量子计算对嵌入式密码学的挑战与后量子算法准备

文章目录

- 每日一句正能量
- 一、引言：量子计算的"达摩克利斯之剑"
- 二、量子威胁全景：哪些密码会被破解？
- - [2.1 Shor 算法：公钥密码的终结者](#2.1 Shor 算法：公钥密码的终结者)
  - [2.2 Grover 算法：对称密码的削弱者](#2.2 Grover 算法：对称密码的削弱者)
  - [2.3 HNDL：嵌入式系统的独特风险](#2.3 HNDL：嵌入式系统的独特风险)
- 三、格密码学：后量子的数学基石
- - [3.1 格的直观理解](#3.1 格的直观理解)
  - [3.2 Learning With Errors (LWE)](#3.2 Learning With Errors (LWE))
  - [3.3 NIST 标准化算法详解](#3.3 NIST 标准化算法详解)
- 四、嵌入式实现：挑战与优化
- - [4.1 "量子膨胀"的量化分析](#4.1 "量子膨胀"的量化分析)
  - [4.2 核心优化技术](#4.2 核心优化技术)
  - - [(1) 数论变换（NTT）加速](#(1) 数论变换（NTT）加速)
    - [(2) 内存优化：堆栈 vs 堆](#(2) 内存优化：堆栈 vs 堆)
    - [(3) pqm4 基准测试框架](#(3) pqm4 基准测试框架)
- [五、实战：在 Zephyr RTOS 上集成 ML-KEM](#五、实战：在 Zephyr RTOS 上集成 ML-KEM)
- - [5.1 项目配置](#5.1 项目配置)
  - [5.2 ML-KEM 密钥封装实现](#5.2 ML-KEM 密钥封装实现)
  - [5.3 Hybrid TLS 1.3 密钥交换](#5.3 Hybrid TLS 1.3 密钥交换)
- 六、侧信道攻击防护
- - [6.1 恒定时间实现](#6.1 恒定时间实现)
  - [6.2 掩码技术](#6.2 掩码技术)
- [七、迁移路线图：从密码清单到完全 PQC](#七、迁移路线图：从密码清单到完全 PQC)
- - [7.1 全球合规时间表](#7.1 全球合规时间表)
  - [7.2 嵌入式迁移六步法](#7.2 嵌入式迁移六步法)
- [八、2026 年产业动态与展望](#八、2026 年产业动态与展望)
- - [8.1 市场与产业](#8.1 市场与产业)
  - [8.2 学术研究前沿](#8.2 学术研究前沿)
  - [8.3 对鸿蒙生态的启示](#8.3 对鸿蒙生态的启示)
- 九、总结

每日一句正能量

生活不是一场需要时刻保持警惕的战斗，而是一段值得细细品味的旅程。

很多人把生活过成了防御战------焦虑未来、防备伤害、计算得失。战斗模式消耗能量，旅程模式收藏风景。你可以允许自己放松，允许有不完美的弯路，允许停下来闻一朵花。旅程的意义在于体验，而非取胜。

一、引言：量子计算的"达摩克利斯之剑"

2024 年 8 月 13 日，NIST 正式发布了三项后量子密码（Post-Quantum Cryptography, PQC）标准：FIPS 203（ML-KEM）、FIPS 204（ML-DSA）和 FIPS 205（SLH-DSA）。

这一天被密码学界称为"密码学的新纪元"------因为从此刻起，全球通信基础设施的安全基线正式从"经典密码"向"量子安全密码"迁移。

但对于嵌入式开发者而言，这场迁移远比数据中心的服务器升级复杂得多。一个典型的 IoT 设备可能只有 64-128 KB RAM 和 256-512 KB Flash ，运行在 8-100 MHz 的 32 位 MCU 上。

后量子密码算法的公钥大小（ML-KEM-768 约 1,184 字节）是 RSA-3072 的 3 倍，签名大小（ML-DSA-65 约 2,420 字节）是 ECDSA P-256 的 34 倍。这种"量子膨胀（Quantum Bloat）"对资源受限的嵌入式系统构成了严峻挑战。

更紧迫的是**"先窃取后解密"（Harvest Now, Decrypt Later, HNDL）威胁：攻击者今天记录所有加密通信，等待 2030-2040 年量子计算机成熟后一次性解密。对于设计寿命 10-20 年的工业设备、医疗植入物、智能汽车和基础设施，这意味着今天部署的系统必须在密码学上为明天的量子威胁做好准备**。

