面向后量子安全的基于哈希的密码算法

为应对量子威胁，研究人员发展出一类称为后量子密码学（post-quantum cryptography）的新密码学技术，旨在面对量子攻击者时仍保持安全。在众多候选路径中，基于哈希的密码算法凭借概念简洁、理论基础扎实，以及长期接受密码分析的历史脱颖而出。

量子算法攻击哈希函数时，只能获得有限加速，因此建立在哈希原语上的密码学构造，对量子威胁具有很强抵抗力。基于哈希的数字签名方案由此成为新兴后量子安全体系的重要组成部分，为量子时代的数字系统保护提供了保守而高度可靠的路径。

什么是基于哈希的密码学？

基于哈希的密码学（hash-based cryptography），指安全性完全建立在密码学哈希函数性质之上的密码系统。哈希函数是一种确定性变换，将任意大小的输入映射为固定长度输出，通常称为哈希值或摘要（digest）。它按单向性设计：计算哈希很容易，但从输出恢复原始输入，在计算上不可行。

这些函数的实用价值来自一组定义明确的安全性质。抗原像性（preimage resistance） 确保给定哈希值，实际上不可能找到产生它的输入；抗第二原像性（second-preimage resistance） 确保给定输入及其哈希值，无法切实找到另一个具有相同哈希值的输入；抗碰撞性（collision resistance） 进一步要求，找到两个不同却具有相同哈希值的输入，可能性极低。

基于哈希的签名方案直接建立在这些保障之上。它不依赖 RSA 或椭圆曲线密码学中的数论假设，而是利用精心构造的哈希函数组合生成和验证数字签名。因此，安全模型更简单、更保守：只要底层哈希函数保持安全，签名方案就继承这种安全性。

可以直观地想象，用一个由文件内容唯一推导的能显露篡改痕迹的印章封住文件。文件任何改动都会产生完全不同的印章，而不经过原始过程就伪造匹配印章，在实践中不可行。基于哈希的签名，实际上就是将这一思路形式化为严谨、可验证的系统。

另一项重要优势是抵御量子计算的能力。格罗弗算法（Grover's algorithm）虽然能加速针对哈希函数的蛮力攻击（brute-force attacks），但只提供平方级加速。这与能够破解广泛使用的数论密码系统的肖尔算法（Shor's algorithm）截然不同。实际中，可以增大哈希输出长度，缓解格罗弗算法的影响，保留足够的安全裕量（security margin）。

因此，基于哈希的密码学被广泛视为后量子数字签名设计的基础组件，为长期密码学安全提供一条保守、研究充分的路径。

现代基于哈希的签名方案

过去几十年，研究人员开发出一系列适合实际部署的后量子数字签名算法。

这些现代构造将先进的 Merkle 树（Merkle tree）结构，与经过优化的一次性签名（one-time signature）方案相结合，在保持可接受性能的同时提供强安全保障。

这一领域最有影响力的进展之一是 XMSS（eXtended Merkle Signature Scheme，扩展 Merkle 签名方案）。该设计在保留基于哈希密码学的强理论安全性质的同时，显著减少存储需求、提高效率。XMSS 仍是一种有状态签名方案，每次签名都消耗 Merkle 树中的一个独有叶节点。通过谨慎管理这一状态，系统实现紧凑签名和可预测性能。

另一项重要设计是 LMS 签名（Leighton–Micali Signature）方案，其开发重点在于嵌入式系统和安全硬件环境的实际部署。LMS 已被标准化，用于多种政府和工业应用，尤其适合需要长期密码学稳定性的场景。

有状态方案虽提供强保障，但在大规模分布式系统中，管理签名状态可能带来操作挑战。为解决这一局限，研究人员开发了无状态哈希签名方案，其中最著名的是 SPHINCS+。

SPHINCS+ 结合多层哈希树、随机化哈希以及精心设计的一次性签名，无需跟踪签名状态。这虽然增大了签名体积，却通过消除状态管理不当的风险，显著简化了部署。

SPHINCS+ 在 NIST 后量子密码学标准化项目中被选为数字签名标准，凸显了这一设计的重要性，也反映出人们越来越相信，基于哈希的密码学是实现抗量子安全的可靠方案。

