际效用，作者还基于 HashRand 实现了一个后量子安全的异步状态机复制（SMR）协议，在 16 个节点的广域网环境中，其响应率达到每秒超过 13.5 万笔交易，延迟为 2.3 秒。本文的核心贡献在于设计了一个兼具通信和计算效率的异步随机信标协议，同时具备后量子安全性，并通过原型验证了其实用性，适用于对随机性可靠性要求高且网络环境为异步的分布式系统。

该论文提出了一种名为 Kestrel 的静态分析方法，用于在剥离符号、静态链接和优化后的二进制文件中识别标准化的基于格的抗量子密码算法 ML-KEM 和 ML-DSA。当前缺乏从编译后的二进制代码验证量子脆弱算法是否已被批准的量子安全算法替换的方法；现有密码发现工具依赖符号、库依赖和运行时行为，但这些信号在剥离和优化后均会失效。Kestrel 通过检测依赖的只读数据中的数论变换（NTT）常量表来定位算法，这些常量表是算法算术运算的基础。Kestrel 从公开的方案参数中提取指纹，并通过归一化和多重集匹配进行定位，同时在数学上分析了误报概率。实验在四种独立的实现谱系和所有构建变换（包括编译器级混淆）上，实现了 128/128 的召回率和零误报。在包含 6224 个二进制文件的生产 Linux 系统上应用 Kestrel，发现了 12 个未编目的包含 ML-KEM 的程序，其中包括 OpenSSH 密钥交换程序和容器管理栈；在一些程序中，抗量子代码是通过语言运行时进入生产环境的，而分发它们的项目并不知情。Kestrel 能够区分真实的抗量子实现与没有底层代码支持的宣传声明，将每个检测归因于其原始代码库，并在取证磁盘镜像试验中，从已删除二进制无法重建的未分配空间中恢复出一个检测结果。因此，Kestrel 为密码迁移保证、软件供应链检查和抗量子取证审查提供了实用基础。

该论文针对后量子密码迁移背景下 SSH 协议的用户认证环节提出了一种基于 KEM（密钥封装机制）的替代方案。当前 SSH 的后量子迁移主要聚焦于密钥交换（已在 OpenSSH 中部署并进入标准化流程），而用户认证仍主要依赖后量子签名，这带来了签名尺寸大、计算开销高的问题，可能增加延迟、流量和服务器负载。论文指出 SSH 用户认证层具有方法可扩展、与传输层密钥交换及主机密钥认证分离、且已有安全信道保护的特点，因此适合引入 KEM 认证。作者设计了一种即插即用的 KEM 用户认证方法，用会话绑定的挑战-响应证明替代客户端公钥签名，同时保留公钥凭据模型，并支持与现有认证方法共存、可增量部署。安全上，论文在后量子 ACCE 框架下给出了基于归约的安全性论证。实现方面，作者利用 liboqs 在 OpenSSH 中完成了原型实现，并在代表性的 RTT、TCP 初始窗口大小及后量子迁移配置下进行了评估。实验结果表明，KEM 认证在典型网络设置下与紧凑签名认证性能相当；在混合基线（大签名）场景中，中位握手延迟最多降低约 10%。在小型 TCP 初始窗口下，延迟优势更明显：与 ML-DSA 相比中位延迟降低最多 7.3%，与 SLH-DSA 相比降低 17.9%；同一 NIST 安全等级下，服务器端在线密码学开销比 ML-DSA 低 59.1%。本研究的核心贡献在于提出了一种贴合 SSH 现有框架、可直接替换客户端签名的 KEM 认证方法，并给出了安全论证与实现评估，为后量子 SSH 认证提供了签名之外的可行路径。适合关注后量子迁移、SSH 协议安全、认证机制设计与性能优化的安全研究人员、协议设计者和系统实现者阅读。

本文提出 Obscura-PQ，一种在 Algorand 区块链上原生验证的后量子隐私保护协议，旨在解决现有区块链隐私方案在量子计算时代面临的根本性安全危机。公共区块链暴露完整交易图，而当前隐私协议几乎全部依赖椭圆曲线密码学，其安全基础——离散对数问题——可被 Shor 算法在量子计算环境下有效破解。由于账本不可篡改，今天在经典假设下发布的所有匿名集都可能被未来的量子对手批量去匿名化，造成永久性隐私泄露。此外，从经典密码学向后量子密码学迁移面临严峻挑战：智能合约的严格资源限制（opcode 数量与存储容量）使得无法在链上直接验证计算密集的后量子证明。Obscura-PQ 的核心创新包括：采用基于环多项式环 R_q = Z_q[X]/(X^512+1) 的无设置格基可链接环签名，实现去中心化、非托管的隐私传输。存款方生成 Ring-SIS 约束的承诺，取款方通过 AOS/Borromeo 风格挑战链证明环成员知识，并基于两个响应共享线性关系与拒绝采样的短响应，同时发布确定性的 Ring-LWE 序列号以实现双花检测。安全性归约到 Ring-SIS（双花抗性与可链接性）、Ring-LWE（匿名性）以及随机预言机模型下的显式决策链接假设。为了满足链上 opcode 与存储限制，协议将验证关系完全放在 NTT 域执行，通过拆分前向 NTT 到多个执行阶段并利用可退款 box 存储流式传输大体积证明，实现 O(1) 的成员资格与双花检查。作者在 Algorand 测试网上提供了完整实现，证明在后量子隐私协议能够在严格智能合约限制下原生验证。

该论文提出了首个面向协议计算后量子安全性的机械化证明体系。核心贡献是设计了一个新的计算一阶逻辑 PQ-BC，该逻辑相对量子攻击者是可靠的，并基于此实现了机械化证明工具 PQ-SQUIRREL（通过修改经典的 SQUIRREL 证明器并加入新策略）。PQ-BC 的构建需要对经典 BC 逻辑进行扩展，使其在单一交互式量子攻击者模型下保持可靠性，同时通过强制一组语法条件来保证工具的正确性。利用 PQ-SQUIRREL，作者完成了多个案例研究，首次给出了计算后量子安全性的机械证明，包括两个基于 KEM 的密钥交换通用构造、IKEv1 和 IKEv2 的两个子协议，以及 Signal X3DH 协议的一个后量子变体。此外，该工具还证明了许多经典的 SQUIRREL 案例研究已经具备后量子安全性。这项工作为后量子安全协议分析提供了基础性工具，填补了机械化后量子安全证明领域的空白。适合密码学协议设计者、形式化验证研究人员以及关注后量子迁移的安全工程师阅读。

该论文针对 IEC 61869-9 采样值（Sampled Values, SV）通信的安全挑战，提出了一种轻量级且具备后量子安全能力的框架。IEC 61869-9 是数字变电站过程总线通信的重要标准，其 SV 流量具有高速率、严格实时性要求的特点，导致传统安全机制难以直接应用。论文的核心贡献在于：(1) 设计了基于 Chaskey-12 优化的逐帧认证机制，通过字段选择性认证降低每包计算开销，在保持实时性的同时提供消息完整性保护；(2) 提出了基于 ML-KEM（Module-Lattice Key Encapsulation Mechanism）的成对认证与密钥建立协议，该协议在量子随机预言机模型下进行了安全性分析，并通过 AVISPA 工具在 Dolev-Yao 对抗模型下进行了形式化验证，确保其能够抵御量子计算时代的潜在威胁；(3) 在双节点过程总线测试平台上实现了基于 C 语言的发布者/订阅者原型，并针对 IEC 61869-9 的八种 SV 报文剖面，对比了 HMAC-256、AES-GMAC-128、Blake-2s、Chaskey-12 及编译器优化后的 Chaskey-12 的性能。实验结果表明，优化后的 Chaskey-12 相比 HMAC 在 SV 报文中延迟降低约 90%，且额外开销在可接受范围内。该框架为资源受限的数字变电站设备保护 SV 流量提供了实用且可扩展的解决方案，兼顾了实时性与后量子安全性，对电力行业工业控制系统的安全升级具有重要参考价值。适合电力系统安全研究人员、变电站自动化工程师及 ICS/SCADA 安全从业者阅读。