本文将深入探讨量子计算对嵌入式密码学的具体威胁、格密码学的数学基础、NIST 标准化算法在 ARM Cortex-M 上的实现优化，以及从密码清单到完全 PQC 的分阶段迁移策略。

二、量子威胁全景：哪些密码会被破解？

图 1：量子计算对嵌入式密码学的威胁全景

2.1 Shor 算法：公钥密码的终结者

1994 年，Peter Shor 提出了一个革命性的量子算法：在多项式时间内分解大整数和求解离散对数问题。对于嵌入式系统中广泛使用的密码算法，这意味着：

算法	经典安全强度	量子破解时间	嵌入式用途
RSA-2048	112 位	~0.5 天	固件签名、TLS 证书
RSA-3072	128 位	~1 天	安全启动、设备认证
ECDSA P-256	128 位	数小时	OTA 签名、TLS 握手
ECDH (P-256)	128 位	数小时	密钥交换、会话建立

citeweb_search:22#5 基于 100 万物理量子比特的估算，RSA-2048 可在半天内被破解，ECDSA P-256 仅需数小时。对于设计寿命 15 年的智能电表、工业传感器和医疗设备，这意味着今天部署的 ECC/RSA 密钥将在设备退役前被量子计算机破解。

2.2 Grover 算法：对称密码的削弱者

Grover 算法将对称密码的安全强度减半。这意味着：

AES-128 的有效安全强度降至 64 位------不再安全；
AES-192 的有效安全强度降至 96 位------勉强可用；
AES-256 的有效安全强度降至 128 位------仍然安全。

好消息是，AES-256 和 SHA-384/512 在量子时代仍然安全，无需更换。嵌入式系统的首要任务是升级公钥密码，同时确保对称加密使用 256 位密钥。

2.3 HNDL：嵌入式系统的独特风险

嵌入式系统面临 HNDL 威胁的四个关键场景：

固件签名：攻击者记录 OTA 更新包，未来用量子计算机提取私钥，伪造恶意固件；
设备证书：IoT 设备证书使用 ECDSA 签名，量子破解后可冒充合法设备；
长期密钥：智能电网、医疗设备的 10-20 年生命周期密钥被记录后长期暴露；
TLS 会话：所有历史 TLS 握手记录可被解密，暴露设备通信内容。

三、格密码学：后量子的数学基石

图 2：格密码学数学基础与 NIST 标准化算法

3.1 格的直观理解

格（Lattice）是 n 维空间中一组基向量的整数线性组合所构成的离散点集。格密码学的安全性基于两个困难问题：

最短向量问题（SVP）：在随机格中找到最短非零向量；
最近向量问题（CVP）：给定一个目标点，找到格中距离最近的点。

这两个问题在经典计算机和量子计算机上均无法在多项式时间内解决，已被密码学界广泛接受为安全的计算假设。

3.2 Learning With Errors (LWE)

LWE 问题是格密码学的核心构造。其数学描述简洁而优雅：

给定公开矩阵 A ∈ ℤ_q^(n×m) 和向量 b = A·s + e mod q

其中 s 是秘密向量，e 是小误差向量

求：秘密向量 s

当误差 e 足够"小"时，从 (A, b) 恢复 s 是困难的；但如果知道 s，验证 b ≈ A·s mod q 却很容易。这种"易验证、难求解"的不对称性正是公钥密码的基础。

3.3 NIST 标准化算法详解

2024-2026 年，NIST 完成了首批 PQC 标准的发布：

标准	前身	类型	嵌入式特点
FIPS 203 ML-KEM	CRYSTALS-Kyber	KEM	公钥 1,184B，密文 1,088B，性能优秀
FIPS 204 ML-DSA	CRYSTALS-Dilithium	签名	公钥 1,952B，签名 2,420B，主要签名标准
FIPS 205 SLH-DSA	SPHINCS+	哈希签名	公钥 32B，签名 7,856B，无状态备份方案
FIPS 206 FN-DSA	FALCON	紧凑签名	公钥 897B，签名 666B，需浮点运算

2025 年 3 月，NIST 还选择了 HQC（Hamming Quasi-Cyclic）作为第五种 PQC 算法，基于编码理论而非格理论，提供算法多样性。HQC 的草案标准预计 2026 年发布，最终标准 2027 年发布。

