后量子密码（PQC）算法现状与关键建议

摘要

量子计算的快速发展对基于大整数分解和离散对数问题的传统公钥密码体系构成根本性威胁。Shor算法可在多项式时间内破解RSA和椭圆曲线密码，而"现在攻击、未来解密"（Harvest Now, Decrypt Later, HNDL）威胁已从理论关切升级为各国政府和情报机构公开确认的现实风险。2024年8月13日，美国国家标准与技术研究院（NIST）正式批准FIPS 203（ML-KEM）、FIPS 204（ML-DSA）和FIPS 205（SLH-DSA）三项后量子密码标准，标志着PQC从标准化阶段进入大规模部署阶段。本文系统梳理后量子密码标准化现状，深入分析当前面临的安全模型、密码分析、工程实现与迁移部署四大关键挑战，并基于文献证据提出四条可操作的关键建议：全面采用混合密码模式并优先保护长保密期数据；以格基算法为主、哈希签名保底，避免单一假设依赖；强制常数时间实现与侧信道防护标准化，加强私钥生命周期管理；制定分阶段迁移路线图，实施PKI双证书策略与算法敏捷性架构。本文最后展望了哈希签名压缩、轻量级PQC、PQC与零知识证明/全同态加密组合等未来研究方向。

关键词：后量子密码；格密码；NIST标准化；混合密码；侧信道攻击；密钥封装机制；数字签名；量子安全迁移

1. 引言

1.1 量子计算对传统密码的威胁

1994年，Shor提出了在量子计算机上以多项式时间求解大整数分解和离散对数问题的算法（Shor, 1994）。这一成果从根本上动摇了RSA、Diffie-Hellman密钥交换和椭圆曲线密码（ECC）等当代公钥密码体系的数学基础。与对称密码不同，公钥密码的安全性依赖于特定数学困难问题的计算复杂性，而Shor算法证明这些问题在量子计算模型下不再困难。

尽管具备密码学相关能力的量子计算机（Cryptographically Relevant Quantum Computer, CRQC）尚未建成，但量子硬件的进展持续缩短威胁时间线。Gidney（2025）在Google Quantum AI的工作中将RSA-2048因子分解的资源需求从2019年估计的约2000万噪声量子比特/8小时大幅降至不足100万噪声量子比特/不到一周。该工作采用近似残差算术、yoked表面码冷存储和magic state cultivation等技术，将Toffoli门计数比此前最佳估计减少100倍以上。IBM路线图目标2029年交付约1万物理量子比特的容错系统，Quantinuum已展示逻辑量子比特错误率比物理基准低800倍。Forrester 2026评估将Q-Day（CRQC出现）视为2030年前的合理风险场景。

1.2 "现在攻击、未来解密"威胁

HNDL（Harvest Now, Decrypt Later）是一种两阶段攻击模式：第一阶段，对手被动截获并大规模归档加密流量（TLS、VPN、SSH等），无需解密能力；第二阶段，当CRQC可用时，运行Shor算法破解截获流量中的RSA/ECC密钥交换，回溯恢复会话密钥并解密归档数据。该威胁的核心特征是被动性、不可检测性和时间错位性——收集阶段不产生主机或账户级入侵信号，传统入侵检测系统无法感知。

HNDL威胁已获得多国政府和学术界权威确认。美国白宫国家安全备忘录NSM-10（2022年5月）明确将HNDL威胁列为加速联邦系统向PQC迁移的首要动机，警告对手"正在记录加密通信，意图在未来解密"，要求联邦机构2035年前完成PQC迁移。美国国家安全局（NSA）商业国家安全算法套件2.0（CNSA 2.0）为国家安全系统设定硬性迁移时间表：2027年1月起新采购必须支持CNSA 2.0算法，2030年底前淘汰不支持设备，2031年底前全面强制采用。CISA、NSA和NIST联合敦促关键基础设施运营者立即开始PQC迁移，强调风险"不能等待"量子计算机出现。美联储工作论文（Mascelli & Rodden, 2025）以比特币网络为案例分析HNDL对分布式账本网络的数据隐私风险，指出即使网络部署PQC保护未来安全，历史交易数据隐私仍因HNDL而脆弱。

Mosca定理为HNDL紧迫性提供了核心分析框架：若（数据保密期 + 迁移时间）> CRQC出现时间，则系统已暴露。对于保密期25年以上的政府机密、终身敏感的医疗/基因数据、价值数十年的商业秘密，即使CRQC在15–20年后才出现，风险窗口已经打开。2024年Global Risk Institute对量子计算专家的调查显示，约三分之一的受访者认为CRQC在2034年前出现的概率大于50%。

1.3 后量子密码的必要性

后量子密码（Post-Quantum Cryptography, PQC）指在量子计算机上也被认为难以破解的公钥密码算法。与量子密钥分发（QKD）不同，PQC不依赖物理层安全，而是基于被认为能抵抗量子攻击的数学困难问题，可在现有计算基础设施上部署。PQC的主要数学基础包括格上的带误差学习问题（LWE）和短整数解问题（SIS）、哈希函数的抗原像/抗碰撞性、编码理论中的译码问题、多变量多项式方程组求解问题等。

NIST于2016年启动PQC标准化进程，经过三轮公开评估，于2022年7月宣布首批标准化算法：CRYSTALS-Kyber（密钥封装）、CRYSTALS-Dilithium（数字签名，主推）、Falcon（数字签名）和SPHINCS+（数字签名）。2024年8月13日，FIPS 203（ML-KEM，基于Kyber）、FIPS 204（ML-DSA，基于Dilithium）和FIPS 205（SLH-DSA，基于SPHINCS+）正式批准，次日生效。Falcon（FN-DSA）进入FIPS 206草案，预计2026年底至2027年初发布最终标准。

1.4 本文贡献与结构

本文的主要贡献包括：（1）系统梳理NIST及其他地区PQC标准化进展，提供标准算法参数的精确对比；（2）从安全模型、密码分析、工程实现和迁移部署四个维度深入分析当前PQC面临的关键挑战，所有论断均有文献依据；（3）基于文献证据提出四条具体可操作的关键建议；（4）展望未来研究方向。本文结构如下：第2节介绍PQC标准化现状；第3节分析关键挑战；第4节提出关键建议；第5节展望未来研究方向；第6节总结全文。

2. 后量子密码标准化现状

2.1 NIST PQC标准化进程（2016–2024时间线）

NIST PQC标准化进程是迄今为止规模最大、最公开透明的密码标准制定过程之一。表1呈现了完整的关键时间节点。

表1 NIST PQC标准化进程关键时间线

标准化进程的一个显著特点是密码分析在算法选择中发挥了决定性作用。2022年7月，在宣布首批标准化算法的同时，NIST撤回了第四轮候选算法SIKE（超奇异等基因密钥封装），原因是Castryck和Decru（2023）在EUROCRYPT 2023发表的攻击以多项式时间破解了SIDH。该攻击基于Kani的阿贝尔曲面等基因可约性准则，利用协议中交换的挠点图像信息，在单台计算机上数小时内破解了SIKEp434挑战。同年，Beullens（2022）在CCS 2022发表的"Breaking Rainbow Takes a Weekend on a Laptop"利用矩形MinRank攻击，在标准笔记本电脑上平均53小时恢复了Rainbow等级1参数的完整私钥，直接导致这一多变量签名方案被淘汰。这些事件表明，PQC标准化不是一次性的选择，而是一个持续密码分析驱动的动态过程。

2.2 标准算法原理与参数对比

2.2.1 ML-KEM（FIPS 203）

ML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism）基于模格上的带误差学习问题（Module-LWE, MLWE），采用Kyber的CCA安全KEM构造，通过Fujisaki-Okamoto（FO）变换将IND-CPA安全的基础公钥加密转换为IND-CCA安全的密钥封装机制。密钥生成产生公钥（矩阵A的第一行压缩+种子）和私钥（秘密向量+公钥+哈希值+随机数）；封装生成密文和共享密钥；解封装恢复共享密钥。算法使用SHAKE-128/256作为扩展函数（XOF）和哈希函数，模数q=3329，多项式次数n=256。

ML-KEM提供三个参数集：ML-KEM-512（安全等级1，对标AES-128）、ML-KEM-768（安全等级3，对标AES-192）和ML-KEM-1024（安全等级5，对标AES-256）。NIST推荐ML-KEM-768作为通用默认选择。所有参数集的共享密钥固定为32字节（256位）。私钥以扩展形式存储（2400字节 for ML-KEM-768），但种子形式仅64字节，运行时可确定性扩展。

2.2.2 ML-DSA（FIPS 204）

ML-DSA（Module-Lattice-Based Digital Signature Algorithm）基于模格上的短整数解问题（Module-SIS, MLSIS）和Module-LWE，采用"Fiat-Shamir with Aborts"框架。签名者生成小范数的"挑战-响应"对，通过拒绝采样确保签名分布不依赖于秘密；验证者检查签名向量范数是否在阈值内。算法使用SHAKE-256作为XOF，模数q=8380417（约2²³），多项式次数n=256。

ML-DSA提供三个参数集：ML-DSA-44（安全等级2）、ML-DSA-65（安全等级3）和ML-DSA-87（安全等级5）。NIST推荐ML-DSA-65作为通用默认选择。与传统ECDSA（P-256签名64字节）相比，ML-DSA-65签名（3309字节）增大约50倍，这是PQC签名在带宽受限场景中的主要挑战。

