采訪宗傳明：物理奠定“后量子密碼”的基礎
去年7月5日，俄羅斯國家標準與技術研究院(NIST)公布了4項后量子密碼標準，借以抗擊未來量子計算機的功擊。
科學家普遍覺得，基于量子科學原理建造的量子計算機將大大地趕超電子計算機，而現代通訊所借助的許多密碼體系在量子估算的功擊下將不堪一擊，還能抵抗這一功擊的現有或新一代密碼算法就是“后量子密碼”。
這次公布的4項后量子密碼標準中中3項基于一個古老的物理學科—格理論。換句話說，如果量子計算機在不遠的將來能投入實用，格理論將是量子估算時代信息通訊安全的“保護神”。
怎樣理解“后量子密碼”？格理論怎樣在信息通訊安全中發揮作用？為解答這種問題，《中國科學報》專訪了格理論研究專家、天津學院院長宗傳明。
《中國科學報》：首先謝謝您接受我們的采訪。先請您簡單介紹一下密碼，它的起源和作用。
宗傳明：密碼是一種防范第三方泄露信息的通訊保護手段。早在古羅馬時期，凱撒大帝和他的將軍之間就用密碼傳送命令，這就是知名的“凱撒密碼”。因為她們的語言當時只有23個字母，情報官將命令的每一個字母按照字母表的順序后移固定的位置（例如5個位置）之后寫成新的方式交給傳令兵，前線將軍收到命令后再由情報官還原回來。這樣，盡管敵人查獲了傳令兵也看不懂命令。
隨著電報、電話等現代訊號傳輸技術的發明，用于軍事和外交的密碼顯得越來越復雜。第二次世界大戰期間，密碼成了個別重要會戰勝負的決定誘因，比如斯大林格勒炮戰和擊毀山本五十六大將的固話等。同時，為了有效地破譯敵人的密碼，電子計算機應運而生。
《中國科學報》：哪些是后量子密碼？
宗傳明：作為能量的最小單位，量子是由美國化學學家普朗克于1900年提出的。在此基礎上，愛因斯坦、玻爾、德布羅意、海森伯、薛定諤、狄拉克、玻恩等構建起了量子熱學理論。絕大多數數學學家將量子熱學視為理解和描述微觀世界的基本理論。
現今的計算機是基于電子的化學學理論，歷經電子管、晶體管、集成電路，發展到明天的大規模集成電路計算機。隨著計算機技術的快速發展，密碼學也得到了空前的發展。非常是步入互聯網時代以來，密碼學也從一項技術發展成為一門跨物理與計算機科學的科學技術。
科學家普遍覺得，基于量子科學原理建造的量子計算機將大大地趕超電子計算機，不論是估算速率還是智能性。這樣，許多電子計算機難以解決的科學問題對量子計算機來說將易如反掌。非常地，現代通訊所借助的許多密碼體系在量子估算的功擊下將不堪一擊。所以，科學家們在加速量子科學研究和量子計算機研發的同時，也在加速打算量子計算機時代安全的密碼體系。這就是后量子密碼。
《中國科學報》：能夠構想一下，假定有兩個敵對國家，其中一個國家秘密發展了量子計算機，而另一個還逗留在應對普通電子計算機的密碼體系。假如前一個國家借助量子計算機對后一個國家的密碼體系發動功擊，后一個國家的信息安全體系將會頓時崩潰。
宗傳明：是的，如同懸疑小說《量子間諜》描寫的那樣。
《中國科學報》：物理給人的印象是十分具象、非常難。它如何會成為密碼學的基礎？
宗傳明：的確，物理十分具象、非常難。同時，物理是最講求邏輯、最精確的一門學問。密碼無論是對加密還是揭密過程都須要精確、需要好的規律性，而為了防止被敵人破譯則須要加密規律從估算上來看高度復雜。這樣，從哲學的角度看，物理中的個別復雜問題成為密碼學的基礎是必然的。
雖然，密碼學的“鼻祖”凱撒密碼就是構建在物理基礎之上，是圖論中最簡單的同余等式。
隨著電子計算機和互聯網的高速發展，作為通信安全保障的密碼也顯得越來越復雜。
1976年，兩位密碼學家惠特菲爾德·迪菲（）和馬丁·赫爾曼()提出了秘鑰交換合同，改變了原先單一秘鑰的設計，從而提出加密秘鑰和揭秘秘鑰不同的密碼思想。因為這一革命性的方案，她們入選2015年度“圖靈獎”。雖然，也是這一方案為基礎物理步入密碼學開啟了房門。
1977年，基于大整數分解的密碼體系RSA誕生了，它是由羅納德·李維斯特（Ron）、阿迪·薩莫爾（Adi）和倫納德·阿德曼（）3位提出者首字母而命名。早在兩千多年前，古埃及語文家歐幾里得就早已證明：每一個自然數都可以被惟一地分解為質數方冪的乘積。并且，具體分解一個大整數在估算上十分復雜歷時，正是其復雜性成就了RSA密碼體系的安全性，她們由此入選2002年度“圖靈獎”。
在RSA成功以后，又有多種基于基礎物理的密碼體系陸續被發覺，例如基于橢圓曲線的密碼體系、基于格理論的密碼體系、GGH密碼體系、NTRU密碼體系等。毫不夸張地說，物理已成為現代密碼學的基礎。
《中國科學報》：您提及的那些密碼體系都能抵抗量子計算機功擊嗎？