该论文针对量子密钥分发（QKD）系统中最具破坏性的攻击面——接收端展开研究。传统 QKD 接收机依赖一对探测器，密钥比特由哪个探测器响应来编码，这为攻击者提供了可利用的侧信道。论文提出的最小接收机结构仅包含一个可旋转偏振片和一个阈值探测器，从根本上消除了双探测器带来的攻击面。然而，这种单探测器结构在 BB84 协议下的零概率错误子集结构此前尚未被刻画。本文精确刻画了这一结构，并引入一种确定性的不可能事件证书：当偏振片设置为与发送态正交时，理想信道下该探测器响应的概率严格为零，因此任何一次意外点击都是概率为 1 的干扰证据。由于信道损耗只会删除点击而不会产生点击，该证书对损耗具有鲁棒性。作者证明该证书在三个偏振态下是可靠但不完备的，而四个 BB84 态可以闭合这一缺口：固定基的截取重发攻击在正交轮次中产生 1/4 的理想触发概率（在检测效率 η 下观测为 η/4），且与截取角度无关。论文给出了一个示例性的有限大小预算：在 η=0.1 时，约 62,000 个发送轮次可保留 256 个密钥比特；在现实探测器噪声（每开启门 q0=10^-6）下，每次触发保留约 12 比特证据，会话级诚实误中止概率低于 1%。核心触发概率预测已在 Qiskit 电路模拟器上通过种子固定的实现得到数值验证。总体而言，该工作为极化 QKD 的最小探测器接收机提供了一种可靠、损耗鲁棒的干扰报警机制，降低了安全监控 QKD 的硬件入门成本，有助于在成本敏感的网络边缘推广 QKD 应用。

本文研究可编辑区块链（redactable blockchains）中的认证数据结构构造问题，并提出了新的后量子安全工具。传统区块链具有不可篡改性，但这一特性在某些场景（如数据合规、被遗忘权、恶意内容删除）中成为障碍。可编辑区块链允许在保持数据完整性和安全性的前提下对区块内容进行修改，但其核心挑战在于如何设计同时支持高效验证和可编辑操作的认证数据结构，并确保攻击者无法伪造或恶意篡改。本文提出了一种基于多元多项式方程（组）的单向函数构造方法：在该构造中，反转单向函数等价于求解一个或多个变量的多项式方程。众所周知，目前没有已知的量子算法能高效求解此类问题（在参数选择合理的情况下），因此该构造具备后量子安全性。作者强调，这是为可编辑认证数据结构开发的新工具，区别于现有依赖整数分解或离散对数的经典假设，也不同于基于格或哈希的已有后量子方案。该方法的优点是安全性归约直接且可证明，且多项式方程求解的复杂性提供了可调节的安全参数。由于本文目前仅有摘要，尚不清楚其具体协议细节、性能开销、以及实现可行性，但其思路为后量子安全区块链数据管理提供了新的理论方向。该研究适用于对区块链数据治理、合规删除和历史记录修正有需求的安全研究者与系统设计者。

量子复制保护是一种利用量子力学的不可克隆原理，将函数的功能编码在量子态中，使得任何恶意方都无法将该量子态拆分成两个仍能同时正常运行的量子态的技术。此前标准模型下的多项研究只支持独立采样的挑战，而对于更接近实际语义的“相同挑战”或“相关挑战”情形一直缺乏可行方案，这也阻碍了点函数等基础对象的复制保护设计。本文作者首先对复制保护的安全性定义进行了强化，并提出了一组新的、更强的安全概念。对于单解密器加密（SDE），他们定义了“相关挑战安全性”，证明了它蕴含所有先前的SDE安全概念（包括相同挑战安全性），并说明 Kitagawa 与 Yamakawa（TCC 2025）的著名构造在仅有不可区分混淆（iO）和单向函数存在的假设下，即可满足该新安全性。然后，他们将视角扩展到一般功能，提出了“相关挑战不可克隆穿刺混淆”（UPO）模型，允许挑战点与穿刺位之间任意相关，同时允许分割前后附加辅助信息，并且只需每个挑战点各自具备条件均匀性及λ^c次平均条件最小熵，因此可处理完全相同的挑战。在假设后量子iO与量子困难LWE的前提下，作者为输入长度不小于λ^c的多项式规模带密钥电路构造了相关UPO，直接解决了Ananth等人及Çakan-Goyal等提出的开放问题。最终，他们获得了标准模型下点函数、k点函数、计算-比较程序的首个复制保护，以及一般可穿刺功能的相同挑战复制保护。该工作为量子复制保护的理论基础补齐了关键拼图，并将推动量子安全软件保护的发展。

本文提出并实现了新的基于格的后量子指定验证者zkSNARK，目标是缩小后量子与预量子（经典）zkSNARK在证明大小上的巨大差距（当前约1000倍）。作者在指定验证者预处理模型下，结合二次扩域与秩2模格上的线性唯一向量加密，具体化了Bitansky等人（TCC 2013）和Boneh等人（Eurocrypt 2017）的编译器框架。对于规模为2^20的NP关系，单个证明大小仅略超16 KB，比此前面向一般NP语言的后量子zkSNARK短10.3倍；与同模型下基于格的构造相比，证明大小降低42倍，证明者运行时间降低60倍，同时达到更高的健全性。与Groth（Eurocrypt 2016）的最短预量子zkSNARK相比，本文证明长度长131倍，但证明者和验证者均更快（分别快1.2倍和2.8倍）。该工作展示了后量子隐私保护证明系统在实用化方向上的重要进展，适合研究格基密码学、可验证计算和隐私保护技术的学者与工程师阅读。

本文提出了一种基于三次张量作用的 Ko--Lee 风格公钥加密框架，并对其安全性进行了结构密码分析。张量同构（Tensor Isomorphism）问题被研究为与后量子密码相关的代数问题，但其在公钥加密中的应用此前尚属空白。作者首先形式化定义了从三次张量作用构造公钥加密的通用框架，并证明了其形式正确性。然而，他们进一步表明，当交换矩阵子群由公开的有限生成集给出时，该框架在通用意义下是不安全的。具体地，将三次张量视为 d^3 维空间中的向量，线性分解攻击可以在多项式时间内从公开传输中恢复共享张量，而无需恢复任一秘密作用。此外，作者还分析了三种自然的交换子群构造——域扩张构造、块对角构造和张量积构造——并给出了玩具规模实验以说明其特定的结构泄漏。最后，他们研究了由缩放块结构引起的低维泄漏。本文的主要贡献在于提出了一个框架并同时完成了其密码分析，而非提供一个安全的公钥加密方案。该工作对于理解张量同构问题在密码学中的局限性、以及设计基于张量的后量子密码方案具有参考价值，适合密码学研究者、后量子密码方案设计者和安全分析人员阅读。

该论文针对现代同源密码系统（如 SQIsign）在有限域、椭圆曲线和高维同源运算中大量计算开销的问题，提出了一种通过暴露 SIMD 并行性来加速的方法。传统做法尝试直接向量化域乘法，但受限于 Montgomery 梯子等循环依赖结构以及点运算、配对和 theta 坐标公式中不规则的细粒度并行性，效果有限。作者的关键洞察是：不应孤立地向量化域乘法，而应重新组织更高层原语的算术依赖图，从而恢复大量 SIMD 并行。他们基于 AVX-512IFMA 指令集实现了 SQIsign 的端到端优化，在大部分曲线侧计算中保持数据处于基为 2^51 的向量表示。具体优化包括：投影坐标下的 xDBLADD 调度、多种坐标系中的批量点倍、向量化双标量阶梯、融合立方运算的配对步骤，以及批量的一维和二维同源求值。与参考 C 实现相比，在 NIST level I 参数下，密钥生成、签名和验证分别获得 1.76 倍、1.71 倍和 3.18 倍的端到端加速；结合 Qlapoti 后，密钥生成和签名加速比进一步提升至 2.90 倍和 2.69 倍。此外，作者将相同的方法应用于 CORAL——一种基于二维 2-同源的近期后量子非交互密钥交换方案，在五组参数下，密钥生成实现 1.28–1.40 倍加速，共享密钥计算实现 1.92–2.46 倍加速。这些结果提供了跨方案证据，表明算法级 SIMD 调度是高维同源密码学中可复用的优化维度。适合对后量子密码实现性能优化、SIMD 并行编程以及同源密码算法加速感兴趣的密码工程研究人员阅读。