2.2.3 SLH-DSA（FIPS 205）

SLH-DSA（Stateless Hash-Based Digital Signature Algorithm）基于SPHINCS+，是一种无状态哈希基数字签名方案。其安全性完全依赖于哈希函数的抗原像和抗碰撞性，不依赖格或数论假设，因此是密码分析上最保守的选择。核心构造包括超Merkle树（hyper-tree）、WOTS+一次性签名和FORS（Forest of Random Subsets）few-time签名。签名由多个WOTS+公钥、认证路径和FORS签名组成。

SLH-DSA提供12个参数集（2种哈希族×3个安全等级×2种优化方向）。"s"变体优化签名大小（签名较慢），"f"变体优化签名速度（签名较大）。SLH-DSA的公钥和私钥极小（32–64字节公钥），是四种算法中密钥最小的，但签名也是最大的（7.8KB–49.9KB）。最小参数集SLH-DSA-SHA2-128s的签名约需220万次哈希调用，签名速度较慢。

2.2.4 FN-DSA/Falcon（FIPS 206草案）

FN-DSA（FFNTT-based NTRU Lattice Digital Signature Algorithm）基于Falcon，采用GPV（Gentry-Peikert-Vaikuntanathan）hash-and-sign框架，在NTRU格上求解短整数解问题。签名者使用NTRU格的短基（通过FFT/NTT采样高斯分布）生成接近目标哈希点的短格向量；验证者检查签名向量的范数是否小于界β。算法使用SHAKE-256作为哈希函数。

FN-DSA提供两个参数集：FN-DSA-512（安全等级1）和FN-DSA-1024（安全等级5），无安全等级3参数集。Falcon的签名是四种PQC签名算法中最小的（666字节，仅为ML-DSA-65的20%），公钥也较小（897字节）。但其实现复杂度高：签名需要浮点高斯采样，常数时间实现困难。NIST允许使用原生或仿真浮点运算进行签名。2025年8月28日，FIPS 206草案提交NIST审批，公众评论期90天，最终标准预计2026年底至2027年初发布。

2.2.5 参数对比总表

表2 四种标准算法核心参数对比（推荐参数集）

表3 ML-KEM参数集详情

表4 ML-DSA参数集详情

2.3 其他地区标准化进展

2.3.1 中国

2025年2月5日，中国商用密码标准研究院（ICCS）发布《关于开展新一代商用密码算法征集活动的公告》，面向全球征集新一代公钥密码、密码杂凑、分组密码算法，明确要求具备抗量子攻击能力。中国全面布局五条技术路线：格密码、多变量密码、哈希基密码、编码基密码、同源密码，规避单一技术路线垄断风险。通信标准化协会（CCSA）正在制定5G/6G、物联网、电力、金融行业PQC应用规范。中国确立了"国产SM系列国密算法 + 自研PQC算法"混合加密过渡架构，自主可控PQC算法标准预计未来2–3年内正式发布，形成算法规范、性能指标、接口标准、安全评估完整体系。

2.3.2 欧盟ETSI

2025年3月，ETSI正式发布首个后量子网络安全标准ETSI TS 104 015《具有隐藏访问策略的高效量子安全混合密钥交换》，定义Covercrypt带访问控制的KEM方案。ETSI量子安全密码工作组（Quantum Safe Cryptography WG）持续推进PQC协议迁移标准，并与NIST协同，推动FIPS 203/204/205在欧洲电信系统中的采用。ETSI TR 103 966 V1.1.1《Deployment Considerations for Hybrid Schemes》系统讨论了混合方案（包括组合签名）的部署考虑。

2.3.3 ISO/IEC

ISO/IEC在PQC标准化方面持续推进。ISO/IEC 29192-4涵盖轻量密码中的NTRU算法；ISO/IEC 14888-5正在将ML-DSA纳入数字签名标准（华为参与）；ISO/IEC 18367密码算法一致性测试标准正在修订以纳入PQC（中国牵头）。此外，IETF已发布RFC 9881（ML-DSA的X.509算法标识符）和RFC 9909（SLH-DSA的X.509算法标识符），为PKI生态中的PQC证书部署奠定基础。RFC 10024定义了TLS 1.3的三个混合密钥协商机制（X25519MLKEM768、SecP256r1MLKEM768、SecP384r1MLKEM1024），其中X25519MLKEM768的TLS codepoint为0x11EC。

在浏览器部署方面，Chrome 131（2024年11月）、Firefox 132（2024年10月）和Safari 18.2（2024年12月）已默认启用PQC混合密钥交换。Cloudflare报告称，截至2025年底，超过52%的HTTPS流量已使用PQC混合密钥交换，中位握手延迟无可测量增加，仅不到1%的连接因中间盒干扰经历额外往返。

3. 当前PQC面临的关键挑战

3.1 安全模型挑战

3.1.1 HNDL威胁与长保密期数据保护

HNDL威胁对安全模型提出的核心挑战是：传统的"攻击时安全"范式不再充分，必须转向"保密期内安全"范式。对于保密期超过10年的数据（医疗记录、政府机密、知识产权、基因数据），即使CRQC在10–15年后才出现，当前使用RSA/ECC加密的流量已处于风险窗口内。Mosca定理量化了这一风险：若数据保密期与迁移时间之和大于CRQC出现时间，则系统已暴露。

混合密码模式是应对HNDL的核心策略。X-Wing（Barbosa等）是基于X25519和ML-KEM-768的混合KEM，其安全证明给出两个核心结论：在随机预言机模型（ROM）中，若X25519的强Diffie-Hellman假设成立，则X-Wing是经典IND-CCA安全的；在标准模型中，若ML-KEM-768自身是IND-CCA安全的且SHA3-256作为伪随机函数安全，则X-Wing是后量子IND-CCA安全的。核心结论是：X-Wing在X25519或ML-KEM-768中任一安全的情况下即安全，这种"或"安全（OR-security）是混合密码过渡期的核心安全保证。

RFC 10024已将X25519MLKEM768等三个混合组标准化为TLS 1.3的密钥协商机制。Blanchet和Jacomme（2024）在IEEE CSF第37届会议上证明了CryptoVerif证明器的后量子可靠性，并验证了IETF混合SSH/TLS草案的计算安全性，首次为这些协议提供形式化计算安全保证。Celi等（2022）使用Tamarin对KEMTLS进行符号分析，证明其具有与TLS 1.3主握手等价的安全属性，同时发现了手写证明中的一些安全声明缺陷。

3.1.2 KEM与签名的风险差异

KEM与签名在风险结构上存在本质差异。KEM用于会话密钥协商，配合前向保密（ephemeral密钥）可限制单次密钥泄露的影响范围；签名私钥通常长期使用，一旦被量子回溯破解，可伪造历史签名并破坏PKI信任链。Cremers等（2021）在IEEE S&P上发表的BUFFing工作进一步揭示，多个PQC签名候选者（包括Dilithium和Falcon）缺乏"超越不可伪造性"的安全属性，如恶意密钥安全（KOS）、不可重签名性（non re-signability）和消息知晓性。这些属性的缺失意味着PQC签名的安全保证并非严格强于经典签名，而是不可比——在某些维度上甚至更弱。应用BUFFing转换可有效弥补这些缺陷。

前向保密与HNDL的交互需要特别注意：前向保密保护的是"长期密钥泄露后历史会话的安全"，而HNDL威胁的是"密钥交换算法本身被量子破解"。如果对手截获了完整的TLS握手（包括临时密钥交换消息），即使使用了临时密钥，Shor算法仍可破解临时ECDHE密钥并恢复会话密钥。因此，前向保密本身不能防御HNDL，必须使用后量子安全的密钥交换（如ML-KEM）才能从根本上抵御HNDL。

3.1.3 随机预言机模型与标准模型

PQC的安全证明通常在ROM/QROM或标准模型中进行。ML-KEM的IND-CCA安全通过FO变换在量子随机预言机模型（QROM）中证明；X-Wing的经典安全性在ROM中证明，后量子安全性在标准模型中证明。QROM中的归约通常存在平方损失（quadratic loss），这被认为是普遍不可避免的（Jiang等，CRYPTO 2018）。Pan、Wagner和Zeng（2023）给出了QROM中更紧的AKE安全证明，消除了平方根损失。

Lombardi等（2022）在TCC上证明了一个重要的否定结果：即使底层假设（如LWE）是后量子安全的，经典安全的密码构造也可能不是后量子安全的。他们给出了PRF、CPA安全对称加密、MAC、签名和CCA安全PKE的（人为构造的）反例，这些方案在LWE下经典安全但量子攻击者仅需几次经典查询即可破解。这一结果警示：不能简单地假设"经典安全 + 后量子安全假设 = 后量子安全"，必须进行专门的后量子安全分析。

3.2 算法多样性与密码分析风险

3.2.1 格基假设集中风险

NIST首批标准化的四种算法中，三种（ML-KEM、ML-DSA、Falcon）基于格问题，仅SLH-DSA基于哈希函数。格基假设的集中带来了系统性风险：如果格问题出现根本性的算法突破，三种标准算法将同时受到影响。尽管LWE问题自2005年Regev提出以来经受了近20年的广泛密码分析，未出现亚指数或多项式时间攻击，但历史经验表明，数学困难问题的安全性可能在瞬间崩塌——SIDH和Rainbow的破解即是明证。