四、嵌入式实现：挑战与优化

图 3：嵌入式密码学内存占用与 ARM Cortex-M4 性能对比

4.1 "量子膨胀"的量化分析

后量子密码相比经典密码在嵌入式系统中的资源开销：

指标	RSA-3072	ECDSA P-256	ML-KEM-768	ML-DSA-65
公钥大小	384 B	64 B	1,184 B	1,952 B
签名/密文大小	384 B	71 B	1,088 B	2,420 B
堆栈峰值 (签名)	~2 KB	~3 KB	~8 KB	~35 KB
代码体积 (Flash)	~15 KB	~12 KB	~45 KB	~55 KB

对于只有 8-16 KB 栈空间的低端 ARM Cortex-M 设备，ML-DSA-65 的 35 KB 堆栈峰值是致命的。这正是嵌入式 PQC 实现需要专门优化的原因。

4.2 核心优化技术

在 ARM Cortex-M4 上实现高效 PQC，需要以下关键技术：

(1) 数论变换（NTT）加速

NTT 是格密码中最核心的运算，相当于多项式环上的快速傅里叶变换。Cortex-M4 的 SIMD 指令（如 SMLAD、SMMLA）可以显著加速 NTT：

复制代码

// NTT  butterfly 运算的 Cortex-M4 汇编优化
// 使用 SIMD 指令同时处理两个 16 位乘法

void ntt_butterfly_asm(int16_t *a, int16_t *b, int16_t w) {
    __asm volatile (
        "ldrh r3, [%[a], #0]      \n\t"  // 加载 a[i]
        "ldrh r4, [%[b], #0]      \n\t"  // 加载 b[i]
        "smulbb r5, r4, %[w]      \n\t"  // r5 = b[i] * w (低半字)
        "smlabb r5, r4, %[w], r3  \n\t"  // r5 += a[i] (蝶形运算)
        "smultb r6, r4, %[w]      \n\t"  // r6 = b[i] * w (高半字)
        "pkhbt r5, r5, r6, lsl #16\n\t"  // 打包结果
        "strh r5, [%[a], #0]      \n\t"  // 存储回 a[i]
        : [a] "+r" (a), [b] "+r" (b)
        : [w] "r" (w)
        : "r3", "r4", "r5", "r6"
    );
}

(2) 内存优化：堆栈 vs 堆

2026 年 4 月 arXiv 论文提出了 HAETAE 签名的低内存实现方案，将峰值堆栈从 71-141 KB 降至 12 KB。核心策略包括：

流式采样：不缓冲整个高斯样本，而是逐元素生成和处理；
原地运算：复用缓冲区，避免同时保留多个大型多项式向量；
分阶段计算：将签名过程拆分为多个小内存阶段。

(3) pqm4 基准测试框架

pqm4 是 ARM Cortex-M4 上最权威的 PQC 基准测试项目，提供了所有 NIST 候选算法的优化实现。

复制代码

# pqm4 项目结构
pqm4/
├── crypto_kem/
│   ├── ml-kem-768/          # FIPS 203 密钥封装
│   ├── ml-kem-1024/
│   └── hqc-128/             # 编码理论 KEM
├── crypto_sign/
│   ├── ml-dsa-65/           # FIPS 204 签名
│   ├── ml-dsa-87/
│   ├── haetae-2/            # 韩国 KpqC 获胜者
│   └── falcon-512/          # FIPS 206 紧凑签名
├── m4/                      # Cortex-M4 汇编优化
│   ├── ntt.S
│   ├── poly.S
│   └── keccakf1600.S        # SHA-3 加速
└── test/                    # 测试与验证

五、实战：在 Zephyr RTOS 上集成 ML-KEM

图 4：嵌入式后量子密码实现架构

5.1 项目配置

yml 复制代码

# prj.conf - Zephyr 项目配置
CONFIG_MAIN_STACK_SIZE=16384
CONFIG_HEAP_MEM_POOL_SIZE=32768

# 启用 pqm4 后量子密码库
CONFIG_PQC=y
CONFIG_PQC_ML_KEM_768=y
CONFIG_PQC_ML_DSA_65=y

# 启用硬件加速
CONFIG_ARM_MPU=y
CONFIG_HW_STACK_PROTECTION=y

# 启用真随机数生成器
CONFIG_ENTROPY_GENERATOR=y
CONFIG_HARDWARE_DEVICE_CS_GENERATOR=y

# 启用 TLS 1.3 + Hybrid PQC
CONFIG_TLS_MAX_CONTENT_LEN=4096
CONFIG_TLS_CIPHER_SUITE_TLS_AES_256_GCM_SHA384=y

5.2 ML-KEM 密钥封装实现

c 复制代码

// pqc_kem.c - Zephyr RTOS 上的 ML-KEM-768 封装
#include 
#include 
#include 

#define ML_KEM_PUBLICKEYBYTES  1184
#define ML_KEM_SECRETKEYBYTES  2400
#define ML_KEM_CIPHERTEXTBYTES 1088
#define ML_KEM_SSBYTES         32