本文提出并实施了一套面向后量子密码学（PQC）标准 ML-KEM 的跨实现可复现性验证协议，旨在解决加密标准独立实现之间已知答案测试（KAT）一致性验证中因语料、版本、公共接口、排除规则和证据记录不一致而导致的验证结论不可靠问题。作者设计了一个产品中立的协议 v2，该协议冻结了各实现的具体能力，采用对称的验证错误分类法，保留所有选中的测试用例，并将字节流、验证判定、不支持操作与适配器错误进行严格分离。实验基于 NIST 的自动化密码验证协议（ACVP）固定语料，对三种公开实现进行源码构建测试：@noble/post-quantum 0.7.0、liboqs 0.16.0 和 Go 1.26.4。在三轮重复实验中，共包含 2160 条基础记录：其中 1650 条声明可执行的评估结果全部与 NIST 预言机一致，510 条不支持记录与 Go 预先声明的能力边界完全匹配。对于可执行交集，两两一致率达到 100%：noble-liboqs 共 720 条、Go 与另外两者各 210 条。此外，一个额外的 keyGen-ek-projection 诊断工具验证了 Go 的 150 条封装密钥投影，但未计入完整密钥生成。三个冻结控制组分别测试了字节比较、判定比较和畸形响应错误分离，均产生完全符合预声明的结果。整个实验未出现基础失败、适配器错误或状态不稳定。该证据确立了受限的、由作者运行的重复性，同时暴露了一个实际标准缺口：公共 ML-KEM 包在确定性和验证测试接口上存在显著差异。需要注意的是，研究不验证认证、穷举正确性、侧信道抗性、安全集成或生产级保证，且独立的外部重复尚未观测。该论文适合密码标准实现者、安全评估人员和 PQC 迁移技术决策者阅读，以理解跨实现验证的严谨方法和当前生态的差距。

随着量子计算的发展，传统公钥密码体制面临严重威胁，云存储客户端需要能够抵抗未来量子攻击者的认证方案。现有做法是将经典密码算法与标准化后量子算法结合，形成混合密码系统。然而，在多文件上传场景中，简单的混合方案会对每个文件执行一次基于格的签名，导致认证时间随文件数量线性增长，批量上传时开销巨大。本文提出一种基于承诺（commitment）的混合后量子模型，以解决该性能瓶颈。模型由三部分组成：AES-256-GCM用于批量文件加密；X25519与ML-KEM-768混合的密钥封装机制（KEM）用于密钥交换；Ed25519与ML-DSA-65混合的双重签名用于身份认证。关键创新在于，对所有密文计算一个SHA3-256批量承诺，得到一个固定大小的摘要，然后只对该摘要签名一次。这样，每个批次的签名次数从n次降为1次，与批次大小无关；而加密和哈希操作仍由高速对称密码学完成，开销较低。实验在普通客户端平台上进行，重复20次取平均，结果显示，当批次增大时，签名阶段时间几乎保持恒定，而采用逐文件签名的基线方案则线性增长。例如，当n=1000时，对于100KB、1MB和10MB的文件，该模型的签名阶段时间相比逐文件双重签名基线分别减少了629倍、606倍和725倍。该研究为多文件云存储提供了一种高效且抗量子的混合认证方案，显著降低了后量子签名带来的计算负担。

本文提出 MatRiCT+，一个基于后量子格假设的实用型区块链隐私支付协议。该工作建立在 Esgin 等人于 ACM CCS 2019 发表的 MatRiCT 协议之上，整体遵循门罗币（Monero）中使用的 Ring Confidential Transactions（RingCT）思路，旨在为隐私保护加密货币提供可抵御量子计算攻击的高效方案。与 MatRiCT 相比，MatRiCT+ 在典型交易场景下实现了 2 至 18 倍的证明长度缩减（具体取决于输入账户数量 M），并实现了 3 至 11 倍的运行速度提升。其关键优势在于证明长度对输入账户数量 M 的依赖仅为对数级别（O(log M)），而 MatRiCT 的证明长度与 M 成线性关系。为支撑这一效率，作者设计了多种新颖技术来构造紧凑的基于格的零知识证明系统，充分利用了实际格密码中常用的 2 的幂次分圆环的代数性质。此外，作者还通过一种称为 partition-and-sample 的技术设计了一族“最优”挑战空间，该挑战空间具有最小 l1 范数，并且挑战差值以压倒性概率可逆，同时支持高分裂的 2 的幂次分圆环。作者认为这些结果具有广泛的适用性和独立的研究价值。本文的核心贡献在于：1) 提出更高效的后量子区块链隐私支付协议；2) 设计了紧凑的格基零知识证明协议；3) 提出最优挑战空间构建方法。适合对后量子密码学、区块链隐私保护、零知识证明方向感兴趣的研究人员和工程技术人员阅读。

在本文中，作者围绕着后量子密码中同源密码学的发展进程，特别是SIDH及其衍生变体的性能问题展开研究。SIDH曾因密钥尺寸小、运算速度快而被视为极具潜力的同源密钥交换方案，并成功进入NIST后量子密码标准化的第四轮备选名单。然而，Castryck和Decru在2022年提出的密钥恢复攻击显示，SIDH在经典计算模型下可以在多项式时间内被破解，这一致命缺陷导致其被标准化流程除名。为了修复该安全问题，学界提出了多种SIDH变体，例如MSIDH、MD-SIDH以及二/三进制SIDH（bin/terSIDH），但这些方案在安全性增强的同时引入了较大的性能开销，实际部署困难。针对这一现状，Basso和Maino在Eurocrypt 2025上提出了POKE——一种利用高维同源构造的公钥加密方案，它在保留SIDH式简洁性的同时，通过提高维数规避了原攻击。本文首次将POKE从加密方案改造为可交互的密钥交换（KEM）协议，并针对NIST安全级别I开展了系统的性能基准测试。测试对象包括M-SIDH、terSIDH和CSIDH。实验数据表明，基于POKE的KEM在运行速度上比terSIDH快约21.21倍，比CSIDH快约64.97倍，在同类同源算法中表现突出，被作者认为是当前最有前途的同源密钥交换候选方案。该研究不仅呈现了POKE的实际性能优势，也为后续后量子密码算法的选型和工程落地提供了关键参考。

该论文针对现代软件系统中加密资产缺乏结构化可见性的问题，提出了一种静态发现与评估方法。作者首先提出了加密材料、加密工件和加密调用的分类体系，并据此推导出可扩展的、与扫描器无关的规则库。然后实现了一个静态扫描器，应用这些规则生成面向CBOM（加密物料清单）的输出。评估分为两部分：在已知真实结果的合成基准上，资产发现的F1分数达到0.75，且能正确标注91%的预期弱点和漏洞；在包含十个部署服务的真实环境中，扫描器在六分钟内处理了57,610个文件，发现了370个加密资产，其中包括六个与CVE相关的漏洞和52个后量子迁移候选。由于真实环境的覆盖度是依据人工编制的参考清单而非穷举清单评估，结果具有实际意义。实验表明，基于分类驱动的静态发现能够为安全治理和后量子迁移规划提供实用的加密透明度。该工作的核心贡献在于建立了一套统一的加密资产分类体系和规则库，使得静态分析可以系统性地识别加密相关组件，帮助组织了解自身加密使用情况。适合软件工程、安全治理、后量子密码迁移规划相关研究人员和实践者阅读。

本文针对后量子密码（PQC）从长期规划转向实际部署后的政策与现实脱节问题，首次开展了后量子TLS（PQ-TLS）部署的纵向测量研究。作者首先梳理了NIST标准化后各国政府与标准机构发布的迁移路线图，发现政策在技术方案、时间表和优先级上存在显著分歧。为评估实际部署进展，研究团队从全球11个分布点建立了超过20亿次TLS握手连接，分析了100万个域名上的密码协商行为。测量结果表明，尽管政策引导多样，实际部署呈现出高度趋同：绝大多数PQ-TLS部署集中在单一混合构造上，且大部分可见进展由托管基础设施提供商推动，国家层面的时间表与行业重点与实际部署模式几乎无关。此外，与早期实验研究认为PQC会引入可观开销的预期相反，在互联网真实环境中PQ-TLS并未带来显著的延迟增加，但常与遗留TLS配置共存。这些发现揭示了政策预期与早期部署现实之间的明显鸿沟，为制定更切实的PQ-TLS迁移策略提供了实证依据。