3.2.2 BKZ改进与安全裕度压缩

格基密码的具体安全性依赖于格基约化算法（如BKZ）的计算复杂度。Zhao和Ding（2023）在ACISP 2023上提出四项BKZ算法改进，可同时用于基于枚举和筛法的SVP子例程，四项改进组合提供2^(2–4)倍总加速，使所有格基NIST候选者在具体攻击中损失3–4位安全。该工作实际破解了656维和700维理想格挑战，分别用时380和1787线程小时（656维挑战此前记录为4600线程小时）。

Bernstein（2022）量化了多个密文对标准原始格攻击分析的渐近影响，指出现典型格基PKE在启发式多密文IND-CPA安全中随密文数量增加呈指数级降级，并给出具体反例：对FrodoKEM-640的一个公钥，存在2^88猜测攻击破解2^40个密文中的一个，直接否定了FrodoKEM"参数集以大裕度匹配目标安全级别"的声明。D'Anvers和Batsleer（2022）在CT-RSA 2022上改进多目标解密失败攻击（failure boosting），证明Saber的量子安全性在特定情况下可从172位理论降至145位。Chua等（2024）在La Matematica上研究小秘密（binary/ternary分布）LWE的具体安全性，发现某些参数组合的安全级别低于在线Lattice Estimator的预测。

尽管这些改进持续压缩格基方案的安全裕度，但2022–2026年间未出现对LWE/MLWE的亚指数或多项式时间攻击。ML-KEM-768（192位目标安全）和ML-DSA-65（192位目标安全）对已知攻击仍有合理缓冲。De Boer和Van Woerden（2025）的综述系统梳理了当前最先进格攻击状态，支持这一判断。

3.2.3 SIDH与Rainbow破解的教训

SIDH和Rainbow的破解为PQC密码分析提供了深刻教训。Castryck和Decru（2023）对SIDH的攻击基于Kani的阿贝尔曲面等基因可约性准则，利用协议中交换的挠点图像信息，在已知起始曲线自同态环的情况下具有多项式时间复杂度（假设广义黎曼猜想）。该攻击在单台计算机上数小时内破解了SIKEp434挑战（悬赏5万美元），导致NIST撤回SIKE。这一事件表明，即使是经过多年公开分析的数学结构，也可能存在被忽视的致命弱点。

Beullens（2022）对Rainbow的攻击利用矩形MinRank攻击，将公钥转换为矩形MinRank实例，通过微分技术恢复私钥。在最低安全等级（SL 1）上，攻击在标准笔记本电脑上平均53小时恢复完整私钥，而此前认为需要至少2^128次操作。该攻击同时适用于确定性和随机化版本的Dilithium中使用的类似结构，对多变量密码的安全性评估产生了深远影响。

这两个案例的共同教训是：PQC算法的安全性不能仅依赖于"未被攻破"的状态，必须有深入的数学理解和持续的密码分析投入。对于非标准算法和新提出的方案，应保持高度谨慎，优先选择经过最广泛分析的标准化算法。

3.3 工程实现与侧信道安全

3.3.1 性能开销

PQC算法在主流服务器平台上的性能开销可控，但在嵌入式平台仍是挑战。在x86-64（AVX2）平台上，ML-KEM-768的密钥生成约40微秒，封装约50微秒，解封装约40微秒；ML-DSA-65的签名约1.0毫秒，验证约0.18毫秒。混合TLS握手中位延迟仅增加约0.3–1.5毫秒。但在Cortex-M4上，ML-KEM-768解封装需约150万周期（约0.5毫秒@72MHz），SLH-DSA签名可达数十毫秒，Falcon密钥生成因浮点运算在无FPU的MCU上极其缓慢。在Cortex-M0+（RP2040）上，ML-KEM-512完整密钥交换需35.7毫秒，比ECDH P-256慢17倍。

报文开销方面，X25519+ML-KEM-768混合握手的ClientHello增加1184字节，握手记录从1172字节增至3438字节（+193%），p50延迟从1.2毫秒增至1.4毫秒（+16%）。AWS测量显示混合PQC TLS每握手增加约1600字节和80–150微秒计算。单worker吞吐从X25519的2977 hs/s降至X25519+ML-KEM-768的2389 hs/s（-19.7%）。

硬件生态正在快速补齐。TPM 2.0 v1.85已纳入ML-KEM/ML-DSA命令；Intel QAT和AVX-512提供软件加速；RISC-V指令集扩展（Xkyber、Zkne/Zknh）可带来40%以上的性能/能耗提升。但商用HSM/TPM中的PQC实现普遍缺乏经过验证的侧信道防护。

3.3.2 侧信道攻击

PQC的数学安全性不等于实现安全性。2023–2026年间已公开的侧信道攻击反复证明，实现层的常量时间违规、编译器优化引入分支、掩码转换电路的故障传播等问题可导致完整密钥恢复。

KyberSlash（Bernstein等，2025，TCHES，CHES最佳论文）针对ML-KEM官方参考实现及多个第三方实现，发现poly_tomsg（消息解码）和poly_compress（密文压缩）中存在对秘密相关分子执行除以q的除法操作。在ARM Cortex-A7（软件除法）和Cortex-M4上，除法耗时依赖于操作数值，从而通过选择密文计时恢复完整私钥。KyberSlash1于2023年12月1日补丁修复，KyberSlash2于2023年12月30日披露。

GoFetch（Chen等，2024，USENIX Security）针对Apple M1/M2/M3芯片上的常量时间CRYSTALS-Kyber和CRYSTALS-Dilithium实现，证明数据内存依赖预取器（DMP）会将内存内容误认为地址执行预取，违反常量时间编程模型。攻击者构造选择输入，使指针类值仅在正确猜测秘密密钥比特时出现，通过DMP泄漏逐比特恢复密钥。该攻击首次证明微架构侧信道可突破经过常量时间硬化的PQC实现，表明常量时间代码在现代CPU上不再是充分防护。

Carry Your Fault（Kundu等，2024，TCHES）针对经过任意阶掩码防护的LWE-based KEM（Kyber、Saber），证明掩码实现必需的算术-布尔转换（A2B）基于加法器进位链，向进位链注入故障后，数据相关的进位传播会泄漏秘密信息。使用信念传播技术从故障值中恢复密钥。该攻击证明了"为防护而引入的组件本身成为新攻击面"——掩码不仅有性能开销，其A2B转换电路还引入了故障注入漏洞，且该漏洞不受掩码阶数限制。

FALCON Down（Purnal等，2022）针对Falcon签名方案的ARM Cortex-M4实现，使用电磁（EM）测量针对FFT内的浮点乘法，通过"extend-and-prune"策略从单条电磁迹中提取秘密签名密钥的符号、指数和尾数信息，进而伪造任意消息签名。这是首个针对Falcon的侧信道攻击。SHIFT SNARE（2025）针对Falcon密钥生成中的离散高斯采样操作，对64位秘密值执行63位右移操作时，结果为0或-1的功耗差异显著，单条功耗迹即可恢复密钥多项式系数分配信息。

针对ML-DSA，Ngo等（2024）使用深度学习辅助的模板功耗分析，从签名算法的私钥解包步骤中恢复秘密向量系数，回答了"Dilithium单迹攻击是神话还是现实"的问题。Ravi等（2023）首次对数论变换（NTT）进行故障注入分析，对Kyber KEM实现密钥恢复和消息恢复攻击，对Dilithium实现存在性伪造攻击和验证绕过。Islam等（2022）提出签名校正攻击，利用Rowhammer位翻转将Dilithium安全级别2的量子安全性从2^228降至2^96、经典安全性从2^111降至2^55，且无需物理访问，可在共享云服务器上实施。

SLH-DSA虽然基于哈希函数，但其故障注入脆弱性同样突出。Prest（2024）指出SLH-DSA"特别容易受到故障注入攻击——易于实施、易于利用、默认不可检测"，在构建非顶层子树时注入故障可实现通用伪造。Castelnovi等（2018）的奠基工作已揭示了这一攻击面。

3.3.3 掩码防护的局限

掩码防护在格基密码中面临"防护即引入新攻击面"的悖论。一阶掩码在Cortex-M4上带来约3.6–4.2倍的解封装开销（Heinz等，2023）。Carry Your Fault攻击证明，任意阶掩码的A2B转换均可被故障注入利用。高阶掩码（bitsliced）在CHES 2024被攻破，研究者发现布尔-算术转换（B2A）过程存在新漏洞。Clangover（Purnal，2024）进一步证明，即使源代码是分支无关的，Clang 15–18在-Os/-O1等优化选项下会将无分支代码编译为含秘密相关分支的机器码，导致计时泄漏（对应CVE-2024-37880和CVE-2024-36405）。

Falcon的侧信道防护尤为困难，其浮点运算（FFT乘法）和离散高斯采样使得标准布尔/算术掩码难以直接应用。已有工作提出浮点乘法和加法的一阶/高阶掩码方案，但开销巨大且未经过完整实现验证。

3.4 迁移部署与互操作性

3.4.1 PKI双证书与复合证书

PKI生态是PQC迁移中最复杂的环节。传统X.509证书格式需要扩展以支持PQC算法标识符和较大的密钥/签名。IETF已发布RFC 9881（ML-DSA的X.509算法标识符）和RFC 9909（SLH-DSA的X.509算法标识符），但完整的PKI迁移仍面临多重挑战。

双证书策略（dual certificates）是当前主流过渡方案：终端实体同时持有经典证书（ECDSA/RSA）和PQC证书（ML-DSA/SLH-DSA），依赖方根据自身能力选择验证。复合证书（composite certificates）将经典和PQC密钥/签名封装在单个证书中，要求验证者同时验证两个签名，但证书格式和验证逻辑更为复杂。ETSI TR 103 966系统讨论了混合方案的部署考虑，包括组合签名的安全论证和工程挑战。

