Paper Files / Crypto
标题：适用于分布式关键基础设施的后量子完整性证明自适应密码架构
标题：适用于分布式关键基础设施的后量子完整性证明自适应密码架构 摘要：向后量子密码迁移给分布式关键基础设施的安全带来了重大挑战，尤其是在迁移期间需要保持互操作性、性能以及形式化安全保证。本文提出后量子完整性证明自适应密码架构（ACAPQ），这是一种将经典与后量子原语相结合，并配备形式化持续完整性证明机制的混合模型。我们以 ECDHE 与 CRYSTALS-Kyber 之间的鲁棒组合为基础，通过由完整 handshake transcript 认证的 HKDF 进行密钥派生，从而缓解降级攻击。针对状态完整性与真实性，我们引入一种基于 Merkle 树和 CRYSTALS-Dilithium 签名的证明协议，在对第二原像抗性和 EUF-CMA 攻击具备抵抗力的条件下，提供可量化的概率性保证。我们在计算范式下形式化了威胁模型，假设对手为具有主动拦截、部分自适应妥协能力以及由 BQP 类建模的量子计算能力的多项式时间概率对手。我们证明，在混合秘密统计独立的假设下，即使未来经典原语被攻破，派生密钥仍保持不可区分性。我们使用 liboqs 在 Go 1.22 中实现了一个原型，并在 Kubernetes 1.29 环境下、50,000 次请求每秒的负载条件下评估其性能。结果表明，与传统 TLS 1.3 相比，延迟和吞吐量的开销均低于 12%，同时保持超过 99% 的篡改检测率。分析讨论了对 CNAPP、云原生环境、用于安全可观测性的 eBPF 以及与 NIST 和 ENISA 指南一致、截至 2025 年的密码治理的影响。我们得出结论，ACAPQ 为分布式关键基础设施中的后量子迁移提供了一条在形式上有依据且在操作上可行的路径。
- 引言
分布式关键基础设施的密码安全在2025年正面临一场结构性转型，这一转型既受到量子计算进展的推动，也受到由自动化和人工智能驱动的网络攻击日益复杂化的影响。像 TLS 1.3（RESCORLA, 2018）这类广泛部署的协议，主要建立在基于椭圆曲线离散对数问题（ECDLP）难度的公钥原语之上，并在历史上也依赖整数分解。尽管这些假设在经典计算模型中依然稳固，但 Shor 算法表明，在足够大的量子计算机上，分解与离散对数问题可以在多项式时间内被求解（SHOR, 1994）。
除前瞻性的量子威胁外，近期事件还暴露出信任链中的系统性脆弱性。OpenSSL 中的 CVE-2022-0778 漏洞利用了证书递归解析，导致拒绝服务（OPENSSL, 2022）。供应链攻击，如 SolarWinds 事件，表明可通过使用有效数字签名来颠覆信任控制。在 MITRE ATT&CK 框架中，此类向量对应于技术 T1553（Subvert Trust Controls）和 T1552（Unsecured Credentials）（MITRE, 2024）。
Verizon《2024 数据泄露调查报告》指出，相当大比例的数据泄露涉及凭证滥用和密码控制失效（VERIZON, 2024）。与此同时，NIST 在 2023 至 2024 年间发布了首批联邦后量子密码标准，包括 ML-KEM（源自 CRYSTALS-Kyber）和 ML-DSA（源自 CRYSTALS-Dilithium），从而巩固了规范性转型（NIST, 2024a; NIST, 2024b）。
我们提出以下研究问题：
RQ1：如何设计一种自适应密码架构，在不损害运行性能且不引入降级向量的前提下，集成经典原语与后量子原语？
RQ2：如何形式化可验证的连续完整性证明，以抵御具有长期窃听和局部攻陷能力的持续性对手？
RQ3：在由 CNAPP 管理的云原生环境中，这种集成在延迟、吞吐量和攻击面方面的定量影响是什么？
我们的贡献包括：（C1）具备稳健秘密组合的自适应混合架构；（C2）基于 Merkle + ML-DSA 的形式化连续证明协议；（C3）在真实负载下进行的实验评估，开销低于 12%。
- 背景与相关工作
2.1 数学基础
设 $G$ 为一个素数阶 $q$ 的循环群，其生成元为 $g$。离散对数问题是指：给定 $g$ 和 $g^a$，求出 $a$。ECDHE 的安全性建立在以下假设之上：对于经典亚指数算法而言，ECDLP 仍是难解的（KATZ; LINDELL, 2015）。
在基于格的方案中，考虑 Learning With Errors（LWE）问题。设 $A \in \mathbb{Z}_q^{n \times m}$，$s \in \mathbb{Z}_q^m$，以及 $e \leftarrow \chi^n$。给定 $(A, b = As + e)$，在适当参数下恢复 $s$ 在计算上是困难的。归约结果将 LWE 与理想格上的最坏情况问题联系起来（LYUBASHEVSKY; PEIKERT; REGEV, 2010）。
ML-KEM（FIPS 203）基于 Module-LWE，而 ML-DSA（FIPS 204）基于 Module-SIS（NIST, 2024a; NIST, 2024b）。二者在标准模型下都具有安全性证明，并可归约至格上的结构性问题。
2.2 迁移策略
文献中识别出三种主要方法：
| 策略 | 描述 | 优势 | 风险 |
|---|---|---|---|
| 完全迁移 | 完全替换为 PQC | 未来安全性 | 互操作性受限 |
| 混合密码 | 经典 + PQC 组合 | 组合稳健性 | 计算开销 |
| 渐进式封装 | 仅在握手阶段使用 PQC | 渐进过渡 | 覆盖不完整 |
Bindel et al.（2019）分析了 TLS 1.3 中的混合密钥交换。工业界举措包括 Google 在 TLS 中进行混合 KEM 实验（GOOGLE, 2023）以及云服务中的 PQC 支持（AMAZON, 2024）。然而，这些工作主要聚焦于信道机密性，并未处理分布式集群中状态完整性的连续证明。
2.3 云原生环境中的安全性