基于哈希的密码学的优势

最重要的好处，是其保守的安全基础。基于哈希的数字签名，其强度几乎完全依赖密码学哈希函数的安全，而这些函数已接受数十年的严格分析。与基于格、编码或多变量的密码系统不同，基于哈希的构造不依赖相对较新、可能仍存在未知弱点的数学假设。

另一个优势是概念简单。基于哈希的签名由直观的哈希运算构成，而非复杂代数结构，因此通常更容易分析、实现和验证。这种简单性减少了细微实现错误的可能性；历史上，许多现实中的密码学漏洞正是由此造成。

从实践看，哈希函数在现代计算硬件上也能高效运行。哈希运算的计算负担相对较轻，使基于哈希的密码算法即使在嵌入式系统、安全微控制器等资源受限设备上，也能有效工作。

此外，许多哈希签名方案具有可证明的安全归约（security reductions），意味着要破解签名方案，就必须破解底层哈希函数本身。密码学研究高度重视这种形式化安全保障，因为它为系统的抵抗能力提供有力的理论依据。

挑战与实际权衡

最常被讨论的挑战之一是签名大小。与经典数字签名相比，基于哈希的签名通常大得多。椭圆曲线签名可能只有几十字节，而哈希签名可能从几 KB 到几十 KB 不等，具体取决于方案和安全级别。

在区块链等带宽受限环境中，这种额外开销可能引发效率问题。不过，存储容量、网络带宽和分布式基础设施持续改善，正在逐步减轻大签名的实际影响。

有状态方案还带来另一项操作考量：每个一次性签名密钥都只能使用一次，因此签名者必须在密钥整个生命周期内谨慎跟踪签名状态。如果状态管理失败，或同一个密钥组件被复用，安全保障就可能遭到破坏。

SPHINCS+ 等无状态设计取消状态跟踪需求，消除了这一风险，但通常以更大的签名和签名时更高的计算需求为代价。

此外，验证操作虽然往往相对高效，一些哈希方案生成签名却需要大量哈希运算，尤其是依赖深层树结构的复杂无状态构造。

不过，应在计算能力不断演进的背景下评估这些局限。随着硬件性能和网络基础设施持续改善，更大签名和额外计算的相对成本会下降，尤其在与抗量子安全收益相权衡时。

在区块链与长期数字安全中的应用

对于需要让数字数据在极长时间内保持可验证的环境，基于哈希的密码学尤其重要。区块链技术就是最突出的例子之一。

区块链永久保留交易记录，交易附带的数字签名也会无限期公开可见。如果量子计算机最终能破解 ECDSA 等经典签名算法，攻击者就可能伪造历史签名，或盗取与已暴露公钥关联的资金。

哈希签名方案不依赖易受肖尔算法攻击的数论假设，因此对于寻求抗量子密码学的区块链系统，是很有吸引力的替代方案。其安全性建立在哈希函数的稳健性上，而不是量子计算机专门擅长求解的数学问题上。

因此，已有多个区块链研究项目探索将哈希签名集成到交易验证机制中。例如，Quantum Purse 是面向 CKB 区块链的轻量量子安全桌面钱包，采用 SPHINCS+ 密码学方案，保护量子计算时代的数字资产。较大的签名虽然增加存储和带宽需求，但网络基础设施和存储技术不断改善，让这些取舍越来越容易管理。

除了区块链，基于哈希的密码学还在安全固件更新、软件分发系统、数字时间戳服务和长期档案认证中发挥重要作用。在这些场景中，签名创建多年甚至数十年后仍可验证的能力，至关重要。

结语

基于哈希的密码算法，是实现后量子安全最成熟、概念最简洁优雅的路径之一。它完全利用密码学哈希函数构建数字签名方案，避免依赖可能被未来量子算法破解的数学假设。

实践中仍存在挑战，尤其是签名大小和状态管理，但持续研究和工程改进，不断提高这些系统的效率与可部署性。SPHINCS+ 等算法日益被采用并标准化，表明基于哈希的密码学已走出理论探索阶段，正在成为下一代抗量子密码学基础设施的重要组成部分。