根CA密钥的迁移尤为关键。根证书颁发机构的私钥通常有效期10–20年，一旦被量子回溯破解，攻击者可伪造任意网站证书，造成系统性信任崩溃。因此，根CA应优先迁移至PQC签名，并考虑使用SLH-DSA等基于哈希函数的保守方案作为根CA签名。

3.4.2 TLS中间盒兼容

PQC混合密钥交换在TLS 1.3中的部署面临中间盒（middlebox）兼容性问题。较大的ClientHello消息（增加1184字节）可能被某些中间盒截断或拒绝。Cloudflare报告称，不到1%的连接因中间盒干扰经历额外往返。Chrome、Firefox和Safari在默认启用PQC时都采用了渐进式部署策略，对不兼容的连接回退至经典密钥交换。

TLS 1.3的混合密钥协商已通过RFC 10024标准化，X25519MLKEM768的codepoint为0x11EC。KEMTLS提议用长期KEM密钥替代签名来认证握手，在PQC场景下有性能优势，但需要仔细处理前向保密和密钥泄露的影响。

3.4.3 算法敏捷性

算法敏捷性（cryptographic agility）指系统能够快速切换密码算法的能力，是PQC迁移的核心架构原则。由于PQC仍在快速发展，新的密码分析结果可能导致算法更换，系统必须设计为支持多种算法并能快速迁移。算法敏捷性要求：协议支持算法协商和参数集选择；证书格式支持多种算法标识符；密钥管理系统支持多算法密钥并存；应用层接口抽象密码操作，避免硬编码算法。

然而，算法敏捷性也带来了安全挑战。支持多种算法增加了攻击面，降级攻击（downgrade attack）可能迫使通信双方使用较弱的算法。因此，算法敏捷性必须与安全策略 enforcement 结合，明确禁止不安全的算法组合，并对算法协商进行认证保护。

4. 关键建议

4.1 安全模型建议

建议一：全面采用混合密码模式。 在过渡期内，所有公钥密码操作应采用经典算法与PQC算法的混合模式，而非纯PQC模式。混合KEM（如X25519+ML-KEM-768）的"或"安全保证已由Barbosa等的X-Wing安全证明和Blanchet与Jacomme（2024）的形式化验证确立：只要任一组件安全，整体即安全。这一模式在量子计算机出现前提供经典安全兜底，在量子计算机出现后提供后量子安全，是风险最小的过渡策略。RFC 10024已标准化TLS 1.3的三个混合组，Chrome、Firefox、Safari已默认启用，Cloudflare超过52%的HTTPS流量已使用混合密钥交换，证明大规模部署的技术可行性。对于签名，应采用组合签名（如Ed25519+ML-DSA），要求验证者同时验证两个签名。

建议二：优先保护长保密期数据。 根据Mosca定理，数据保密期越长，HNDL风险窗口越大。组织应按数据保密期分级，优先迁移保护保密期超过10年的数据（医疗记录、政府机密、知识产权、基因数据、长期财务记录）。对于这些数据，应立即启用混合PQC加密，即使CRQC尚未出现。对于保密期较短的数据（如临时会话、实时通信），可按常规节奏迁移。美联储工作论文（Mascelli & Rodden, 2025）和Cloud Security Alliance报告（2026）均强调，HNDL威胁的核心是长期数据机密性，迁移优先级应与数据保密期正相关。

4.2 算法选型建议

建议三：格基为主，哈希保底，避免单一假设依赖。 NIST标准化的四种算法中，三种基于格问题（ML-KEM、ML-DSA、Falcon），仅SLH-DSA基于哈希函数。格基算法在性能和密钥大小之间提供了最佳平衡，应作为主力算法。但为了对冲格假设集中风险，应在关键安全锚点（如根CA签名、长期代码签名、固件签名）使用SLH-DSA作为保底。SLH-DSA的安全性仅依赖哈希函数的抗原像/抗碰撞性，是密码分析上最保守的选择，即使格基密码被破解，SLH-DSA仍安全。NIST将SLH-DSA纳入标准化签名算法之一，正是为了提供算法多样性。对于高安全需求场景，可考虑同时部署ML-DSA和SLH-DSA双签名。

建议四：谨慎对待非标准算法。 SIDH和Rainbow的破解深刻表明，未经最广泛公开分析的PQC算法存在重大安全风险。组织应仅使用NIST FIPS标准（FIPS 203/204/205）和即将发布的FIPS 206中的算法，避免使用自研算法或未经充分分析的候选方案。对于中国等地区的自主PQC算法，应等待其完成公开标准化和广泛密码分析后再部署。HQC作为NIST第四轮选定的编码基KEM，提供了格基之外的技术路线多样性，但其标准化仍在进行中，应在FIPS标准发布后再考虑生产部署。

建议五：根据场景选择参数集。 ML-KEM-768和ML-DSA-65是NIST推荐的通用默认参数集（安全等级3，对标AES-192），适用于绝大多数场景。对于国家安全系统和极高安全需求，应使用ML-KEM-1024和ML-DSA-87（安全等级5，对标AES-256），符合CNSA 2.0要求。对于带宽受限场景（如物联网、嵌入式系统），可考虑ML-KEM-512（安全等级1），但需评估其安全裕度是否满足数据保密期要求。Falcon-512提供最小的签名（666字节），适用于带宽极度受限的签名场景，但其实现复杂度和侧信道风险较高，应谨慎使用。SLH-DSA-128s提供最小的签名（7856字节），适用于签名频率低但验证频率高的场景（如根CA签名）。

4.3 工程实现建议

建议六：强制常数时间实现。 所有PQC实现必须采用常数时间编程范式，消除秘密相关的控制流和内存访问。KyberSlash（Bernstein等，2025）和Clangover（Purnal，2024）证明，即使是官方参考实现也可能存在常数时间违规，且编译器优化可能引入源代码中不存在的秘密相关分支。因此，常数时间实现必须包括：（1）源代码级分支无关和内存访问无关；（2）编译器级防护，使用-O0或经过验证的编译选项，或使用Jasmin等可验证常数时间的语言；（3）二进制级验证，使用ctgrind、dudect等工具检测常数时间违规；（4）微架构级考虑，GoFetch（Chen等，2024）证明常量时间代码在存在DMP的CPU上可被微架构侧信道绕过，需关注CPU微架构特征并采取相应防护。

建议七：侧信道防护标准化。 PQC实现的侧信道防护应纳入标准化要求，而非依赖实现者自行决定。具体措施包括：（1）对物理可接触设备（IoT、嵌入式系统、智能卡）强制要求一阶或高阶掩码防护，尽管Carry Your Fault（Kundu等，2024）证明掩码的A2B转换存在故障注入漏洞，掩码仍是对抗功耗/电磁分析的必要手段；（2）对签名算法强制要求签名后验证（sign-then-verify），以防御故障注入攻击，Prest（2024）指出SLH-DSA特别容易受到故障注入攻击，签名后验证是必要防护；（3）建立PQC硬件加速器的侧信道认证方法论，商用IP核（如CAST KiviPQC）应提供公开的TVLA/泄漏检测数据；（4）对CSPRNG实施掩码防护，ML-DSA中掩码随机数的单比特泄漏即可导致密钥恢复，CSPRNG输出的侧信道防护至关重要。

建议八：加强私钥生命周期管理。 PQC私钥体积远大于ECC/RSA（ML-DSA-87私钥4896字节 vs ECC P-256私钥32字节），增加了内存中残留和侧信道泄漏的攻击面。私钥生命周期管理应包括：（1）种子优先存储，ML-KEM、ML-DSA、SLH-DSA均支持从32字节种子确定性扩展私钥，IETF draft-ietf-pquip-pqc-hsm-constrained明确建议在受限设备和HSM中仅存储种子，种子必须与完整私钥获得同等保护；（2）运行时扩展后立即使用，使用后清零，避免私钥在内存中长期驻留；（3）私钥操作应在安全模块（HSM、TPM、TEE）内执行，TPM 2.0 v1.85已支持ML-KEM/ML-DSA命令；（4）注意TEE不能替代物理侧信道防护，NDSS 2024的"Faults in Our Bus"攻击证明地址总线故障可在TrustZone中泄漏掩码Kyber的所有秘密份额。

4.4 迁移部署建议

建议九：制定分阶段迁移路线图。 PQC迁移是一个多年期的系统工程，应按以下阶段推进：（1）发现与盘点阶段（0–6个月）：使用CISA的自动化密码发现与清单（ACDI）工具，全面盘点系统中的密码算法使用情况，识别高风险资产（长保密期数据、长期签名密钥、硬编码算法）；（2）试点部署阶段（6–18个月）：在非关键系统中试点混合PQC（TLS混合密钥交换、双证书PKI），积累性能和兼容性数据；（3）关键系统迁移阶段（18–36个月）：优先迁移保护长保密期数据的系统和根CA/中间CA，启用混合PQC加密和签名；（4）全面部署阶段（36–60个月）：所有新系统默认使用PQC，逐步淘汰纯经典算法；（5）纯PQC过渡阶段（60个月以后）：在CRQC威胁明确后，逐步淘汰经典算法组件，转向纯PQC。美国联邦政府要求2035年前完成迁移，CNSA 2.0要求国家安全系统2031年底前全面强制采用，这些时间表可作为组织迁移规划的参考。

