ML-KEM 与 ML-DSA 标准理解

理解 ML-KEM 与 ML-DSA 标准

1. 格密码的兴起

目前主导实务标准化的系统是基于格 (Lattice-based) 的系统。这是因为它们在最坏情况 (worst-case) 到平均情况 (average-case) 之间存在强大的数学归约 (reductions)，且能够高效实现 [S4]。另一方面，基于代码 (Code-based) 或基于哈希 (Hash-based) 的方式起着保守锚点 (conservative anchors) 的作用，具备更长的安全历史或仅需最低限度假设的特性 [S4]。

2. ML-KEM (Module-Lattice Key Encapsulation Mechanism)

ML-KEM 基于以前称为 Kyber 的算法。它基于模格难题 (Module Learning With Errors, MLWE)，流程如下：

• KeyGen: 在模格中生成公钥和私钥。
• Encapsulation: 使用公钥生成共享秘密值 (Shared Secret) 和封装后的密钥 (Ciphertext)。
• Decapsulation: 使用私钥从封装后的密钥中恢复出原始共享秘密值。

3. ML-DSA (Module-Lattice Digital Signature Algorithm)

ML-DSA 基于 Dilithium，使用了“带中止的 Fiat-Shamir (Fiat-Shamir with Aborts)”技术。它通过格难题的难度提供防伪能力，是兼顾签名大小与公钥大小的实用标准。

4. 安全假设

格密码系统的安全性与寻找最短向量问题 (Shortest Vector Problem, SVP) 密切相关。与量子计算机的 Shor 算法能高效破解传统 RSA 或 ECC 不同，格难题被认为即使使用量子算法也无法在多项式时间内求解。