被量子“半折”的密钥：AES真的挡不住了吗？

最新推荐文章于 2026-06-30 12:45:30 发布

原创最新推荐文章于 2026-06-30 12:45:30 发布 · 1.3k 阅读

21 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

被量子“半折”的密钥：AES真的挡不住了吗？

“量子计算能一夜之间让密码学崩塌吗？”
真相是：公钥密码的危机迫在眉睫，而对称密码（如 AES）只会被“削一半”。这既没那么可怕，也绝不应掉以轻心。

一、先把话说明白：量子对 AES 到底意味着什么

AES 是对称加密。安全性主要取决于“穷举密钥”有多难。
量子计算最出名的“核弹”是 Shor 算法，它针对的是 RSA/ECC 等基于大数分解或离散对数的公钥算法；这类的确可能被“快速”攻破。
面对 AES 这种对称算法，量子界的“通用加速器”是 Grover 算法。它把“逐个试密钥”的成本，从经典的约 2^k 次尝试，降到量子下的约 2^(k/2) 次——俗称“指数折半”。

结论一眼就能看懂：

AES-128 在量子下等效约 64 位安全（仍不容易，但显著变弱）。
AES-256 在量子下等效约 128 位安全（仍被广泛认为足够强）。

这并不代表“量子机一键解密”。它只说明：如果有人能造出足够大、足够稳定的容错量子计算机，穷举 AES 密钥的成本会按平方根降速。如何做到的？下面用最少数学描述整个“量子破解方案”的原理与代价。

二、AES 的“量子破解”思路，非操作性全景图

设想你手上有一对已知的明文-密文（P, C），且知道 C = AES_K§，但不知道密钥 K。经典世界只能一把把试；量子世界则这样做：

把所有候选密钥“同时准备上场”

量子比特可以处于叠加态。通过一系列门操作，把所有 2^k 个密钥候选“一次性”叠加进同一个量子态，每个候选各占一点“幅度”。

设计一个“无测量的正确性检测器”（oracle）

构造一个可逆电路：输入一个候选密钥 x，去“量子地”执行一次 AES 加密（也是可逆的量子电路），检查输出是否等于目标密文 C。
如果对了，就给对应的量子分量乘以 -1 的相位（“打标签”）；错的保持不变。整个过程不产生可观测信息，不会让叠加态坍缩。

用“扩散算子”把正确答案的概率幅度放大

再做一个固定的线性变换（扩散），它会把被打了相位标签的那一小撮分量“鼓起来”，把其他分量“压下去”。

重复“打标签 + 扩散”

每做一轮，正确答案的幅度就大一点。连续做大约 π/4·√(2^k) ≈ 0.785·2^(k/2) 轮后，正确密钥的测量概率接近 1。

一次性测量，直接得到密钥

最后才测量，量子态坍缩到高概率的那一项，也就是正确的 K。

这就是“量子破解 AES 密钥”的核心原理：不在中途问问“是不是对了”（那会坍缩），而是在不测量的前提下，用相位标签和干涉，把概率质量一步步“搬运”到正确答案上。

三、为什么量子只能把暴力搜索“开平方提速”

直觉上，量子叠加像“同时试遍所有钥匙”，看似能带来指数级并行。可量子力学有两个“紧箍咒”：

不可克隆与测量坍缩：你无法复制未知量子态，也不能在不坍缩的情况下“偷看哪一项是对的”。
无结构搜索的下界：对“除了试出来没有别的可利用线索”的问题，已被证明任何量子算法都至少要 Ω(√N) 次查询。Grover 达到了这个最优下界。

AES（作为理想分组密码的近似）把密钥空间看成无结构的黑盒索引。既然没有可利用的数学结构，量子也只能做到平方级提速，而不是“指数级碾压”。

四、把抽象落地：算法的“元部件”是什么

讲原理不等于给步骤教学，但理解部件有助于把握难度与局限。

均匀叠加的制备
用 Hadamard 等门把 k 个量子比特准备成所有 2^k 个密钥的等幅叠加。技术上不难，但只是“开场白”。
可逆的 AES 电路（量子 oracle 的核心）
量子电路必须可逆。AES 本身是确定性映射，好消息是可以被“量子化”，坏消息是需要大量门和临时量子比特（辅助位）才能高效实现，特别是 S 盒的非线性部分。
正确性打标：相位翻转
当且仅当 AES_x§ = C 时，给对应分量乘以 -1 的相位。这里的“等于”判断也要在量子里可逆地完成，不产生测量。
扩散算子（关于均值的反转）
一个固定的量子线性变换，把“被标记的一小撮”幅度整体向上拉。这一步配合相位翻转，等价于在二维子空间里做一小步旋转。
重复次数的选择
理论上最优轮数与 √N 成正比；多了会“过冲”导致成功率下降。若不知道解的个数 M，可用随机化/自适应策略避免过冲。