建议十：实施PKI双证书策略。 PKI是PQC迁移的核心基础设施，应采用双证书策略作为过渡方案：（1）终端实体同时持有经典证书（ECDSA P-256）和PQC证书（ML-DSA-65），依赖方根据自身能力选择验证；（2）根CA优先迁移至PQC签名，考虑使用SLH-DSA作为根CA签名算法，因其安全假设最保守且签名频率低；（3）中间CA可使用ML-DSA签名，平衡安全性和性能；（4）证书链应支持混合验证，即经典证书和PQC证书可混合组成证书链；（5）遵循IETF RFC 9881和RFC 9909定义的X.509算法标识符，确保互操作性。对于带宽受限场景，可考虑复合证书将经典和PQC密钥/签名封装在单个证书中，但需注意复合证书的格式标准化仍在进行中。

建议十一：构建算法敏捷性架构。 算法敏捷性是PQC迁移的核心架构原则，应在系统设计中优先考虑：（1）协议层支持算法协商和参数集选择，TLS 1.3已支持混合组协商，SSH、IPsec、S/MIME等协议应跟进；（2）应用层接口抽象密码操作，使用提供者模式（如JCA、PKCS#11、OSS3 provider）避免硬编码算法，OpenSSL 3.0的provider架构已支持PQC算法加载；（3）密钥管理系统支持多算法密钥并存，密钥标识符应包含算法标识；（4）证书和协议消息格式支持扩展，预留算法标识符空间；（5）建立算法安全策略 enforcement 机制，防止降级攻击，明确禁止不安全的算法组合。算法敏捷性的目标是：当新的密码分析结果出现或新的标准发布时，系统能够在数周而非数年内完成算法切换。

5. 未来研究方向

5.1 哈希签名压缩

SLH-DSA的主要劣势是签名过大（7.8KB–49.9KB）和签名速度慢。哈希签名压缩是一个活跃研究方向，旨在减小哈希基签名的大小和提升签名速度。Saarinen（2024）在NIST第五届PQC标准化会议上提出使用单个哈希单元将SLH-DSA加速两个数量级的方法。NIST SP 800-230正在制定SLH-DSA的额外参数集，可能包含更小签名的参数集。此外，有状态哈希签名（LMS、XMSS）虽然需要状态管理，但签名更小、速度更快，在特定场景（如固件签名）中具有优势。研究方向包括：无状态哈希签名的签名压缩技术、批量签名优化、硬件加速架构设计。

5.2 轻量级PQC

物联网和嵌入式设备对PQC的性能和内存需求提出了严峻挑战。ML-KEM-512在Cortex-M0+上完整密钥交换需35.7毫秒，比ECDH P-256慢17倍；SLH-DSA签名在受限设备上可达数十毫秒。轻量级PQC研究方向包括：（1）针对Cortex-M0/M0+等极低资源设备的优化实现，包括汇编级优化和内存压缩技术；（2）RISC-V指令集扩展（Xkyber、Zkne/Zknh）的标准化和侧信道安全性评估，已有研究证明这些扩展可带来40%以上的性能/能耗提升，但其对侧信道攻击面的影响尚未系统研究；（3）轻量级PQC协议设计，如压缩握手消息、减少往返次数；（4）PQC与轻量级密码协议（如DTLS、CoAP、OSCORE）的集成优化。

5.3 PQC与ZKP/FHE组合

后量子密码与其他高级密码原语的组合是新兴研究方向。零知识证明（ZKP）和全同态加密（FHE）通常基于格问题，与PQC共享数学基础，但参数需求和安全模型存在差异。研究方向包括：（1）PQC签名与ZKP的组合，如基于ML-DSA的匿名凭证和群签名；（2）PQC KEM与FHE的组合，如基于ML-KEM的全同态加密密钥交换和安全计算协议；（3）PQC与后量子安全传输层协议的集成，如PQC-TLS与后量子安全VPN；（4）格基密码在ZKP和FHE中的参数优化，Chua等（2024）关于小秘密LWE具体安全性的研究对FHE部署具有直接警示意义。

5.4 安全测评标准

PQC实现的安全测评标准仍不完善。FIPS 140-3对PQC的物理安全要求尚不明确，商用PQC IP核缺乏公开的侧信道认证数据。研究方向包括：（1）建立针对格基密码硬件的TVLA/泄漏检测标准流程，覆盖功耗、电磁和故障注入三个维度；（2）PQC算法的侧信道防护等级认证体系，定义不同安全等级对应的防护要求和测试方法；（3）PQC实现的形式化验证方法论，Almeida等已在EasyCrypt中给出ML-KEM的IND-CCA安全机器检查证明，应扩展至ML-DSA、SLH-DSA和Falcon，并覆盖侧信道防护实现；（4）PQC算法的一致性测试和互操作性测试标准，ISO/IEC 18367正在修订以纳入PQC。

5.5 治理与经济学

PQC迁移不仅是技术问题，还涉及治理和经济学。研究方向包括：（1）PQC迁移的成本效益分析，Blanco-Romero等（2026）将HNDL重构为经济问题，量化了TLS 1.2/1.3、QUIC、SSH中的对抗成本，证明保留截获流量在经济上微不足道；（2）政府政策对迁移速度的影响，NSM-10、CNSA 2.0等政策文件为联邦系统设定了硬性迁移时间表，其执行效果和经济影响需要系统评估；（3）PQC算法的知识产权和标准必要专利（SEP）问题，格基密码领域存在大量专利，标准化过程中的FRAND承诺和专利池建设需要研究；（4）国际合作与技术主权，中国、欧盟、美国在PQC标准化上的协调与竞争，以及自主可控算法与国际标准的关系。

6. 结论

后量子密码已从标准化阶段进入大规模部署阶段。NIST FIPS 203/204/205于2024年8月13日正式批准，X25519MLKEM768已通过RFC 10024标准化，主流浏览器和CDN已默认启用混合PQC密钥交换。然而，PQC的落地仍面临四大关键挑战：安全模型上，HNDL威胁要求从"攻击时安全"转向"保密期内安全"，混合密码模式是核心过渡策略；密码分析上，格基假设集中风险和BKZ改进持续压缩安全裕度，SIDH和Rainbow的破解警示非标准算法的重大风险；工程实现上，侧信道攻击（KyberSlash、GoFetch、Carry Your Fault等）反复证明数学安全性不等于实现安全性，常数时间和掩码防护存在固有局限；迁移部署上，PKI双证书、TLS中间盒兼容和算法敏捷性构成复杂的系统工程。

本文基于文献证据提出四条关键建议：全面采用混合密码模式并优先保护长保密期数据；以格基算法为主、哈希签名保底，避免单一假设依赖，谨慎对待非标准算法；强制常数时间实现与侧信道防护标准化，加强私钥生命周期管理；制定分阶段迁移路线图，实施PKI双证书策略与算法敏捷性架构。这些建议旨在为组织的PQC迁移提供具体可操作的指导。

未来研究应聚焦哈希签名压缩、轻量级PQC、PQC与ZKP/FHE组合、安全测评标准以及治理与经济学等方向。PQC迁移是一个持续多年的系统工程，需要密码学界、产业界和政府的协同努力。随着量子计算的持续发展和PQC部署的深入推进，后量子安全将成为数字基础设施的基础属性，而非可选的增强功能。

参考文献

Alagic, G., Apon, D., Cooper, D., Dang, Q., Dang, T., Kelsey, J., Lichtinger, J., Liu, Y.-K., Miller, C., Moody, D., Peralta, R., Perlner, R., Robinson, A., & Smith-Tone, D. (2022). Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process. NIST IR 8413. 741K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3K9i4u0Q4x3V1j5J5x3o6t1J5i4K6u0r3e0V1W2e0g2q4)9J5k6f1W2d9i4K6u0W2z5o6b7I4x3#2)9J5k6i4m8V1k6R3`.`.

Almeida, J. B., Arranz Olmos, S., Barbosa, M., Quaresma, M., Schwabe, P., Strub, P.-Y., Barthe, G., Dupressoir, F., Grégoire, B., Laporte, V., Lécuchet, J.-C., Low, C., Oliveira, T., & Pacheco, H. Formally Verifying Kyber – Episode V: Machine-checked IND-CCA security and correctness of ML-KEM in EasyCrypt. Radboud Repository. fbeK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6J5k6i4m8G2M7$3W2@1L8%4u0&6i4K6u0W2N6h3u0F1i4K6u0W2M7Y4g2Q4x3X3g2F1L8q4)9J5c8X3u0A6N6s2y4@1M7X3g2S2L8g2)9J5c8X3S2S2L8X3c8D9k6g2)9J5c8U0t1H3y4U0k6Q4x3V1j5K6x3e0l9&6x3o6N6Q4x3V1j5K6x3e0l9&6x3o6N6Q4x3X3g2H3k6r3j5`.

Barbosa, M., Connolly, D., Duarte, J. D., Kaiser, A., Schwabe, P., Varner, K., & Westerbaan, B. X-Wing: The Hybrid KEM You've Been Looking For. IACR ePrint / Radboud Repository. 4c0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6J5k6i4m8G2M7$3W2@1L8%4u0&6i4K6u0W2N6h3u0F1i4K6u0W2M7Y4g2Q4x3X3g2F1L8q4)9J5c8X3u0A6N6s2y4@1M7X3g2S2L8g2)9J5c8X3S2S2L8X3c8D9k6g2)9J5c8U0t1H3y4U0k6Q4x3V1j5K6x3o6j5J5y4K6y4Q4x3V1j5K6x3o6j5J5y4K6y4Q4x3X3g2H3k6r3j5`.