/**
 * 生成 ML-KEM 密钥对
 * 输出: public_key (1184 bytes), secret_key (2400 bytes)
 */
int pqc_kem_keypair(uint8_t *public_key, uint8_t *secret_key)
{
    // 使用硬件 TRNG 生成随机种子
    uint8_t randomness[64];
    sys_rand_get(randomness, sizeof(randomness));
    
    // 调用 pqm4 优化的 ML-KEM 密钥生成
    int ret = crypto_kem_keypair(public_key, secret_key, randomness);
    
    if (ret != 0) {
        LOG_ERR("ML-KEM 密钥生成失败: %d", ret);
        return -EIO;
    }
    
    LOG_INF("ML-KEM-768 密钥对生成成功");
    LOG_INF("公钥大小: %d bytes", ML_KEM_PUBLICKEYBYTES);
    LOG_INF("私钥大小: %d bytes", ML_KEM_SECRETKEYBYTES);
    
    return 0;
}

/**
 * 封装共享密钥
 * 输入: public_key (1184 bytes)
 * 输出: ciphertext (1088 bytes), shared_secret (32 bytes)
 */
int pqc_kem_encapsulate(uint8_t *ciphertext, uint8_t *shared_secret,
                        const uint8_t *public_key)
{
    uint8_t randomness[32];
    sys_rand_get(randomness, sizeof(randomness));
    
    int ret = crypto_kem_enc(ciphertext, shared_secret, public_key, randomness);
    
    if (ret != 0) {
        LOG_ERR("ML-KEM 封装失败: %d", ret);
        return -EIO;
    }
    
    LOG_INF("共享密钥封装成功，密文大小: %d bytes", ML_KEM_CIPHERTEXTBYTES);
    return 0;
}

/**
 * 解封装共享密钥
 * 输入: ciphertext (1088 bytes), secret_key (2400 bytes)
 * 输出: shared_secret (32 bytes)
 */
int pqc_kem_decapsulate(uint8_t *shared_secret,
                        const uint8_t *ciphertext,
                        const uint8_t *secret_key)
{
    int ret = crypto_kem_dec(shared_secret, ciphertext, secret_key);
    
    if (ret != 0) {
        LOG_ERR("ML-KEM 解封装失败: %d", ret);
        return -EIO;
    }
    
    LOG_INF("共享密钥解封装成功");
    return 0;
}

5.3 Hybrid TLS 1.3 密钥交换

在量子计算机尚未成熟的过渡期，推荐采用混合密钥交换：同时使用经典 ECDH 和量子安全 ML-KEM，确保即使一种算法被破解，另一种仍能提供安全保护。

c 复制代码

// hybrid_tls.c - TLS 1.3 + Hybrid PQC 密钥交换
#include 
#include 

#define HYBRID_SECRET_LEN  (32 + 32)  // X25519(32B) + ML-KEM(32B)

/**
 * Hybrid Key Exchange: X25519 + ML-KEM-768
 * 结合经典 ECC 安全性和后量子安全性
 */
int hybrid_key_exchange(mbedtls_ssl_context *ssl,
                        uint8_t *shared_secret,
                        size_t *secret_len)
{
    uint8_t x25519_secret[32];
    uint8_t mlkem_secret[32];
    uint8_t mlkem_pubkey[ML_KEM_PUBLICKEYBYTES];
    uint8_t mlkem_ciphertext[ML_KEM_CIPHERTEXTBYTES];
    
    // 步骤 1: 经典 X25519 密钥交换
    mbedtls_ecdh_context ecdh_ctx;
    mbedtls_ecdh_init(&ecdh_ctx);
    
    int ret = mbedtls_ecdh_setup(&ecdh_ctx, MBEDTLS_ECP_DP_CURVE25519);
    if (ret != 0) goto cleanup;
    
    ret = mbedtls_ecdh_calc_secret(&ecdh_ctx, &x25519_secret[0], 32,
                                    secret_len, NULL, NULL);
    if (ret != 0) goto cleanup;
    