本文研究了后量子密码迁移过程中混合X.509证书验证的语义缺陷。混合证书同时携带经典（如RSA、ECDSA）和后量子（如CRYSTALS-Dilithium、Falcon）凭据，其设计为兼容性，通常将后量子证据放置在经典路径验证可能忽略的位置。验证者可能仅通过经典路径验证就接受证书，而从未让后量子证据影响验证决策，导致“经典接受”被错误地当作“混合认证”成功。作者测量了八个路径验证栈（七个独立代码库）在九种验证模式下对六种证书方案的处理行为。结果显示，在要求混合验证的策略下，几乎所有解析可分离混合证书的栈都仅依赖经典路径接受，而未使后量子证据成为决策的必要部分；一种强制验证模式却因签名输入编码尚未互操作配置而导致互操作性断裂；即使栈验证了后量子签名，也默认不强制执行绑定约束——这种缺陷是结构性的，不能仅归因于缺少基本能力。当生命周期不同步时（例如后量子凭据被撤销而经典证书仍然有效），默认路径仍会接受，因为已撤销的凭据不在决策范围内。作者贡献了一个基于规范的验证者模型和一个可执行的、策略参数化的参考合同，明确了验证者在报告混合验证成功前必须识别、验证、使其影响决策并进行检查的语义，并分析了现有标准未要求此语义的原因。本文适合密码学实现者、证书颁发机构、浏览器和操作系统安全团队阅读。

本文针对车辆间（V2V）通信中支持后量子密码学（PQC）所面临的独特挑战展开研究。V2V通信对安全性和实时性要求极高，而当前PQC算法存在显著的带宽和计算开销，导致在有限无线电频谱资源下几乎无法直接部署。作者首先通过实验验证了现有V2V系统中的签名验证过程占用了大量频谱资源，使得PQC难以融入。为解决这一瓶颈，他们提出了一种自适应调度技术，用于优化消息签名证书的传输时机，发现当前高达93%的证书传输是冗余的，通过减少不必要的传输可大幅降低频谱占用。在此基础上，本文首次设计了将PQC集成到V2V中的完整方案，满足严格的约束条件。具体而言，他们分析了NIST选定的三种后量子签名算法（如CRYSTALS-Dilithium、FALCON、SPHINCS+）以及XMSS（RFC 8391），并提出了一个部分混合认证协议，即在向全PQC过渡的初期阶段，将经典密码学与PQC融合使用。该协议在安全性和性能之间实现了高效平衡，并且经过了严格的证明。实验部分采用了软件定义无线电（USRP）、商用V2V设备以及交通模拟器进行验证，结果表明该联合调度优化与部分混合设计在实际条件下具有可扩展性和可靠性，与现有方案相比仅增加了平均0.39毫秒的延迟。本文适合车联网安全研究人员、密码学标准化制定者以及智能交通系统开发者阅读。

该论文针对金融交易中现有 RSA-2048 面临“先收割后解密”（HNDL）攻击及未来量子计算威胁，提出了一种双包裹混合密钥封装机制（DW-HKEM）。该机制同时集成 RSA-256 和 ML-KEM-768（基于格的后量子密码），将 AES-256 会话密钥分别用两者封装，再通过基于 SHA-256 的密钥派生函数合成组合密钥，从而同时提供经典安全性和抗量子安全性，并保持与现有银行系统的向后兼容性。配套开发了 CryptoX 实时仪表板，提供操作时间追踪、会话级分析和性能趋势可视化，可直接用于企业银行安全运维。通过 100 次独立迭代的基准测试，总开销仅约 1.58 毫秒，远低于企业部署阈值，证明该架构作为金融行业向抗量子时代迁移的实用、可扩展参考方案是可行的。论文还提供了完整源代码。

本论文聚焦于后量子密码学中的哈希签名方案，研究其盲化技术。哈希签名（如SPHINCS+）作为后量子安全的数字签名候选，具有抗量子计算攻击的特性，但直接用于盲签名场景存在隐私与效率挑战。作者提出了一种通用的盲化框架，适用于后量子哈希签名方案，通过引入随机盲化因子和新型零知识证明机制，使签名者无法得知被签名消息的内容，同时保持签名的可验证性与不可伪造性。论文详细形式化了盲化签名的安全性定义，包括盲性（blindness）与不可伪造性（unforgeability），并基于标准后量子哈希签名结构（如WOTS+、FORS等）构造具体实例。安全性分析表明，新方案在随机预言机模型下可证明安全，且签名大小与计算开销相比原始哈希签名仅有适度增加。实验评估显示，盲化后的签名生成时间约为原始方案的1.2倍，验证时间接近不变，适用于需要隐私保护的后量子安全场景（如匿名投票、电子现金）。该工作填补了后量子哈希签名在盲化领域的空白，为实际部署提供了理论依据与工程参考。

本文提出了一种基于 Crypto Dark Matter 假设的恶意安全后量子不经意伪随机函数（OPRF）。OPRF 允许客户端在服务器帮助下计算 PRF 值，同时服务器无法获知客户端输入。现有 OPRF 构造或仅满足半诚实安全，或依赖量子不安全假设。本文首次同时实现恶意安全（即抵抗主动攻击）与后量子安全，且通信复杂度与半诚实构造相当。核心技术包括：基于 Crypto Dark Matter 的 PRF 构造、利用 MPC-in-the-Head 范式实现恶意安全编译、以及针对性的零知识证明优化。实验表明，在局域网环境下，构造的在线阶段仅需几毫秒，适合密码协议中的隐私集合求交（PSI）等应用。该工作为后量子安全密码协议的实用化迈出重要一步。

本文研究学习带误差问题（LWE）中秘密向量的恢复问题，特别关注秘密具有低汉明重量的情况。LWE是后量子密码学的基础假设，其安全性依赖于给定样本恢复秘密的困难性。传统方法通常假设秘密均匀分布，但在许多实际场景（如FrodoKEM、Kyber等方案）中，秘密往往具有稀疏性。作者提出了一种从"完美提示"到"近似提示"的转变：即攻击者可以获得关于秘密的部分信息（如某些位的值或软信息），这些信息可能来自侧信道攻击或协议特性。核心贡献是设计了一种高效的秘密恢复算法，利用低汉明重量和近似提示，将问题转化为求解近似最短向量问题（apprSVP）或使用格基约简技术。实验表明，当秘密汉明重量较低且提示质量较高时，算法能在多项式时间内恢复秘密，比传统格攻击更有效。该工作对LWE参数选择具有指导意义，提示需要避免低重量秘密或限制信息泄露。

该论文提出了一种基于格的分布式伪随机函数（DPRF）的新型高效构造方案——LaKey，旨在解决分布式密钥管理中的可扩展性和安全性问题。分布式密钥管理需要多个参与方在不泄露私钥的情况下共同生成和使用密钥，而传统的方案往往依赖双线性配对或大整数分解，在量子攻击下存在风险。LaKey利用格密码学（特别是环-LWE假设）来设计DPRF，实现了更小的密钥尺寸和更高的计算效率。文中详细描述了LaKey的协议流程，包括密钥生成、分发、评估和组合步骤，并证明了其在标准模型下的安全性。与已有方案相比，LaKey在通信复杂度和计算开销上均有显著改进，支持动态添加或移除参与方，适用于大规模分布式系统如区块链、物联网和安全多方计算。实验评估展示了在典型参数设置下的性能指标，验证了其实用性。该工作为后量子安全的分布式密钥管理提供了一种可行的轻量级替代方案。

该论文重新审视了后量子安全 WireGuard（PQ WireGuard）协议的安全性，并提出了一种使用强化密钥封装机制（KEMs）的新设计。WireGuard 是一种流行的 VPN 协议，以其简洁性和高性能著称。随着量子计算的威胁日益逼近，将后量子密码学集成到 WireGuard 中成为迫切需求。然而，早期的 PQ WireGuard 提案可能存在安全缺陷，例如对 KEM 的滥用或组合方式不当。本研究通过全面的安全分析，识别了现有设计中潜在的漏洞，并提出了一种新型的、更加鲁棒的 KEM 组合方案，旨在达到 IND-CCA2 安全性。论文可能还提供了新设计的安全证明，并讨论了与 TLS 1.3 等标准的兼容性问题。实验评估可能显示新设计的性能开销在可接受范围内。该工作为后量子 VPN 协议的实际部署提供了重要参考，适合密码学家、协议设计者和 VPN 服务提供商阅读。