Beullens, W. (2022). Breaking Rainbow Takes a Weekend on a Laptop. In Proceedings of the 2022 ACM SIGSAC Conference on Computer and Communications Security (CCS). fe0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6J5k6i4y4W2j5i4u0U0K9q4)9J5k6h3W2T1L8g2)9J5k6h3y4G2L8g2)9J5c8Y4m8#2j5X3I4A6j5$3q4@1K9h3!0F1M7#2)9J5c8X3u0J5k6h3q4C8K9h3&6Y4i4K6u0V1M7X3q4A6L8X3u0G2N6#2)9J5k6s2c8S2K9$3g2K6i4K6u0V1j5g2)9J5k6s2N6W2k6h3E0W2L8X3c8Q4x3X3c8G2L8W2)9J5k6r3q4Q4x3X3c8D9j5i4m8@1L8%4l9`.

Bernstein, D. J. (2022). Multi-ciphertext security degradation for lattices. IACR ePrint 2022/1580. dd0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6W2M7s2u0A6L8Y4c8Q4x3X3g2A6j5h3y4J5i4K6u0W2L8%4u0Y4i4K6u0r3x3U0l9J5x3W2)9J5c8U0p5#2z5o6m8Q4x3X3g2H3k6r3j5`.

Bernstein, D. J., Bhargavan, K., Bhasin, S., Chattopadhyay, A., Chia, T. K., Kannwischer, M. J., Kiefer, F., Paiva, T. B., Ravi, P., Paul, G., et al. (2025). KyberSlash: Exploiting secret-dependent division timings in Kyber implementations. IACR Transactions on Cryptographic Hardware and Embedded Systems (TCHES). 3acK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6C8j5h3&6F1N6$3W2K6j5$3S2W2M7W2)9J5k6h3g2#2i4K6u0r3M7r3q4H3k6i4u0K6i4K6u0r3x3U0l9J5y4q4)9#2k6X3E0&6j5X3g2J5M7$3I4S2M7$3S2Q4y4h3k6H3M7X3g2H3M7X3W2F1N6o6t1H3x3U0b7H3y4U0t1^5i4K6u0W2M7r3c8X3

Blanchet, B., & Jacomme, C. (2024). Post-quantum sound CryptoVerif and verification of hybrid TLS and SSH key-exchanges. In Proceedings of the 37th IEEE Computer Security Foundations Symposium (CSF). 3c1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6L8Y4u0A6j5g2)9J5k6h3S2S2L8q4)9J5k6i4y4U0K9h3g2F1j5$3g2Q4x3V1k6Z5j5h3I4Q4x3X3b7H3y4o6f1%4y4K6V1I4x3W2)9J5c8X3k6A6L8r3g2Q4x3V1k6E0j5h3W2F1i4K6u0W2M7r3c8X3

Castryck, W., & Decru, T. (2023). An efficient key recovery attack on SIDH. In Advances in Cryptology — EUROCRYPT 2023 (LNCS 14007). Springer. 3caK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6j5g2)9J5k6h3y4J5i4K6u0r3x3U0l9J5x3W2)9J5c8U0V1%4y4b7`.`.

Celi, S., Hoyland, J., Stebila, D., & Wiggers, T. (2022). A Tale of Two Models: Formal Verification of KEMTLS via Tamarin. In Computer Security — ESORICS 2022 (LNCS 13555, pp. 75–95). Springer. 427K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9K9h3&6C8i4K6u0W2M7%4m8J5K9h3&6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3&6@1k6h3&6@1i4K6u0r3M7r3c8X3i4K6u0r3x3e0m8Q4x3X3f1I4x3o6l9%4i4K6u0r3z5e0M7^5i4K6u0V1x3#2)9J5k6o6l9K6x3g2)9J5k6o6p5%4x3e0b7K6i4K6u0V1y4#2)9#2k6U0c8Q4x3X3g2H3k6r3j5`.

Chen, B., Wang, Y., Shome, P., Fletcher, C. W., Kohlbrenner, D., Paccagnella, R., & Genkin, D. (2024). GoFetch: Breaking Constant-Time Cryptographic Implementations Using Data Memory-Dependent Prefetchers. In Proceedings of the 33rd USENIX Security Symposium. a84K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2#2M7$3g2F1K9i4S2Q4x3X3g2G2M7X3N6Q4x3V1k6K6P5i4y4@1k6h3#2Q4x3V1k6X3K9h3I4W2M7#2)9J5c8Y4y4W2j5K6t1@1k6X3q4D9L8q4)9J5k6s2m8J5k6i4m8#2j5W2)9J5k6o6p5J5z5e0N6Q4x3X3c8U0K9r3g2F1i4K6u0V1j5X3!0J5N6g2)9J5k6i4m8V1k6R3`.`.

Chua, L., Chen, H., Song, Y., & Lauter, K. (2024). On the Concrete Security of LWE With Small Secret. La Matematica, 3(2). Springer. d3bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9K9h3&6C8i4K6u0W2M7%4m8J5K9h3&6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3&6@1k6h3&6@1i4K6u0r3M7r3c8X3i4K6u0r3x3e0m8Q4x3X3f1I4x3o6l9%4i4K6u0r3M7K6b7@1x3o6l9%4i4K6u0V1x3o6t1@1i4K6u0V1x3o6l9I4x3e0q4Q4x3X3b7K6i4K6u0W2M7r3c8X3

Cremers, C., Düzlü, S., Fiedler, R., Fischlin, M., & Janson, C. (2021). BUFFing signature schemes beyond unforgeability and the case of post-quantum signatures. In Proceedings of the 2021 IEEE Symposium on Security and Privacy (S&P). bb5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7#2)9J5k6h3!0^5i4K6u0W2j5h3y4Q4x3X3g2#2K9#2)9J5c8Y4m8W2L8%4m8D9k6g2)9J5c8V1y4S2M7#2)9J5k6f1y4J5k6h3#2W2M7Y4y4Q4x3V1k6V1L8%4N6F1L8r3!0S2k6s2y4Q4x3V1k6H3j5i4m8W2M7Y4y4Q4x3V1k6n7g2f1k6r3K9h3&6Y4i4K6u0V1M7$3W2Y4L8X3q4@1N6i4u0W2M7#2)9J5k6q4y4b7x3U0l9J5x3g2)9J5k6i4m8V1k6R3`.`.

D'Anvers, J.-P., & Batsleer, S. (2022). Multitarget Decryption Failure Attacks and Their Application to Saber and Kyber. In Topics in Cryptology — CT-RSA 2022 (LNCS 13161, pp. 3–25). Springer. 463K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9K9h3&6C8i4K6u0W2M7%4m8J5K9h3&6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3&6@1k6h3&6@1i4K6u0r3M7r3c8X3i4K6u0r3x3e0m8Q4x3X3f1I4x3o6l9%4i4K6u0r3z5e0M7^5i4K6u0V1x3#2)9J5k6o6l9K6x3q4)9J5k6o6V1%4x3e0t1I4i4K6u0V1x3W2)9#2k6U0q4Q4x3X3g2H3k6r3j5`.

De Boer, K., & Van Woerden, W. (2025). Lattice-based Cryptography: A survey on the security of the lattice-based NIST finalists. IACR ePrint 2025/304. f05K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6W2M7s2u0A6L8Y4c8Q4x3X3g2A6j5h3y4J5i4K6u0W2L8%4u0Y4i4K6u0r3x3U0l9J5y4g2)9J5c8U0x3H3y4q4)9J5k6i4m8V1k6R3`.`.

Espitau, T., et al. (2023). Improved Power Analysis Attacks on Falcon. In Cryptographic Hardware and Embedded Systems — CHES 2023 (LNCS). Springer. 720K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8q4)9J5k6h3q4U0L8g2)9J5k6h3!0J5k6#2)9J5c8X3c8G2K9g2)9J5c8X3q4T1M7#2)9J5c8U0p5H3i4K6u0W2x3e0l9H3y4#2)9J5c8U0V1%4z5q4)9J5k6o6y4Q4x3X3b7H3x3K6q4Q4x3X3b7K6x3o6j5K6y4q4)9J5k6o6q4Q4y4h3j5I4z5b7`.`.

Federal Register (2024). Announcing Issuance of FIPS 203, FIPS 204, and FIPS 205. Document 2024-17956. 6b8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3k6h3c8W2M7X3q4D9M7X3g2Y4K9i4y4@1k6i4u0Q4x3X3g2Y4L8%4k6Q4x3V1k6V1L8$3y4#2L8h3g2F1N6s2y4Q4x3V1j5J5x3o6t1@1i4K6u0r3x3o6S2Q4x3V1j5I4y4q4)9J5c8U0t1H3x3U0c8Q4x3X3b7I4y4K6V1#2y4W2)9J5c8X3q4F1L8X3!0#2L8X3y4A6L8X3N6Q4x3X3c8A6M7%4y4#2j5h3&6U0k6g2)9J5k6r3!0X3i4K6u0V1k6X3g2V1k6i4u0S2L8q4)9J5k6r3W2F1k6X3!0J5L8h3q4@1K9h3!0F1i4K6u0V1M7s2u0G2j5$3g2K6M7$3W2F1k6#2)9J5k6s2y4@1j5h3&6V1j5i4u0V1M7#2)9J5k6r3k6A6M7s2y4Q4x3X3c8X3K9i4m8K6i4K6u0V1x3U0l9K6i4K6u0V1L8h3!0V1N6h3I4W2i4K6u0V1L8r3q4@1N6r3W2U0k6g2)9J5k6r3u0S2M7$3g2V1

Gidney, C. (2025). How to factor 2048 bit RSA integers with less than a million noisy qubits. arXiv:2505.15917. Google Quantum AI. e74K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4S2A6N6W2)9J5k6h3!0J5k6#2)9J5c8Y4m8V1k6W2)9J5c8U0t1#2x3o6g2Q4x3X3f1I4y4e0V1I4y4H3`.`.