    // 步骤 2: 后量子 ML-KEM 密钥封装
    ret = pqc_kem_keypair(mlkem_pubkey, ssl->pqc_secret_key);
    if (ret != 0) goto cleanup;
    
    ret = pqc_kem_encapsulate(mlkem_ciphertext, mlkem_secret, mlkem_pubkey);
    if (ret != 0) goto cleanup;
    
    // 步骤 3: 组合共享密钥 (KDF)
    // shared_secret = KDF(x25519_secret || mlkem_secret)
    uint8_t combined[64];
    memcpy(combined, x25519_secret, 32);
    memcpy(combined + 32, mlkem_secret, 32);
    
    ret = mbedtls_hkdf(mbedtls_md_info_from_type(MBEDTLS_MD_SHA384),
                         NULL, 0,
                         combined, sizeof(combined),
                         (const uint8_t *)"hybrid-tls13", 12,
                         shared_secret, 32);
    
    *secret_len = 32;
    
    LOG_INF("Hybrid TLS 1.3 密钥交换完成");
    LOG_INF("经典安全: X25519 | 后量子安全: ML-KEM-768");
    
cleanup:
    mbedtls_ecdh_free(&ecdh_ctx);
    memset(x25519_secret, 0, sizeof(x25519_secret));
    memset(mlkem_secret, 0, sizeof(mlkem_secret));
    return ret;
}

六、侧信道攻击防护

后量子密码算法在嵌入式设备上的实现不仅面临性能挑战，还面临严重的侧信道攻击风险。Keysight 的白皮书指出，即使标准化的 PQC 算法如 CRYSTALS-Kyber 和 Dilithium，如果实现不当，也会被侧信道攻击和故障注入攻击攻破。

6.1 恒定时间实现

格密码中的多项式采样和拒绝采样操作容易泄露秘密信息。以下是一个恒定时间的拒绝采样实现：

c 复制代码

// constant_time_rejection_sampling.c
#include 
#include 

/**
 * 恒定时间拒绝采样
 * 无论是否拒绝，执行时间相同，防止时序侧信道泄露
 */
static inline uint32_t ct_mask_u32(uint32_t condition)
{
    // 如果 condition 为真，返回 0xFFFFFFFF；否则返回 0
    return -(uint32_t)(condition);
}

int16_t constant_time_rejection_sample(const uint8_t *random_bytes,
                                       size_t *offset,
                                       size_t len)
{
    uint32_t valid = 0;
    int16_t sample = 0;
    size_t idx = *offset;
    
    while (!valid && idx < len) {
        // 从随机字节构造候选值
        uint16_t candidate = random_bytes[idx] | 
                            ((uint16_t)random_bytes[idx + 1] << 8);
        idx += 2;
        
        // 恒定时间条件判断: candidate < Q ?
        uint32_t in_range = (uint32_t)(candidate < 3329);  // ML-KEM q=3329
        
        // 使用掩码避免分支
        uint32_t mask = ct_mask_u32(in_range & !valid);
        sample = (int16_t)((mask & candidate) | (~mask & (uint16_t)sample));
        valid |= in_range;
    }
    
    *offset = idx;
    return sample;
}

6.2 掩码技术

对于高安全场景（如安全元件、硬件钱包），需要对关键运算进行**掩码（Masking）**处理，将秘密值拆分为多个份额：

c 复制代码

// masking.c - 一阶布尔掩码示例

/**
 * 将秘密值 s 拆分为两个随机份额: s = s0 ^ s1
 */
void mask_value(uint16_t s, uint16_t *s0, uint16_t *s1)
{
    *s0 = sys_rand32_get() & 0xFFFF;  // 随机份额
    *s1 = s ^ *s0;                     // s1 = s XOR s0
}

/**
 * 掩码下的多项式乘法 (简化示例)
 * 给定 [a0, a1] 和 [b0, b1]，计算 [c0, c1] 使得 c = a * b
 */
void masked_poly_mul(const uint16_t a0[256], const uint16_t a1[256],
                     const uint16_t b0[256], const uint16_t b1[256],
                     uint16_t c0[256], uint16_t c1[256])
{
    // c0 = a0*b0 ^ a0*b1 ^ a1*b0
    // c1 = a1*b1
    // 注意: 实际实现需要更复杂的掩码刷新和压缩
    
    for (int i = 0; i < 256; i++) {
        c0[i] = (a0[i] * b0[i]) ^ (a0[i] * b1[i]) ^ (a1[i] * b0[i]);
        c1[i] = a1[i] * b1[i];
    }
}