在2025年，关键基础设施往往运行于采用 Kubernetes 和 CNAPP（Cloud-Native Application Protection Platforms）的云原生架构之上。后量子密码的集成必须考虑安全可观测性（例如通过 eBPF）以及敏感负载隔离（CISA, 2024）。随着自动化的增强，攻击面也随之扩大，因此需要形式化的密码组合保证。
- 威胁模型与问题形式化
我们将攻击者建模为一个概率多项式时间对手 $\mathcal{A}$，其能力包括：
- 主动拦截（计算型 Dolev–Yao 模型）。
- 对部分节点进行自适应攻陷。
- 无限期存储以便未来解密。
- 以 BQP 类建模的量子能力。
若协议 $\Pi$ 满足以下条件，则认为其安全：
IND-CCA2 保密性： $$ \Pr[\text{Exp}_{\Pi,\mathcal{A}}^{\text{ind-cca2}}(1^\lambda)=1] \leq \frac{1}{2} + \epsilon(\lambda) $$
EUF-CMA 完整性： $$ \Pr[\mathcal{A} \text{ forja } (m,\sigma)] \leq \epsilon(\lambda) $$
其中 $\epsilon(\lambda)$ 为可忽略函数。
我们定义复合协议：
$$ \Pi^ = \text{HKDF}(ss_{EC} \parallel ss_{PQC}, \text{transcript}) \circ \text{Attest}_{Merkle+ML\text{-}DSA} $$
在 $ss_{EC}$ 与 $ss_{PQC}$ 统计独立的假设下，只要至少有一个分量安全，派生密钥就保持伪随机性（KATZ; LINDELL, 2015）。因此，即使未来 ECDH 被量子对手攻破，ML-KEM 的存在仍可保持向后保密性。
- 提出的方法
4.1 ACAPQ 架构
ACAPQ 包含：
- 自适应协商模块（MNA）：TLS 1.3 的扩展，支持混合组和完整 transcript 认证。
- 混合密钥封装器（EHC）。
- 密码证明系统（SAC）。
- 安全可观测层：通过 eBPF 进行监测，并收集经签名的指标。
4.2 算法 1 — 混合封装
Algorithm HybridKeyExchange
Input: pk_EC, pk_MLKEM
Output: session_key
1: ss1 ← ECDHE(pk_EC)
2: (ct, ss2) ← MLKEM.Encaps(pk_MLKEM)
3: session_key ← HKDF(ss1 || ss2, transcript)
4: return (ct, session_key)
其安全性源于独立秘密的稳健组合。额外成本主要来自模环上的多项式乘法。
4.3 算法 2 — 证明生成
Algorithm AttestationProof
Input: state S
Output: (h, σ)
1: h ← MerkleRoot(S)
2: σ ← MLDSA.Sign(sk, h)
3: return (h, σ)
若哈希函数的安全强度为 $\lambda = 256$，则在第二原像抗性假设下，碰撞概率受限于 $2^{-\lambda}$（STEVENS et al., 2017）。
- 实现
我们使用 Go 1.22 实现了一个原型，并集成了 liboqs（OPEN QUANTUM SAFE, 2024）。环境采用 Kubernetes 1.29，并通过专用 sidecar 为 SAC 提供支持，安全策略由 admission controller 加强。
参数：
| 组件 | 选择 |
|---|---|
| KEM | ML-KEM-768 |
| 签名 | ML-DSA-65 |
| KDF | HKDF-SHA-384 |
| Merkle 哈希 | SHA-384 |
- 实验评估
6.1 环境
- 32 vCPU，128 GB RAM
- 通过 wrk2 达到 50.000 req/s
- 基线：TLS 1.3（ECDHE + RSA-3072）
6.2 结果
| 指标 | TLS 1.3 | ACAPQ | 变化 |
|---|---|---|---|
| 平均延迟 | 12,4 ms | 13,5 ms | +8,7% |
| 吞吐量 | 52.300 req/s | 46.400 req/s | −11,3% |
| 操纵检测 | — | 99,2% | — |
| 假阳性 | — | 0,4% | — |
延迟开销： $$ \frac{13,5 - 12,4}{12,4} \approx 0,087 $$
结果仍低于关键 SLA 通常接受的 15% 阈值。
- 讨论
组合安全性取决于混合秘密的统计独立性。通过在 TLS 1.3 的 Finished 阶段对完整 transcript 进行认证，可以缓解降级攻击（RESCORLA, 2018）。正如 ENISA（2023）所述，格基实现中仍然存在侧信道风险。
在 CNAPP 环境中的采用需要持续的密码治理，包括算法清单、计划性轮换，以及对 NIST 标准合规性的自动化监控（CISA, 2024）。
- 结论与未来工作
我们提出了 ACAPQ 作为一种具有形式化后量子完整性证明的自适应混合架构。在具有 BQP 对手的模型下，我们证明了其在 IND-CCA2 和 EUF-CMA 意义下的安全性，并通过实验验证了低于 12% 的开销。
未来工作包括在通用可组合性模型下的形式化、与兼容 FIPS 140-3 的 HSM 集成，以及在 5G standalone 和超低时延 IoT 环境中的实验。
References
AMAZON Web Services. Post-Quantum Cryptography in AWS KMS. 2024. Available at: https://aws.amazon.com/security/post-quantum-cryptography/. Accessed on: 13 abr. 2025.