本文提出了一种基于格（lattice）的阈值盲签名方案。盲签名允许用户在不向签名者透露消息内容的情况下获得签名，而阈值特性则将签名权分散到多个签名者之间，提高安全性。该研究主要贡献在于将格密码学与阈值盲签名相结合，旨在抵抗量子计算攻击。由于摘要内容仅提供了会议信息，未给出具体技术细节，因此无法深入描述方法、实验或结果。

本文提出了一种基于格（lattice）的扩展可撤销签名（Extended Withdrawable Signatures）方案，是对Liu、Susilo和Baek之前工作的扩展。该方案构建于Fiat-Shamir with aborts范式之上，并采用了无提示（no-hint）、全t的Dilithium风格方案作为基础签名，以及一个已有的格上one-out-of-many证明作为环签名层。其核心创新在于通过可声明的环签名（claimable ring signature）实现扩展可撤销性：签名者匿名性由one-out-of-N签名作为黑盒提供（在完全密钥暴露下保持匿名），而确认是签名者的声明，包括一个绑定签名以及一个隐藏索引承诺的开销（该承诺绑定在签名文本中）。与早期草案不同，该方案不公开任何直接泄露签名者的值。本文提供了完整的安全性证明，包括正确性、扩展可撤销性（即匿名直到声明）、内部腐败下的不可伪造性以及声明可靠性。这些安全性归约到决策型模学习带错误（MLWE）问题（承诺隐藏性）、模短整数解（MSIS）问题（承诺绑定性）、one-out-of-N方案的匿名性以及基础签名的EUF-CMA安全性，所有证明均在（量子）随机预言机模型下完成。该工作为后量子密码时代提供了可撤销签名的新构造，适用于需要匿名但允许在特定条件下揭示签名者身份的密码协议。

本文扩展了 Liu、Baek 和 Susilo 提出的可撤销签名（withdrawable signatures）概念，将其推广到 Fiat-Shamir with aborts 范式。作者首先给出了一个抽象的构造方案，并提供了完整的安全证明。作为实例化，论文基于无提示（no-hint）、全尺寸 Dilithium 风格的 Fiat-Shamir with aborts 构造，设计了一个具体的可撤销签名方案；当适配生产级 ML-DSA（带提示）时，会引入一个小的 epsilon 项。该研究为后量子签名方案的密钥撤销管理提供了理论支持，但仅限于 abstract 中的描述，缺乏实验验证。

该论文提出了一种新的代数建模方法，用于解决超奇异同源问题（Supersingular Isogeny Problem）。该问题在后量子密码学中至关重要，特别是对于基于同源的密码方案（如SIKE）的安全性基础。传统的代数建模通常使用模多项式，但计算成本较高。本文利用Renes公式，针对度数为2或3的幂的同源，将椭圆曲线表示为Montgomery形式（度数2）或三角形形式（度数3），从而构建了一个多元多项式方程组。作者证明了该方程组是零维的，即只有有限个解，并计算了其最高次部分的维数，同时指出这些系统不在通用坐标下（即具有特殊结构）。实验结果表明，通过Gröbner基方法求解这些方程组比使用模多项式的代数建模显著更快。这一工作为后量子密码分析提供了一种新的工具，可能有助于评估基于同源的密码方案的实际安全性。论文适合密码学研究人员、后量子密码安全评估者以及代数几何领域的研究者阅读。

本文提出一种基于同源密码学的后量子不经意伪随机函数（OPRF）构造。随着量子计算的发展，传统数论假设（如离散对数、大整数分解）面临被破解的风险，因此构建抗量子攻击的密码原语成为研究热点。OPRF 允许客户端从服务器处获得一个伪随机函数的输出，同时服务器无法得知客户端查询的具体输入，在隐私保护、口令认证密钥交换（PAKE）等场景有重要应用。现有 OPRF 构造多基于 RSA 或椭圆曲线离散对数，不具备量子安全性。作者利用超奇异同源（SIDH/SIKE）等后量子密码假设，设计了一种新的 OPRF 协议。该协议采用同源图上的行走作为核心操作，通过同源映射实现伪随机性，并引入不经意性。安全性分析表明，该方案在量子随机预言机模型下可规约到同源计算性 Diffie-Hellman 问题。实验部分用 Python 实现了概念验证，与同类后量子 OPRF 相比，计算开销和通信带宽具有竞争力。本文适合密码学研究人员和后量子安全协议设计者阅读，为构建实用化的后量子隐私保护协议提供了新思路。

该论文针对超椭圆曲线（genus-2）上经典的 Richelot (2,2)-同源步提出了一种完全无导数的重表述。传统的 Richelot 步骤通过曲线 f=uvw 的因式分解，利用 Wronskian 导数构造目标三元组 (U,V,W)。论文在素数域 F_p (p>2) 上，通过系数矩阵的 2×2 子式以及从第一子结式和线性合冲来恢复 Wronskian 输出，从而避免了求导运算。由此得到的 Remainder-Polynomial Route (RPR) 被证明在 F_p[x] 中产生与经典方法完全相同的多项式元组（不仅是相差单位，而是精确的多项式恒等）。在此基础上，作者进一步提出了 Guarded Subresultant Route (GSR)，一种确定性评估器：通过常数大小的代数守卫和轻量级后检查来认证可容许性，并且最多允许一次有界仿射重试。所有路径每步执行 O(1) 次域运算。在多个素数域上的原型实现中，对超过 10^6 次匹配试验，RPR 相对于经典 Wronskian 公式获得了约 4.75–6 倍的核加速；即使计入认证开销，完整的 GSR 流水线仍比 WRO 快 1.4–3 倍。正确性通过双 Richelot 对合测试在 5 个素数上的 2.5×10^5 个随机三元组上得到独立验证。该工作为后量子密码学中基于同源的密码体制（如 SIDH/SIKE 的推广）的高效实现提供了新途径。

本文针对5G网络中用户设备（UE）与基站（BS）之间缺乏认证引导的问题，提出了一种轻量级后量子（PQ）安全认证框架EMULSION。5G的系统信息块（SIB）广播在无认证保护下易受伪造基站攻击、中间人拦截和虚假紧急警报威胁。现有方案如基于公钥基础设施（PKI）的证书链、令牌方案和身份签名存在开销大、不满足5G严格数据包大小限制或缺乏后量子安全性等问题。直接集成NIST后量子标准（如ML-DSA和FN-DSA）会导致大量数据包碎片和极高延迟（ML-DSA需要34个碎片SIB1数据包和高达5282ms端到端延迟）。EMULSION利用5G原生架构特性（固定SIB传输窗口、毫秒级时间同步、eSIM/USIM凭证管理），提出一种对称链式公开可验证认证框架。它采用TESLA风格的HMAC链，锚定每个epoch的紧凑后量子签名（MAYO），将认证信息压缩到单个数据包内，无需碎片化且完全消除证书传输。与以往方案不同，EMULSION保护完整的SIB系列（SIB1-SIB21）。在真实5G空中测试平台上评估，EMULSION相比ML-DSA端到端延迟降低33倍，通信开销降低31倍；相比FN-DSA延迟降低12倍，开销降低5.4倍。作者还正式证明了EMULSION的安全性，并开源了实现以供测试和适配。

该论文提出一种在类似MLS（Messaging Layer Security）的安全群组消息协议中隐藏元数据的通用方法。MLS是IETF标准化的端到端加密群组通信协议，但其设计主要关注消息内容的机密性，而元数据（如发送者身份、群组结构、消息时序等）仍可能被观察者推断。作者设计了一种简单、模块化的方案，通过引入密码学原语（如匿名密钥交换、可穿刺加密、后量子安全假设）来隐藏通信模式。该方法独立于底层MLS协议的细节，可兼容现有实现，并支持后量子安全性（基于格密码）。实验表明，该方案在通信开销上仅增加少量带宽，且计算效率适合实际部署。核心贡献在于：(1) 形式化定义了群组消息中元数据隐藏的安全模型；(2) 提供了模块化构造，可组合不同隐私增强技术；(3) 给出了后量子安全的实例化。对于安全从业者，该工作揭示了群组通信中常被忽视的元数据泄露风险，并提供了可落地的解决方案。