Heinz, B., et al. (2023). First-Order Masked Kyber on ARM Cortex-M4. NIST PQC Seminar / Report. ff9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7Y4W2H3N6r3!0K6K9i4c8Z5i4K6u0W2L8%4u0Y4i4K6u0r3M7r3q4H3k6i4u0K6i4K6u0r3L8h3q4K6K9$3g2V1K9%4W2T1k6i4u0Q4x3X3b7J5x3o6t1K6x3e0t1I4x3g2)9J5k6i4m8V1k6R3`.`.

IETF (2025). RFC 9881: Internet X.509 Public Key Infrastructure — Algorithm Identifiers for ML-DSA. a38K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2J5k6X3y4Q4x3X3c8W2k6r3W2@1L8%4u0Q4x3X3g2G2M7X3N6Q4x3V1k6J5k6X3y4Q4x3V1k6J5k6X3x3&6z5o6R3I4i4K6u0W2K9s2c8E0L8l9`.`.

IETF (2025). RFC 9909: Internet X.509 Public Key Infrastructure — Algorithm Identifiers for SLH-DSA. fddK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2J5k6X3y4Q4x3X3c8W2k6r3W2@1L8%4u0Q4x3X3g2G2M7X3N6Q4x3V1k6J5k6X3y4Q4x3V1k6J5k6X3x3&6z5e0l9&6i4K6u0W2K9s2c8E0L8l9`.`.

IETF (2026). Adapting Constrained Devices for Post-Quantum Cryptography. draft-ietf-pquip-pqc-hsm-constrained. 57aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1j5i4c8S2N6s2u0S2j5$3E0W2M7W2)9J5k6h3W2W2N6r3k6Q4x3X3g2G2M7X3N6Q4x3V1k6V1L8$3y4Q4x3V1k6V1M7X3q4X3N6q4)9J5k6r3W2W2N6r3k6Q4x3X3c8H3M7i4g2A6M7q4)9J5k6s2m8I4j5#2)9J5k6r3S2K6L8g2)9J5k6r3y4G2L8Y4y4@1M7X3q4A6L8X3g2V1i4K6u0r3

Islam, S., Mus, K., Singh, R., Schaumont, P., & Sunar, B. (2022). Signature Correction Attack on Dilithium Signature Scheme. arXiv:2203.00637. 809K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4S2A6N6W2)9J5k6h3y4G2L8g2)9J5c8Y4m8V1k6W2)9J5c8U0t1J5x3o6y4Q4x3X3f1H3x3o6j5K6y4H3`.`.

Jaques, S., Naehrig, M., Roetteler, M., & Virdia, F. (2020). Implementing Grover Oracles for Quantum Key Search on AES and LowMC. In Advances in Cryptology — EUROCRYPT 2020 (LNCS 12105, pp. 280–310). Springer. a24K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9K9h3&6C8i4K6u0W2M7%4m8J5K9h3&6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3&6@1k6h3&6@1i4K6u0r3M7r3c8X3i4K6u0r3x3e0m8Q4x3X3f1I4x3o6l9%4i4K6u0r3z5e0M7^5i4K6u0V1x3#2)9J5k6o6l9K6x3q4)9J5k6o6b7#2y4K6t1@1i4K6u0V1x3W2)9#2k6U0p5H3i4K6u0W2M7r3c8X3

Joseph, D., Misoczki, R., Manzano, M., Tricot, J., Dominguez Pinuaga, F., Lacombe, O., Leichenauer, S., Hidary, J., Venables, P., & Hansen, R. (2022). Transitioning organizations to post-quantum cryptography. Nature, 605(7910), 465–472. 10bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6L8X3k6G2i4K6u0W2M7i4g2A6L8Y4c8W2M7%4y4W2L8X3y4W2L8r3q4T1M7#2)9J5k6h3y4G2L8g2)9J5c8X3S2#2j5X3k6K6i4K6u0r3x3U0l9J5x3W2)9J5k6o6l9#2i4K6u0V1x3e0q4Q4y4h3k6z5j5i4c8#2M7X3g2Q4y4h3k6f1M7X3q4F1M7$3W2@1K9h3!0F1K9h3&6Y4i4K6t1#2x3U0m8G2M7X3N6S2L8X3W2*7j5i4c8A6L8$3&6K6i4K6t1#2x3U0m8@1L8#2)9J5y4e0t1H3M7r3!0K6N6q4)9J5k6s2q4#2j5h3&6@1N6h3#2Q4x3U0f1J5x3r3y4J5P5i4m8@1L8$3N6J5j5i4m8Z5P5g2)9J5y4e0t1H3i4K6t1^5x3g2)9J5z5g2)9J5k6i4m8V1k6R3`.`.

Kannwischer, M. J., et al. (2022). Faster Kyber and Dilithium on the Cortex-M4. IACR Cryptology ePrint Archive. b12K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6C8j5h3&6F1N6$3W2K6j5$3S2W2M7W2)9J5k6h3g2#2i4K6u0r3M7r3q4H3k6i4u0K6i4K6u0r3x3U0l9J5x3W2)9#2k6X3k6S2M7%4c8W2M7X3E0&6j5X3g2J5k6r3W2D9K9i4c8Z5K9i4g2E0L8e0c8Q4x3X3g2H3k6r3j5`.

Kundu, S., Chowdhury, S., Saha, S., Karmakar, A., Mukhopadhyay, D., & Verbauwhede, I. (2024). Carry Your Fault: A Fault Propagation Attack on Side-Channel Protected LWE-based KEM. IACR Transactions on Cryptographic Hardware and Embedded Systems (TCHES), 2024(2), 844–869. 2c2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4S2A6N6W2)9J5k6h3!0J5k6#2)9J5c8X3q4T1M7#2)9J5c8U0t1@1x3o6q4Q4x3X3f1I4y4o6l9&6z5l9`.`.

Kwiatkowski, K., Kampanakis, P., Westerbaan, B. E., & Stebila, D. (2025). Post-Quantum Traditional (PQ/T) Hybrid Key Agreement Mechanisms for TLS 1.3. RFC 10024. IETF. 4c4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3N6s2m8Q4x3X3g2J5K9i4m8W2i4K6u0W2L8X3g2@1i4K6u0r3M7X3k6U0i4K6u0r3M7X3k6U0x3e0l9H3x3U0c8Q4x3X3g2H3k6r3j5`.

Lombardi, A., Mook, E., Quach, W., & Wichs, D. (2022). Post-Quantum Insecurity from LWE. In Theory of Cryptography — TCC 2022 (LNCS 13747, pp. 514–543). Springer. 39cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6j5h3y4J5i4K6u0W2L8%4u0Y4i4K6u0r3j5i4u0U0K9r3W2$3k6g2)9J5c8Y4c8U0j5K6t1H3x3U0u0Q4x3V1j5I4x3K6M7@1y4K6l9I4y4o6m8Q4x3V1j5I4x3K6M7@1y4K6l9I4y4o6m8Q4x3X3g2H3k6r3j5`.

Mascelli, J., & Rodden, M. (2025). "Harvest Now Decrypt Later": Examining Post-Quantum Cryptography and the Data Privacy Risks for Distributed Ledger Networks. Finance and Economics Discussion Series 2025-093. Federal Reserve Board of Governors. af6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3k6h3c8W2M7X3q4D9M7X3g2K6k6i4u0$3k6g2)9J5k6h3N6G2N6W2)9J5c8X3g2U0L8$3&6J5k6i4y4Q4x3V1k6X3k6h3c8K6i4K6u0r3k6X3W2D9k6i4y4Q4x3V1j5J5x3o6t1#2x3o6V1K6M7r3q4H3i4K6u0W2M7r3c8X3

National Institute of Standards and Technology (2016). Report on Post-Quantum Cryptography. NIST IR 8105. cc3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3K9i4u0Q4x3V1j5J5x3o6p5$3i4K6u0r3e0V1W2e0g2q4)9J5k6f1W2d9i4K6u0W2z5o6p5H3y4g2)9J5k6i4m8V1k6R3`.`.

National Institute of Standards and Technology (2020). Status Report on the Second Round of the NIST Post-Quantum Cryptography Standardization Process. NIST IR 8309. 4d8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3K9i4u0Q4x3V1j5J5x3o6t1H3i4K6u0r3e0V1W2e0g2q4)9J5k6f1W2d9i4K6u0W2z5o6x3H3z5g2)9J5k6i4m8V1k6R3`.`.

