什麼是後量子密碼
以一般認為量子電腦也無法有效率解出的數學問題（格問題、雜湊函數等）作為安全性根據的密碼。在傳統電腦上運作，用來取代會被 Shor 演算法破解的 RSA 與橢圓曲線密碼。
日文名稱: 耐量子計算機暗号
「後量子密碼」出現在1領域的2道練習題中（量子電腦硬體等）。
這個名詞所屬的領域: 量子電腦硬體
為什麼需要
目前廣泛使用的 RSA 與橢圓曲線密碼，若有大規模容錯量子電腦，就會被 Shor 演算法破解。這樣的量子電腦尚未出現，但存在「先收集、後解密」的風險，也就是現在被記錄的密文將來被解密，而且替換密碼需要很多年。因此必須在量子電腦實現之前就開始遷移。
主要方式與標準
美國 NIST 在 2024 年公布了以格為基礎的金鑰封裝機制 ML-KEM（FIPS 203）、以格為基礎的簽章方式 ML-DSA（FIPS 204），以及以雜湊函數為基礎的簽章方式 SLH-DSA（FIPS 205）等標準。這些方式的金鑰與簽章比以往大，例如 ML-KEM-768 的公開金鑰為 1,184 位元組，遠大於橢圓曲線金鑰交換 X25519 的 32 位元組。ML-DSA-65 的簽章也有 3,309 位元組。
硬體與遷移
由於金鑰與簽章較大，計算的性質也不同，因此要一面確認對記憶體少的嵌入式設備與 IC 卡、通訊協定封包大小等的影響，一面進行遷移。格密碼以數論轉換（NTT）加速多項式乘法，以專用電路加速的方式也正在研究中。實作時也需要防範從功耗或處理時間洩漏秘密資訊的旁路攻擊。目前是以結合傳統密碼的混合方式逐步遷移，並重視讓密碼日後容易替換的設計（密碼敏捷性）。
練習後量子密碼的題目
關於後量子密碼（PQC），下列敘述何者正確？
- A在傳統電腦上運作，並以一般認為量子電腦也無法有效率解出的數學問題（如格問題）作為安全性根據的密碼
- B不使用量子電腦就無法加密或解密的密碼
- C只是把 RSA 的金鑰長度加倍的密碼
在大規模量子電腦尚未實現的階段，就要加緊遷移到後量子密碼，最適當的理由為下列何者？
- A2020 年代中期的量子電腦已經在日常地破解 RSA-2048
- B改用後量子密碼後，通訊速度一定會變快
- C現在被竊聽並保存的密文，可能在未來被量子電腦解密（先收集、後解密），而且密碼的遷移需要很多年
查看答案與解析
正確答案：C. 現在被竊聽並保存的密文，可能在未來被量子電腦解密（先收集、後解密），而且密碼的遷移需要很多年
攻擊者可以現在先記錄加密的通訊，等將來量子電腦實用化時，破解金鑰交換並讀取內容。因此，需要長期保密的資訊，必須在量子電腦實現之前就以後量子密碼保護。此外，密碼已內建於作業系統、瀏覽器、網路設備、IC 卡，以及嵌入式設備的韌體與硬體中，要全部替換需要很多年。目前採取結合傳統密碼與後量子密碼的混合方式，逐步進行遷移。
常見問題
與量子金鑰分發（QKD）有什麼不同？
後量子密碼是以數學問題的困難度為基礎的密碼，在一般的電腦與網路上運作。量子金鑰分發則是利用光子等的量子性質共享金鑰的技術，需要專用的光通訊設備。兩者是不同的技術，替換的核心是後量子密碼。
AES 等對稱式加密也需要替換嗎？
對於對稱式加密，只有 Grover 演算法帶來的平方加速，因此一般認為不需要更換方式，只要金鑰夠長就能應對。例如使用 AES-256，即使面對量子電腦也能保持足夠的安全性。
解析中的「後量子密碼」
後量子密碼以格問題、雜湊函數等為基礎，取代會被 Shor 演算法解出的質因數分解與離散對數問題，並且可直接在現有的電腦與網路設備上運作。
關於後量子密碼（PQC），下列敘述何者正確？因此，需要長期保密的資訊，必須在量子電腦實現之前就以後量子密碼保護。
在大規模量子電腦尚未實現的階段，就要加緊遷移到後量子密碼，最適當的理由為下列何者？