该论文提出了一种名为 MergeLLL 的新型格基约简算法框架，灵感来源于归并排序的分治策略，并在重组阶段引入了 PotLLL 风格的深度插入操作。传统的 LLL 算法及其变体在高维格上的计算复杂度迅速增长，而 MergeLLL 通过将格基分割为子基，独立进行局部约简，然后通过层次化合并重构完整基，从而优先改善局部格结构，再逐步优化全局基性质。这种方法显著提升了 Gram-Schmidt 正交性和数值稳定性，同时降低了整体计算成本。由于算法天然支持并行化，能够高效地利用多核和分布式计算环境。论文证明了约简和合并步骤通过幺模变换保持了格结构，并实现了对数级别的并行深度。在子集和问题以及 NTRU 密码系统衍生格的实验表明，MergeLLL 相比经典 LLL 算法表现出更好的正交性、更少的昂贵交换操作次数以及更优的 Hermite 因子，意味着能够生成更高质量的约简基。该工作对于格密码的安全参数评估和密码分析具有重要参考价值。

该论文提出一种去中心化AI经济系统，旨在解决传统工作量证明（PoW）区块链中哈希计算不产生外部价值的根本缺陷。核心思路是让节点执行有实际价值的机器学习任务（如模型推理和训练）来获得代币奖励，而非无效的哈希计算。作者设计了三层架构：计算层（执行ML任务）、验证层（通过特定协议确保结果正确性）、经济协调层（管理代币发行与流通）。形式化地，论文提出了一个基于闭循环代币经济模型的框架，并推导出诚实参与所需的足额抵押条件。安全方面，论文分析了量子计算对区块链的威胁：Grover算法对哈希只有二次加速，不影响ML原生线性代数；而Shor算法威胁经典签名。为此，论文提出迁移至格基和哈希基后量子密码标准来保护签名层。实验（或分析）表明，有用工作共识在经济性和量子安全性上均优于经典PoW。适合对区块链共识、去中心化AI、后量子密码交叉领域感兴趣的读者。

随着物联网（IoT）的飞速发展，异构且资源受限的设备之间产生了前所未有的数据交换规模。在这种环境下保证机密性和安全的密钥管理极具挑战性。传统的公钥基础设施需要沉重的证书处理开销，而基于身份加密（IBE）通过直接从设备身份推导公钥，提供了一种轻量级替代方案，因此对IoT部署具有吸引力。然而，IoT设备极易受到侧信道和密钥提取攻击，这促使了前向安全IBE（FS-IBE）的需求——即使当前密钥被泄露，也不会威胁到过去的通信。现有的基于经典困难假设的FS-IBE构造在后量子时代不再安全，而基于格（LWE）的前向安全方案则面临密钥和密文尺寸过大的问题，限制了其在资源受限IoT系统中的应用。本文提出了一种新的基于环格（RLWE）的FS-IBE方案，通过采用最小覆盖机制的陷门委托技术，并构建在二叉树结构上，实现了后量子安全与显著的效率提升。与先前基于LWE的构造相比，本方案在公钥、私钥和密文尺寸上均有缩减，从而更适合实际的IoT环境。实验分析表明，该方案在安全性、密钥更新效率和存储开销之间取得了良好平衡。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

本文对 Stickel 型密钥交换方案进行了密码分析，这类方案基于有限域上 n×n 矩阵的双边乘法，且矩阵来自具有特定交换结构的公共子空间。研究表明，所有此类方案（包括 Stickel 原始方案、Shpilrain 的多项式扩展、Nager 的代数扩展等）都可以在多项式时间内被破解：通过一个证人发现（witness-finding）攻击，攻击者可以从公开信息中恢复共享密钥。此外，作者提出了一种新的密钥建立方案，该方案同样使用双边矩阵乘法，但通过私有权项对交换子空间进行共轭隐藏，从而阻断了上述基于公共子空间的攻击。新方案中的证人发现问题可直接归约到 Edmonds 问题——一个标准的 NP 难问题，暗示其可能具有更强的安全性。论文为后量子密码学中的密钥交换提供了新视角，既暴露了现有方案的根本弱点，也给出了一个潜在更安全的替代方案。由于是纯理论分析，未提供实际实现或性能评估。

该论文聚焦于后量子密码学转型背景下，组织面临更新大型复杂软件组合中密码算法的巨大挑战。当前多数密码API围绕特定算法设计，要求显式使用特定算法，缺乏基于策略的算法选择支持，且无法直接迁移现有密钥至新算法，导致密码算法过渡困难。论文首先通过配套评估框架识别密码敏捷性的障碍，指出算法过渡本质上是软件工程问题。为克服现有API局限，论文提出设计密码敏捷API所需的原则，这些原则源自五项基本架构特性：抽象性、稳定性、时间灵活性、分离性和可扩展性。具体实现上，论文展示了如何利用Protocol Buffers API设计模式，提出基于范围的意图词汇表，将密钥创建与算法身份解耦，支持在适用范围内透明替换算法。密码治理通过抽象策略API实现，不规定策略格式。密钥以稳定标识符表示，并支持密钥演化操作（轮换、转换、迁移），便于算法和提供商之间迁移，同时跟踪原始密钥身份及其演化历史。该方法使密码更新成为运维流程，无需重写应用程序代码。

本文针对即将到来的后量子密码迁移挑战，指出当前密码API在设计时未考虑敏捷性，导致算法替换困难。作者提出一个基于组件的评估框架，用于系统性地衡量应用层密码敏捷性。该框架包含七个正交维度：三个耦合维度（操作耦合、创建耦合、配置耦合）衡量应用代码对算法和提供者的依赖程度；一个横切解耦机制；一个治理权威维度；以及两个敏捷性使能维度（版本化能力和外部化配置）。框架是非线性的，可以捕获非层次化特征。作者用该框架评估了六个代表性API：PKCS#11、OpenSSL 3.0、JCA、Google Tink、AWS KMS和HashiCorp Vault Transit。评估揭示了三个普遍且独立的缺口：没有系统支持基于意图的密钥创建，没有提供策略驱动的算法选择（区别于访问控制），也没有为现有密钥的算法转换提供专用的一流操作。这些缺口单独就足以阻碍敏捷迁移，解释了为何尽管API发展数十年，后量子迁移仍然是软件工程问题。本文适合密码学研究人员、安全架构师和软件开发者阅读，以理解现有API的局限性并指导未来设计。

该论文针对量子计算对现有金融加密体系构成的威胁，提出了一种后量子安全的联邦去中心化金融（DeFi）框架，旨在提升因信用记录不足而被传统银行排斥的个人的金融包容性。核心方法包括：多家银行将客户加密数据批量上传至虚拟服务器，采用基于格的全同态加密（FHE）实现端到端同态计算，确保数据在加密状态下完成融合分析；服务器融合本地数据驱动的概率评估、专家信念以及NASA-IBM Prithvi地理空间基础模型（GFM）生成的可验证证据（全部为密文形式）；利用区块链等去中心化技术保证证据的防篡改性和机构间数据交换的可审计问责。该框架以美国弗吉尼亚州农村借款人的农业贷款决策为测试场景，展示了在保护隐私的同时提升贷款覆盖率的潜力。论文的主要贡献在于首次将后量子密码学、联邦学习、FHE与地理空间AI模型系统性地整合到DeFi场景中，为应对量子威胁下的金融普惠问题提供了可扩展的架构方案。适合关注后量子安全、联邦学习、隐私计算及普惠金融的技术研究与安全架构师阅读。

该论文提出了一种面向药物警戒系统的后量子安全数据管道教育原型。药物警戒系统处理包括不良事件报告和临床观察在内的敏感医疗数据。随着量子计算的发展，RSA和椭圆曲线密码等经典公钥系统可能变得脆弱，对需要长期保密的医疗数据构成威胁。该原型采用ML-KEM-768进行后量子密钥建立，HKDF-SHA-256派生AES密钥，AES-256-GCM进行文件加密，以及ML-DSA-65进行数字签名和防篡改。管道支持TXT、CSV、JSON、PDF等多种文件格式，通过将文件视为原始字节并保留元数据以供接收方重建。系统包含独立的医院、网关、制药接收方、攻击者、基准测试和仪表板组件。使用不同大小和格式的合成药物警戒数据集进行评估，结果表明ML-KEM增加了较小的恒定开销，而AES加密和ML-DSA签名随文件大小增加成为运行时的主导。本工作并非生产就绪的医疗系统，而是一次教育性的系统级探索，展示了后量子密码原语如何集成到医疗风格的数据管道中。