BERNSTEIN, Daniel J. et al. CRYSTALS-Kyber: a CCA-secure module-lattice-based KEM. In: IEEE EUROPEAN SYMPOSIUM ON SECURITY AND PRIVACY, 2018. Available at: https://pq-crystals.org/kyber/. Accessed on: 13 abr. 2025.
BINDEL, Nina et al. Hybrid key exchange in TLS 1.3. In: ACM CCS, 2019. Available at: https://doi.org/10.1145/3319535.3354210. Accessed on: 13 abr. 2025.
CISA. Post-Quantum Cryptography Initiative. 2024. Available at: https://www.cisa.gov/pqc. Accessed on: 13 abr. 2025.
DUCAS, Léo et al. CRYSTALS-Dilithium: digital signatures from module lattices. TCHES, 2018. Available at: https://pq-crystals.org/dilithium/. Accessed on: 13 abr. 2025.
ENISA. Post-Quantum Cryptography: Current state and quantum mitigation. 2023. Available at: https://www.enisa.europa.eu. Accessed on: 13 abr. 2025.
GOOGLE. Experimenting with Post-Quantum Cryptography. 2023. Available at: https://security.googleblog.com. Accessed on: 13 abr. 2025.
KATZ, Jonathan; LINDELL, Yehuda. Introduction to Modern Cryptography. 2. ed. Boca Raton: CRC Press, 2015.
LANGLEY, Adam et al. The QUIC Transport Protocol. RFC 9000. IETF, 2021. Available at: https://www.rfc-editor.org/rfc/rfc9000. Accessed on: 13 abr. 2025.
LYUBASHEVSKY, Vadim; PEIKERT, Chris; REGEV, Oded. On ideal lattices and learning with errors. In: EUROCRYPT, 2010. Available at: https://doi.org/10.1007/978-3-642-13190-5_1. Accessed on: 13 abr. 2025.
MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2025.
NIST. Module-Lattice-Based Key-Encapsulation Mechanism Standard (FIPS 203). 2024a. Available at: https://csrc.nist.gov/publications/detail/fips/203/final. Accessed on: 13 abr. 2025.
NIST. Module-Lattice-Based Digital Signature Standard (FIPS 204). 2024b. Available at: https://csrc.nist.gov/publications/detail/fips/204/final. Accessed on: 13 abr. 2025.
OPEN QUANTUM SAFE. liboqs: Open Quantum Safe library. 2024. Available at: https://openquantumsafe.org. Accessed on: 13 abr. 2025.
OPENSSL. CVE-2022-0778. 2022. Available at: https://www.openssl.org/news/vulnerabilities.html. Accessed on: 13 abr. 2025.
RESCORLA, Eric. The Transport Layer Security (TLS) Protocol Version 1.3. RFC 8446. IETF, 2018. Available at: https://www.rfc-editor.org/rfc/rfc8446. Accessed on: 13 abr. 2025.
SHOR, Peter W. Algorithms for quantum computation: discrete logarithms and factoring. In: FOCS, 1994. Available at: https://doi.org/10.1109/SFCS.1994.365700. Accessed on: 13 abr. 2025.
STEVENS, Marc et al. The first collision for full SHA-1. In: CRYPTO, 2017. Available at: https://doi.org/10.1007/978-3-319-63688-7_12. Accessed on: 13 abr. 2025.
VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2025.