National Institute of Standards and Technology (2024). Module-Lattice-Based Key-Encapsulation Mechanism Standard (FIPS 203). U.S. Department of Commerce. ad3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3k6X3W2H3M7#2)9J5c8X3&6A6M7%4c8Q4x3X3g2X3K9i4m8K6i4K6u0W2x3U0l9K6i4K6u0W2M7r3c8X3

National Institute of Standards and Technology (2024). Module-Lattice-Based Digital Signature Standard (FIPS 204). U.S. Department of Commerce. ab1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3c8V1W2b7f1#2)9J5c8V1&6u0f1#2c8Q4x3X3g2r3d9g2m8e0i4K6u0W2x3U0l9@1i4K6u0W2M7r3c8X3

National Institute of Standards and Technology (2024). Stateless Hash-Based Digital Signature Standard (FIPS 205). U.S. Department of Commerce. 10bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3c8V1W2b7f1#2)9J5c8V1&6u0f1#2c8Q4x3X3g2r3d9g2m8e0i4K6u0W2x3U0l9#2i4K6u0W2M7r3c8X3

National Institute of Standards and Technology (2025). Status Report on the Fourth Round of the NIST Post-Quantum Cryptography Standardization Process. NIST IR 8545. c66K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3I4H3N6h3u0K6i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3&6A6M7%4c8H3N6h3u0K6i4K6u0r3K9i4u0Q4x3V1j5J5x3o6t1#2i4K6u0r3e0V1W2e0g2q4)9J5k6f1W2d9i4K6u0W2z5o6f1@1y4g2)9J5k6i4m8V1k6R3`.`.

Ngo, et al. (2024). Single-Trace Side-Channel Attacks on CRYSTALS-Dilithium: Myth or Reality? In NIST Fifth PQC Standardization Conference. 1c3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7%4u0U0i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3y4K6M7X3y4Q4x3V1k6E0k6h3c8A6j5g2)9J5c8V1g2$3k6h3&6@1M7#2)9J5c8U0t1H3x3U0c8Q4x3V1k6X3K9h3k6@1K9q4)9J5k6s2m8I4j5#2)9J5k6s2y4@1j5h3&6V1j5i4u0V1K9i4A6S2N6r3W2G2L8W2)9J5k6r3y4G2L8X3k6W2M7X3g2F1j5$3g2Q4x3V1k6V1L8$3y4#2L8h3g2F1N6s2y4Q4x3V1k6H3j5i4m8W2M7Y4y4Q4x3V1k6K6K9h3&6Y4L8r3g2Q4x3X3c8@1M7X3q4U0k6g2)9J5k6s2y4A6k6r3g2Q4x3X3c8U0K9r3q4F1L8X3g2D9i4K6u0V1j5i4c8@1j5h3y4C8M7#2)9J5k6i4m8V1k6R3`.`.

Parker, E., & Vermeer, M. J. D. (2023). Estimating the Energy Requirements to Operate a Cryptanalytically Relevant Quantum Computer. arXiv:2304.14344. 660K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4S2A6N6W2)9J5k6h3!0J5k6#2)9J5c8Y4m8V1k6W2)9J5c8U0t1K6x3o6c8Q4x3X3f1I4y4o6x3@1y4l9`.`.

Pornin, T., et al. (Falcon Team). Falcon: Fast-Fourier Lattice-Based Compact Signatures over NTRU. Official specification. 555K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3j5h3I4U0L8$3&6Q4x3X3c8K6K9h3N6F1i4K6u0W2K9h3&6X3L8#2)9J5c8R3`.`.

Prest, T. (2024). Attacking and Protecting SLH-DSA against Fault Injections. In IHP / Fault Diagnosis and Tolerance in Cryptography (FDTC). dc9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1M7s2u0W2M7%4c8Q4x3X3g2Y4K9i4c8Z5N6h3u0Q4x3X3g2A6L8#2)9J5c8Y4m8V1k6W2)9J5c8Y4y4D9K9h3c8W2M7#2)9J5c8X3k6S2N6h3I4@1i4K6u0V1K9h3S2H3i4K6u0V1x3U0l9J5y4q4)9J5k6i4m8V1k6R3`.`.

Purnal, A. (2024). Clangover: Compiler-introduced timing side channel in Kyber. Technical disclosure (对应CVE-2024-37880 / CVE-2024-36405). a2dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1N6X3c8Q4x3X3g2F1K9i4y4@1i4K6u0W2k6$3!0$3i4K6u0r3N6Y4g2D9L8W2)9J5c8X3c8W2N6r3q4A6L8q4)9J5c8V1y4h3c8g2)9J5k6o6t1H3x3U0c8Q4x3X3b7K6y4K6R3^5x3l9`.`.

Purnal, A., Wouters, L., & Verbauwhede, I. (2022). FALCON Down: Breaking FALCON Post-Quantum Signature Scheme through Side-Channel Attacks. In NIST Fourth PQC Standardization Conference / IACR TCHES. 0faK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7%4u0U0i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3y4K6M7X3y4Q4x3V1k6E0k6h3c8A6j5g2)9J5c8V1g2$3k6h3&6@1M7#2)9J5c8U0t1H3x3U0u0Q4x3V1k6X3L8%4g2J5N6r3S2Q4x3X3c8H3M7h3y4Q4x3X3c8K6N6r3q4F1k6r3q4J5k6r3W2*7j5i4c8A6L8$3&6Q4x3X3c8U0L8$3&6X3k6i4u0W2L8X3y4W2i4K6u0r3k6r3!0U0N6h3#2W2L8Y4c8K6i4K6u0r3M7r3q4H3k6i4u0K6i4K6u0r3k6X3q4D9j5$3!0F1i4K6u0V1k6r3!0%4L8W2)9J5k6s2m8I4j5K6t1H3x3U0u0Q4x3X3g2H3k6r3j5`.

Ravi, P., Yang, B., Bhasin, S., Zhang, F., & Chattopadhyay, A. (2023). Fiddling the Twiddle Constants - Fault Injection Analysis of the Number Theoretic Transform. IACR Transactions on Cryptographic Hardware and Embedded Systems (TCHES), 2023(2). e6bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1K9i4y4U0L8%4k6W2M7Y4W2Q4x3X3g2J5k6i4y4W2j5i4u0U0K9r3g2J5i4K6u0W2L8r3W2X3k6g2)9J5c8X3c8G2N6$3&6D9L8$3q4V1i4K6u0r3j5i4u0@1K9h3y4D9k6g2)9J5c8X3p5%4z5e0p5^5y4$3j5%4j5$3y4U0y4o6x3^5x3$3f1&6y4K6M7^5k6U0p5K6k6e0x3H3y4o6u0T1z5r3b7^5i4K6u0r3k6Y4g2D9L8q4)9J5k6s2c8W2P5s2b7`.

Saarinen, M.-J. O. (2024). Accelerating SLH-DSA by Two Orders of Magnitude with a Single Hash Unit. In NIST Fifth PQC Standardization Conference. 927K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7%4u0U0i4K6u0W2L8X3W2K6N6q4)9J5k6h3N6G2N6W2)9J5c8X3y4K6M7X3y4Q4x3V1k6E0k6h3c8A6j5g2)9J5c8V1g2$3k6h3&6@1M7#2)9J5c8U0t1H3x3U0c8Q4x3V1k6X3K9h3k6@1K9q4)9J5k6s2m8I4j5#2)9J5k6s2y4@1j5h3&6V1j5i4u0V1K9i4A6S2N6r3W2G2L8W2)9J5k6r3y4G2L8X3k6W2M7X3g2F1j5$3g2Q4x3V1k6V1L8$3y4#2L8h3g2F1N6s2y4Q4x3V1k6H3j5i4m8W2M7Y4y4Q4x3V1k6S2j5$3y4W2L8r3g2J5j5i4c8A6L8X3N6Q4x3X3c8K6L8r3S2Q4x3X3c8V1M7$3q4Q4x3X3g2H3k6r3j5`.

SHIFT SNARE (2025). Uncovering Secret Keys in FALCON via Single-Trace Analysis. arXiv:2504.00320. 54dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4S2A6N6W2)9J5k6h3!0J5k6#2)9J5c8Y4m8V1k6W2)9J5c8U0t1#2x3o6c8Q4x3X3f1H3x3o6x3J5x3s2j5J5

Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring. In Proceedings of the 35th Annual Symposium on Foundations of Computer Science (FOCS), pp. 124–134. IEEE.

Trusted Computing Group (2026). TPM 2.0 Library Specification v1.85 (PQC Support). 030K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1M7Y4g2K6N6r3g2V1j5$3!0E0M7s2g2@1K9h3&6Y4k6%4u0G2N6i4m8Q4x3X3g2G2M7X3N6Q4x3V1k6A6M7#2)9J5k6s2W2G2N6i4u0Q4x3X3c8@1M7r3#2Q4x3X3c8@1M7Y4g2D9P5g2)9J5k6s2m8I4j5#2)9J5k6s2u0W2j5h3c8&6i4K6u0r3

Zhao, Z., & Ding, J. (2023). Practical Improvements on BKZ Algorithm. In Information Security and Privacy — ACISP 2023 (LNCS 13942, pp. 369–388). Springer. d76K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9K9h3&6C8i4K6u0W2M7%4m8J5K9h3&6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3&6@1k6h3&6@1i4K6u0r3M7r3c8X3i4K6u0r3x3e0m8Q4x3X3f1I4x3o6l9%4i4K6u0r3z5e0M7^5i4K6u0V1x3#2)9J5k6o6l9K6x3g2)9J5k6o6x3@1y4U0M7I4i4K6u0V1x3W2)9#2k6U0p5&6i4K6u0W2M7r3c8X3

论文完成日期：2026年8月18日
文献检索截止：2026年8月

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！