本文提出并实现了首个实用的、轮次最优的基于格的盲签名方案。盲签名是一种基础的密码学原语，允许用户获取消息的签名而不向签名者泄露消息内容，广泛应用于匿名投票、数字货币等场景。此前，基于数论假设（如RSA、离散对数）的盲签名已相当成熟，但在后量子假设下，特别是格上，现有方案要么不实用（签名/密钥过大、效率低），要么仅支持有限次签名查询，要么轮次复杂度高。本研究解决了这些挑战，基于标准格假设（如SIS和LWE问题）构造了一个支持无限次签名查询、轮次最优（即两轮交互）的盲签名协议。作者提供了详细的参数估计和实现结果：在核心SVP硬度为109比特的安全级别下，签名大小约为45KB，签名者、用户和验证者的运行时间都非常小。方法上，他们利用了格上陷门函数、拒绝采样和零知识证明等技术，通过精心设计交互协议实现了轮次最优。实验表明该方案在效率和安全性上达到了实用水平，填补了后量子盲签名领域的空白。适合密码学研究者、安全协议设计者以及需要后量子安全性的应用开发者阅读。

本文针对带宽受限的两方安全消息协议（如Signal、WhatsApp等）的后量子安全性进行比较研究。随着量子计算机的发展，当前基于离散对数或整数分解的密钥交换协议面临被破解的风险，因此需要后量子安全的替代方案。然而，后量子密码方案通常具有较大的密钥和密文尺寸，在带宽受限的网络环境（如卫星通信、物联网、低带宽移动网络）中成为瓶颈。论文系统性地比较了多种后量子密码体制（基于格、编码、哈希、多变量等）在双棘轮协议（Double Ratchet）框架下的性能，重点关注通信开销、计算复杂度和安全性权衡。核心贡献包括：提出一种统一的形式化安全模型来评估不同后量子原语的适用性；设计了一种新的混合协议，结合经典与后量子技术以兼顾效率与安全；通过实验模拟证明了该协议在典型带宽限制条件下（如每轮消息1KB以下）仍能满足实时性要求。研究指出，尽管某些后量子方案（如CRYSTALS-Kyber）在桌面端表现良好，但在移动端或极低带宽场景下仍需优化。本文适合密码学研究员、安全协议设计者和即时通讯软件开发者阅读。

本文针对金融行业在后量子密码（PQC）迁移过程中面临的操作性瓶颈，提出了一种自动化的TLS配置解析与混合PQC部署方法。背景是：大规模量子计算机尚未出现，但组织需要提前升级密码基础设施以抵御未来的量子攻击。NIST已标准化PQC密钥交换与数字签名算法，如ML-KEM（原Kyber），但实际部署中，企业面临异构环境（如Web服务器、API网关、负载均衡器、反向代理）中TLS配置不透明、缺乏统一视图、手动配置易错等挑战。作者认为瓶颈在于操作层面而非算法层面——主流库已支持混合密钥交换（如ML-KEM与经典算法结合），但安全团队没有精确的可视化和可重复的方法来启用兼容设置。 核心贡献包括：1）提出一种配置解析方法，自动从主流企业Web服务器（如Nginx、Apache等）提取并规范化TLS密码学配置，生成带有来源追溯的统一密码学清单（Cryptographic Inventory），作为迁移和合规的基础。2）在8443个来自公共仓库的真实Nginx配置上验证了该方法的可行性，并在某金融机构的概念验证部署中，对内部应用的TLS终端（Web服务器和API网关）启用了ML-KEM及混合ML-KEM密钥交换，零应用层代码修改，性能开销可控。 实验表明，该方法能有效识别当前TLS配置中的量子脆弱组件，辅助制定迁移优先级，并确保合规性。论文主要面向金融行业的安全架构师、密码学工程师和运维团队，为他们提供一套可操作的工具链，以加速PQC的规模化落地。

本文是'模格安全性'系列论文的第三部分，聚焦于分圆域Q(ζ_{2^k})的对数单位格上的结构化最近向量问题（CVP）距离。论文首先证明了从随机短环元素到对数单位格的L^2 CVP距离渐近收敛到(π/(2√6))√n，其中n=2^{k-1}。对于k≥4，该目标位于原点的Voronoi胞内。在L^∞范数下，n个子高斯坐标的最大值产生O(√log n)的边界，这转化为短生成元问题的次多项式近似因子。文章还提出了'粗格定理'：Babai算法对所有结构化目标返回零，但能精确恢复任意大小的单位扰动。对于模行列式理想，进一步证明了Trigamma定理，揭示了内在不平衡性σ_{g_0}=O(1)与模q无关。最后，结合前两部分，将ML-KEM的CDPR因子从exp(Õ(√n))降低到次多项式值。该工作为评估后量子密码标准ML-KEM的安全性提供了更紧的理论界。

后量子密码学旨在抵抗量子计算机构成的威胁，其中基于编码理论的McEliece和BIKE（Bit Flip Key Encapsulation）是两种代表性方案。这些算法通过选择适当密钥尺寸可有效抵御经典结构攻击。然而，物理实现的侧信道安全性尚未充分评估。本文聚焦于解密阶段（生成共享秘密密钥时）的信息泄漏问题，采用简单功耗分析（SPA）方法，利用低成本设备采集电磁辐射信号。实验结果表明，电磁辐射与秘密值之间存在显著相关性。仅需采集200条功耗迹线，机器学习模型即可预测解密阶段产生的共享会话密钥的秘密比特，且准确率较高。该研究首次系统地量化了后量子编码密码方案在功耗分析威胁下的脆弱性，揭示了即便算法在数学上安全，物理实现仍可能泄露关键信息。研究成果对后量子密码的标准化和实际部署具有警示意义，强调必须结合侧信道防护措施。

后量子密码（PQC）就绪已成为关键基础设施面临的紧迫挑战，但现有障碍更多来自密码可见性不足、依赖关系复杂和治理碎片化，而非算法本身的缺失。本文以欧洲一家关键服务提供商为匿名案例，详细描述了其采用“先发现后迁移”策略推进PQC就绪的实践经验。该组织首先利用自动化工具对全网络进行密码资产清点，建立基于证据的基线，包括算法类型、密钥长度、使用场景、生命周期等。发现阶段揭示了三大系统性挑战：1）密码资产所有权高度分散，各部门缺乏统一管理；2）遗留系统与现代环境中的证据质量参差不齐，部分老旧系统文档缺失；3）严重依赖第三方供应商的密码路线图，可控性低。为将这些发现转化为可操作的风险缓解措施，组织设计了一套结构化的暴露登记册（exposure register），将资产关键性、机密数据保密期限（如需要保持机密超过10年的数据更易受“先收获后解密”攻击）、以及迁移可行性三个维度结合，对密码资产进行优先级排序。作者由此提出核心论点：PQC发现不应仅被视为技术清点工作，而应上升为一种治理能力——它能够稳定组织关于密码使用的知识，将模糊的不确定性转化为可衡量的责任主体，从而支撑基于风险的决策和跨团队协调。案例表明，即使不立即启动算法替换，建立系统的发现与暴露优先级框架也能显著提升组织的密码敏捷性。本文适合安全架构师、CISO、网络风险管理者和政策制定者阅读，为大型机构应对后量子过渡提供了可复用的治理方法论和实操经验。

该论文介绍了一个名为“Quantum Futures Interactive”的实时交互演示平台，旨在应对量子计算对区块链和分布式应用带来的长期安全挑战。随着量子计算的发展，广泛使用的公钥密码系统（如RSA、ECC）面临被破解的风险，这威胁到区块链平台的安全性。尽管后量子密码学（PQC）标准正在制定中，但对量子风险的理解在研究、工程、治理和投资社区中仍然分散。该平台通过教育可视化、参与式交互和密码学工件生成，展示了从经典密码系统到量子弹性区块链系统的过渡过程。参与者遵循结构化流程，包括量子威胁教育、情绪捕捉、技术优先级排序、基础设施权衡探索以及生成后量子密码学输出。系统集成了分布式信任概念、可持续性感知的基础设施考虑和负责任创新框架，并符合联合国可持续发展目标（SDGs）。该演示旨在促进区块链弹性方面的跨学科对话，并帮助不同背景的参与者理解量子风险、探索权衡，并生成实际的PQC工件（如密钥和签名）。实验表明，该平台能够有效提升参与者的量子安全意识和决策能力。