宗傳明：其實不是。1994年，當代知名物理家和計算機科學家彼得·肖爾（PeterShor）首次提出了大整數分解的方程時間量子算法，并應用于密碼學。他的工作表明三維通訊有量子通訊嗎，在量子估算時代，基于大整數分解和離散對數問題的私鑰密碼體系將被攻陷。隨著量子科技的快速發展，以及多項廣泛應用的密碼體系在量子估算環境下被攻陷，各國科學家快速意識到了量子計算機可能給信息安全帶來的危機。
2016年，加拿大國家標準與技術研究院（NIST）發起向全世界征集抵抗量子計算機功擊的后量子密碼標準。歷經4輪選聘淘汰，2022年7月5日NIST公布了4項后量子密碼標準。其中的3項是基于格理論，一項基于編碼理論。
《中國科學報》：哪些是格理論？
宗傳明：1831年，高斯提出了格的概念。它是n維空間中最有規律的離散結構。在過去的近兩個世紀中，歷經高斯、厄爾密特、閔科夫斯基、西格爾等大物理家的系統研究，格理論已發展成為圖論、代數與幾何相交叉的一個重要物理分支。
在這一領域中，2021年洛瓦茲（）因為LLL算法的工作入選“阿貝爾獎”，去年7月維亞佐夫斯卡（）因為8維堆球和24維堆球的工作入選“菲爾茲獎”。非常地，三維格理論奠定了晶體學的基礎。高維格理論成就了NIST四項后量子密碼標準中的三項。
《中國科學報》：為何格密碼能抵抗量子估算功擊？
宗傳明：一個給定的格必將有最短的向量。早在一百多年前，大物理家閔科夫斯基早已給出恐怕；給定一個格三維通訊有量子通訊嗎，空間中的任一點一定有一個近來的格點。并且，要找到一個好的算法來確定格的最短向量(SVP)或離給定點近來的格點(CVP)卻十分困難。而格密碼在量子估算環境下的安全性都可以遞歸到這兩個物理問題的估算復雜度。
早在上世紀80年代，一眾知名物理家們深入系統地研究了上述兩個格理論問題的的估算復雜度。她們已然證明：在電子計算機環境下求解這兩個物理問題都是十分困難的。以專業術語講，她們已然證明：隨機歸約求解最短向量問題是NP-hard,而求解近來格點問題是NP-。
格密碼最早是由法國物理家米克勞斯?阿杰泰（MiklósAjtai)）于1996年提出。因為上述物理家們的理論工作，格密碼或許還能抵抗電子計算機的功擊。那時，彼得·肖爾的量子算法剛才被提出，在其他密碼體系紛紛被量子算法擊潰的情況下，世界各地的密碼專家更是使出巫族之力企圖借助量子算法攻入格密碼。非常是在英國國家標準和技術研究院于2016年開始征集后量子密碼標準以來的十年。雖然，在過去的近10年當中，每屆世界密碼學的三大大會（美幽會，歐幽會和亞幽會）就會設一個分會專門研討格密碼。而且，人們至今沒有找到有效的量子算法功擊格密碼。物理家和密碼學家們似乎產生了一個共識(推測)：不存在式子時間的量子算法能在方程偏差下求解格的最短向量問題和近來格點問題。
換句話說，格密碼是能否抵抗量子計算機功擊的。
《中國科學報》：1994年還沒有量子計算機的模型機。彼得·肖爾為何能提出量子算法？人們又怎么檢驗一個密碼體系是否可以抵抗量子計算機功擊？
宗傳明：在科學技術的發展過程中，有時侯是技術促進科學，而大多數情況是科學推進技術。早在1994年，確實沒有公開運行的量子計算機模型機。彼得·肖爾是根據量子科學的原理在理論環境下設計他的量子算法，其他物理家和密碼學家也是根據量子科學的原理在理論環境下設計功擊算法來檢驗一個密碼體系是否可以抗量子計算機功擊。
如果我們把計算機稱作一個人，硬件若稱作軀體，軟件則可稱作智力。在化學學家和計算機工程師旨在于設計建造量子計算機的同時，物理家和計算機科學家也在努力賦于它智能，但是提早防范其智能對信息安全可能帶來的破壞。
《中國科學報》：在當下復雜國際環境下，我們該怎么應對量子科技可能會帶來的挑戰？
宗傳明：我不懂數學，也不懂計算機，只懂很小的一個物理分支—格理論。碰巧格理論成了后量子密碼的物理基礎，我有責任向公眾科普這一可能的危機以激起你們的共識和注重。
從后面的采訪中你們已然看見，歐美走到后量子密碼標準是在大批一流物理成果的基礎之上，沒有“彎道會車”，也不靠“黑科技”，而完全是一個水到渠成的過程。
我國現代科學技術起步晚，現代物理步入中國才剛才一個世紀多一點。在有了近幾年被“卡手腕”的經歷后，你們一定早已有了共識：要甩掉被“卡手腕”就必需成為科技強國，要成為科技強國就必須要有一流的基礎科學，要有一流的基礎科學就必需有一流的物理。
在量子計算機已成為各國競爭潛在戰場的明天，我們必須要有一批格理論的物理家早日迎面趕上，搞清上面我提及的歐美物理家為后量子密碼所奠定的基礎，與我國的密碼學家密切合作共同構建我國的信息安全之盾。