七、迁移路线图：从密码清单到完全 PQC

图 5：嵌入式系统后量子密码迁移路线图

7.1 全球合规时间表

地区/机构	要求	截止时间
美国 NSA CNSA 2.0	国家安全系统完全使用 PQC	2035
欧盟 CRA	含密码功能的产品评估量子风险	2027
澳大利亚 ASD	消除所有经典公钥密码	2030
英国 NCSC	发现与规划 2028，优先迁移 2031，完成 2035	2035
中国密码法	国密算法 + PQC 混合方案	持续推进

2026 年，欧盟网络弹性法案（CRA）已明确要求制造商评估和缓解含密码功能产品的量子计算风险。citeweb_search:22#7 这意味着从 2027 年起，未评估 PQC 风险的嵌入式产品可能无法获得 CE 认证。

7.2 嵌入式迁移六步法

基于行业最佳实践，以下是嵌入式系统 PQC 迁移的推荐流程：

密码清单（Crypto Inventory）：识别所有加密依赖------TLS 库、固件签名、安全启动、设备证书、OTA 机制；
硬件评估：确认 MCU 的 RAM/Flash 是否支持 PQC（ML-KEM 需 8-12 KB RAM，ML-DSA 需 12-35 KB）；
混合部署：采用 TLS 1.3 Hybrid Key Exchange（ML-KEM + X25519），确保过渡期安全；
固件更新：通过 OTA 更新引导加载器，支持 PQC 安全启动验证；
证书迁移：将设备证书从 ECDSA 迁移到 ML-DSA-65，根证书使用 SLH-DSA 长期保护；
侧信道审计：对 PQC 实现进行功耗分析、时序分析和故障注入测试。

八、2026 年产业动态与展望

8.1 市场与产业

2026 年，后量子密码市场正在爆发式增长。Grand View Research 报告显示，PQC 市场预计以 37.8% 的 CAGR 增长至 2033 年。citeweb_search:22#3 关键产业动态包括：

Cloudflare 于 2026 年 2 月推出 PQC 启用的 SASE 平台；
Bain & Company 与 IBM 合作提供 PQC 风险评估服务；
PQShield 推出 PQPlatform-TrustSys，支持 ASIC/FPGA 的 PQC 安全启动；
Kudelski Labs 在 Embedded World 2026 展示首批半导体级 PQC IP。citeweb_search:22#7

8.2 学术研究前沿

2026 年的学术研究聚焦于嵌入式 PQC 优化：

HAETAE 低内存实现：将峰值堆栈从 141 KB 降至 12 KB，适合 Cortex-M3；citeweb_search:22#10
RISC-V PQC 加速器：专用指令集扩展（如 RISQ-V）将 NTT 性能提升 5-10 倍；citeweb_search:22#16
AI 辅助侧信道检测：利用机器学习自动发现 PQC 实现中的侧信道漏洞。citeweb_search:22#6

8.3 对鸿蒙生态的启示

对于 OpenHarmony 和 HarmonyOS 生态，PQC 迁移既是挑战也是机遇：

分布式软总线：设备间通信需要 PQC 保护的会话密钥；
安全启动：引导加载器验证需要 ML-DSA 签名替代 ECDSA；
设备认证：HarmonyOS 设备证书体系需要支持 PQC 算法；
OTA 更新：固件包签名需要同时支持经典和 PQC 算法。

九、总结

量子计算不是未来的威胁，而是今天的准备。NIST 标准已发布，合规倒计时已启动，HNDL 攻击正在进行。对于嵌入式开发者而言，拖延不再是选项。

维度	关键行动
算法选择	KEM: ML-KEM-768 \| 签名: ML-DSA-65 \| 备份: SLH-DSA \| 紧凑: FN-DSA
性能优化	NTT 汇编加速、流式采样、原地运算、内存复用
安全防护	恒定时间实现、掩码技术、故障注入防护、随机数熵池
迁移策略	混合部署 → 优先迁移固件签名 → 完全 PQC (2035)
合规时间	EU CRA 2027 \| ASD 2030 \| NSA CNSA 2.0 2035

格密码学为嵌入式系统提供了通往量子安全的数学基础，而 pqm4 等开源项目已经将这一基础转化为可运行的代码。在量子时代到来之前，每一个嵌入式开发者都应该问自己：我的设备，准备好了吗？

转载自：https://blog.csdn.net/u014727709/article/details/162687264

欢迎 👍点赞✍评论⭐收藏，欢迎指正