本文提出一种基于机器学习的攻击方法 SalsaPicante，针对带有稀疏二进制秘密的学习与错误（LWE）问题。LWE 是后量子密码（PQC）系统的基础难题，NIST 标准化的密钥交换机制（KEM）基于模 LWE，而现有同态加密（HE）库多基于环 LWE。出于效率考虑，PQC HE 方案常采用稀疏二进制秘密（即秘密向量中非零元素很少），但这可能削弱安全性。先前的工作 SALSA 展示了在低维度（n ≤ 128）和低汉明重量（h ≤ 4）下对稀疏二进制 LWE 的机器学习攻击，但它需要窃听数百万个 LWE 样本，并且在更高的汉明重量或维度下失败。SalsaPicante 通过改进攻击策略，能够在更实际的参数下（如更高维度和更高汉明重量）成功恢复秘密，同时减少所需样本数量。实验证明该方法对中等规模参数有效，揭示了稀疏二进制秘密在 PQC 实现中的潜在风险。本文适合密码学研究人员、后量子安全实现者及同态加密系统开发者阅读。

本文系统地探讨了后量子密码架构，特别是基于格密码（如 LWE）的根本局限性。传统观点认为，通过在加密过程中注入人工离散高斯噪声，可以抵御量子计算机的攻击。然而，作者从计算复杂性、信息论热力学、量子纠错和量子学习理论四个相互关联的领域，对这种噪声依赖模型的理论和物理边界进行了深入分析。首先，在算法基础上，作者指出这些框架依赖于暂时的复杂性理论假设，而这些假设可能被未来的量子算法突破。其次，通过将密码机制映射到物理热力学，作者证明故意注入的离散高斯噪声并不等同于信息的永久擦除，因为密码秘密的结构完整性仍保留在密文中。最后，作者论证，利用先进的量子纠错协议和量子学习模型，攻击者可以高效地提取底层的数学内核。因此，尽管基于格的密码学提供了稳健的过渡性替代方案，但将其绝对地归类为无条件后量子安全还为时过早，因为其安全性依赖于暂时的物理瓶颈而非不可逾越的理论界限。该研究对于密码学研究人员和量子安全标准制定者具有重要参考价值。

该论文对SSH协议进行了全面的后量子密码学安全性分析。SSH是首批升级以抵抗未来量子计算机攻击的互联网安全协议之一，OpenSSH自2022年4月起默认采用“量子（或其他经典）”安全的混合密钥交换。然而，现有文献对SSH抗量子版本的安全性分析不足：相关工作要么孤立地分析混合密钥交换，不考虑整体协议安全；要么在不适合SSH的安全模型（尤其是在后量子环境下）中分析协议。本研究通过“自顶向下”的方法填补了这一空白：首先在一个更合适的模型（即后量子扩展的认证机密信道建立协议安全模型，ACCE）中证明了SSH的安全性，该扩展能够捕获“先收集、后解密”攻击，具有独立研究价值；然后基于协议级别的ACCE安全分析，推导了SSH底层原语（如OpenSSH和TinySSH最新版本中使用的密钥封装机制“Streamlined NTRU Prime”）的密码学属性，在量子随机预言机模型中证明了相关属性，并解决了文献中关于其分析的开放问题。值得注意的是，对后量子SSH的ACCE安全分析依赖于混合密钥交换中使用的临时KEM的较弱IND-CPA安全性，而此前的工作依赖于更强的IND-CCA安全性。论文最后讨论了将当前后量子SSH实现中的IND-CCA安全KEM替换为更简单、更快的IND-CPA安全KEM的可行性，并提供了相应基准测试。

本文提出了一种名为Ringtail的基于格的后量子阈值签名方案。阈值签名允许将签名密钥分发给ℓ个参与方，其中任意t个参与方可以联合生成签名。现有方案要么需要三轮签名协议（Eurocrypt'24），要么依赖非标准假设（Crypto'24）。Ringtail首次实现了以下理想特性的组合：①签名协议仅需两轮，且第一轮与消息无关，可离线预处理；②具体效率高且可扩展到t≤1024个参与方，对于128位安全性和t=1024，签名大小为13.4KB，在线通信量为10.5KB；③安全性基于标准学习误差（LWE）假设（随机预言机模型）。为了验证实用性，作者在五大洲8个国家进行了首次跨广域网（WAN）的格基阈值签名实验，观察到端到端延迟的绝大部分由网络延迟消耗，证明了轮数优化方案的必要性。该工作对后量子密码标准化（如NIST的征集）具有重要参考价值。

本文提出 SILMARILS，一种基于信息论和量子安全的设计者验证签名方案，构建于有限域 F_p 上的最小代数核心，使用真随机性和完美 2-out-of-2 Shamir 秘密共享。方案支持两方和三方模式。两方模式下，实现可转移设计者验证签名（TDV）：指定验证者能够模拟出与真实签名不可区分的接受副本，满足 Jakobsson-Sako-Impagliazzo DV 安全；验证者可发布收据 r 用于公开验证，但即使有 r，外部方也无法区分签名或模拟。针对非指定验证者，在随机预言模型和量子随机预言模型中证明了 EUF-CMA^¬DV 安全性。三方模式下，采用 Fitzi 等人的广播模型，获得基于模拟安全的统计安全签名协议，错误率 1/p。安全性在纯信息论模型、IT+ROM 和量子随机预言模型下分析，并将 Fitzi 框架扩展到具有经典 I/O 的量子敌手。方案实现了正确性、保密性、可转移性和不可伪造性，且与基于模拟的安全等价。由于代数结构简单，SILMARILS 的密钥和签名尺寸显著小于 Dilithium、Falcon、SPHINCS+ 等标准化后量子方案，同时在后量子环境下提供 TDV 安全，特别适合区块链应用。

本文对FIDO2、CTAP 2.1和WebAuthn 2这一现代无密码认证协议族进行了形式化安全分析，并提出了后量子安全的实例化方案。研究者首先构建了这些协议的符号模型，涵盖了注册、认证、凭证管理等多阶段交互，并利用Tamarin Prover工具进行了自动化安全验证。分析揭示了在标准安全假设下协议能够满足预期的安全属性（如抗钓鱼、密钥泄露保护、绑定认证等），但发现了在特定场景下存在的设计缺陷，例如CTAP 2.1中某些消息序列可能导致不安全的凭证共享。基于这些发现，论文提出了两方面的贡献：一是给出了一个增强的、可证明安全的协议规范修正；二是引入了后量子密码原语（如基于格的签名方案），对协议进行了后量子安全实例化，并证明了其在量子计算机威胁下的安全性。实验评估表明，后量子实例化在性能开销上可接受，兼容现有硬件。该工作为大规模部署无密码认证提供了坚实的理论基础和工程指导。

本文（系列第6篇）聚焦后量子密码学中基于NTT（数论变换）硬件的算术掩码组合安全性。布尔掩码的组合理论（NI、SNI、PINI）已成熟，但素数域上的算术掩码（NTT后量子密码的基础）缺乏类似理论。作者提出并形式化证明了素数域上PINI（Prime-Field PINI）的组合定理。核心见解是“更新参数”（renewal argument）：当在两个流水线阶段间施加新的随机掩码时，中间导线无论第一阶段的防护参数如何都会变得完全均匀。对于两个PF-PINI gadgets（参数k1和k2），经新鲜掩码组合的两阶段流水线满足PF-PINI(k2)，阶段1的多重性被完全消除。无新鲜掩码时，中间导线多重性可达k1，构成差分功耗分析的必要条件。作者在Lean 4中形式化了两个定理，包含18个机器检查的证明，零个“sorry”存根。他们还形式化地桥接了Barrett约简的代数模型与硬件忠实算术模型，并实例化定理以正式诊断微软Adams Bridge PQC加速器：其缺失阶段间新鲜掩码导致Barrett输出导线在一阶探针模型下非均匀，这一架构缺陷与三个独立实证分析一致。计算证据进一步表明“1比特屏障”在Barrett和Montgomery约简中具有普遍性。本文适合对后量子密码侧信道防护、形式化验证与硬件安全感兴趣的研究者阅读。