这些部件拼起来，就是 Grover 搜索。它不是魔法，而是一场精妙的“幅度搬运工程”。

五、“量子破解”到底难在哪：资源与工程代价

纸面复杂度很优雅：O(2^(k/2)) 次 oracle 查询。但把它变成现实要付出巨大工程成本。

逻辑比特 vs 物理比特
真正能可靠计算的是“逻辑量子比特”，它们由大量“物理量子比特”通过纠错编码冗余构成。门错误率每降低一截，都需要更多物理比特和更长的纠错周期。
门深度与纠错开销
实现一次“量子版 AES 加密”需要庞大的门数量与电路深度，尤其是代价高昂的非 Clifford 门（如 T 门）。把它重复 2^(k/2) 轮，深度暴涨，对容错要求极苛刻。
运行时间与并行化
你可以平行复制多台量子处理器、把密钥空间分块来跑 Grover，但加速不是线性的。把空间均分为 P 份，每份需要 O(√(N/P)) 次迭代，墙钟时间加速约为 √P。想把 2^64 次迭代降到 2^40，需要 P≈2^48 台并行实例，这几乎不可想象。
能耗与可靠性
大规模低温设备、控制电子学、误差校正，都是现实中的“大胃王”。即便不谈能耗，长时间维持数以百万计的量子比特稳定运行，也远超当下能力。

因此，即使在非常乐观的假设下，针对 AES-128 的 Grover 搜索也不是“短期现实”；对 AES-256 更是天文级难度。这就是安全实践里常说的：“对称密码在量子时代只需要把密钥加倍。”

六、细化几个关键问题

只用一对明文-密文够吗？
理想分组密码模型下，一对就够，正确密钥几乎唯一匹配。若担心碰撞，准备两对也是常见做法，但这会稍微增加 oracle 的复杂度。
多个解怎么办？
如果有 M 个解，Grover 的复杂度会变成 O(√(N/M))，速度更快。对 AES 找密钥，通常 M=1。
量子能破解 GCM、SIV 等模式吗？
模式决定“如何使用密钥”，而不是改变密钥搜索的本质难度。真正决定“量子难度”的还是密钥位数和是否能构造合格的 oracle。认证部分（MAC/标签）也会受量子影响：比如哈希的原像/碰撞难度同样有“平方级降档”的现象，但参数选择已考虑到这点。
Grover 必须“完美运行到最后”吗？
是。中途测量会毁掉叠加。量子算法的艺术就在于：在不测量的前提下，通过可逆操作“积小胜为大胜”，最后一次性测量收果实。

七、为什么“量子破解 AES”仍然是防守可控的问题

理论下界给出“可预见的最坏情况”
无结构搜索的量子下界告诉我们：攻击再聪明，也顶多是平方加速。这种“可上限”的坏消息，恰恰是好消息，因为能据此定参。
密钥加倍即对冲
把 128 位升到 256 位，等效从 2^64 的量子工作量推高到 2^128，远超任何可预见工程能力。对称密码的“后量子化”非常直接。
真正的短板在密钥协商/签名
目前迁移的紧迫点主要在公钥密码（TLS、SSH、VPN 的密钥交换和证书签名）。对称加密继续用 AES-256 即可；但要用后量子或混合方案来产生会话密钥，避免“现在收集、将来解密”的风险。

八、把风险讲清楚：今天加密的内容，明天会被量子解开吗？

取决于你用的是什么算法与参数。
- 如果今天的系统使用前向保密（PFS）并采用足够强的会话密钥（例如基于后量子/混合 KEM 的密钥协商，内容用 AES-256 加密），被“收集-再解密”的风险显著下降。
- 如果会话密钥是通过易受 Shor 算法影响的方式协商的（纯 RSA/ECDH），那就存在“密钥协商一旦被量子攻击解开，回溯解密历史流量”的可能。
对存档与长期敏感数据
使用 AES-256 加上良好的密钥管理与定期再加密策略，是面向“几十年视野”的稳健选择；同时尽快引入后量子密钥封装来保护内容密钥。

九、常见误区逐个辟谣

误区1：“量子一来，密码全完了。”
事实：公钥密码受威胁很大；对称密码和哈希只降一档（平方级），可通过加长密钥/输出位数来应对。
误区2：“叠加态能一次性读出全部答案。”
事实：一旦测量，叠加就坍缩。能做的是用相位标记与干涉，把概率集中到想要的那一项，然后只读出一个结果。
误区3：“堆更多量子机就能线性提速。”
事实：对 Grover 来说是 √P 的加速，不是 P 倍。并行化收益受理论所限。
误区4：“AES-128 也够安全吧？”
事实：经典视角下足够强；考虑量子对手、长期保密和“收集-再解密”情境，实务上更推荐 AES-256。

十、给非专业读者的“极简备忘录”

记住一句话：量子让“暴力搜密钥”从 2^k 变到 2^(k/2)。
面向未来：对称加密选 AES-256，认证与哈希选 256 位安全等级。
别忘了真正的痛点在“密钥怎么来”：尽快采用后量子或混合密钥协商。
管理层视角：做“密码敏捷性”，让系统能无痛切换算法与参数。

十一、延伸一瞥：如果非要用一个类比

把 2^k 把钥匙想象成一个巨大的黑暗剧场里 2^k 个位置，只有一个座位藏着答案。

经典做法：拿手电筒，一把把照过去，平均要照一半才能找到。
量子做法：先让整个剧场的“亮度”均匀分配到所有座位；
再用“相位标签”在正确座位上贴上一个只在光学干涉里看得见的标记；
接着做一连串精巧的“反射与折射”（扩散），让正确座位那里的亮度越来越高，其他位置越来越暗；
直到正确座位几乎成为场内最亮的那个。
最后开一次快门（测量），相机里几乎只会拍到那个最亮的座位。

它听起来“像魔法”，但每一步都有严格的物理与数学约束；而且这门“魔法”的威力，也被清晰的理论下界所圈定。