GAUGE: A Formal Framework for Measuring Cryptographic Security under Heterogeneous Adversary Cost Models

在数字世界中，我们秘密的安全依赖于那些极难破解的数学锁。几十年来，专家们一直试图用一个单一的数字来衡量这些锁的强度，这个数字通常以一定的“比特”数来表示。这个数字旨在告诉我们，攻击者在破解代码时需要投入多少精力（包括时间和计算能力）。然而，这个单一的数字隐藏了一个至关重要的复杂性：其数值完全取决于我们如何定义这种精力的计算方式。如果我们认为计算机内存是免费的，那么一把锁可能看起来非常坚固；如果我们认为使用内存成本很高，那么同一把锁可能突然显得很脆弱。不同的组织，例如政府标准机构和安全机构，使用不同的计数方式。当他们这样做时，往往会对哪把锁更安全得出不同的结论，从而导致对于应该信任哪些系统以及何时切换到新系统的混乱。

一项新研究引入了一个名为 GAU_GE 的框架，它改变了我们看待这个问题的方式。研究人员不再强迫每个安全系统都符合一个单一、僵化的数字，而是将安全性视为一个根据游戏规则而变化的灵活剖面。想象一张地形会根据资源价格而改变形状的地图：在一种价格体系下看起来安全的路径，在另一种价格体系下可能会变得危险。通过绘制出这些完整的景观图，团队可以精确地看到不同安全系统在何时以及为何发生交汇。他们发现，对于许多正在为未来准备的新型先进锁具，关于“哪一个更安全？”的答案并不是一个简单的客观事实，而是完全取决于你选择哪种会计方法。

研究人员将这种新方法应用于最新一代的密码学标准，特别是那些旨在抵御未来量子计算机攻击的标准。他们选取了一个特定的、广泛使用的系统——ML-KEM，并将其与一个经典的、被广泛理解的系统——AES 进行对比。在采用美国国家标准与技术研究院（NIST）的标准规则（即仅计算运行攻击所需的时间）下，新系统看起来比经典系统稍弱。然而，当研究人员调整规则以包含内存成本——这是某些欧洲安全机构认为至关重要的因素——时，新系统突然显得强大得多。研究表明，仅仅是将内存相对于时间的价值进行 4.5% 的微小调整，就足以彻底反转两者的排名。这并非错误或计算失误，而是这些系统行为的一个基本几何事实。研究人员表明，没有任何一个单一的、完美的数字能为所有人捕捉到真相，因为这些系统会根据观察视角的不同而产生真实的交叠。

为了解决在答案取决于视角时如何做出决策的问题，团队开发了一种分类这些关系的方法。他们创建了一个系统，可以告诉你：一把锁是否在任何规则下都严格优于另一把锁；或者它是否仅在特定条件下更优；或者两者由于路径交错而变得无法比较。对于新型的抗量子锁具，研究发现它们通常与其经典对手是不可比的。这意味着，选择其中之一并非是在寻找客观上更强的锁，而是一个关于你想要信任哪种成本模型的自觉选择。该研究提供了一个数学证明（certificate）来验证这些交点，使标准制定机构能够看清分歧所在，并理解双方在各自选定的框架内都是在数学上正确的。

除了比较锁具之外，该框架还有助于规划未来。研究人员回顾了过去二十年间黑客破解代码能力的提升速度历史。他们发现，对于某些类型的数学问题，破解所需的精力在特定时期内每年下降了近十个安全比特。利用这些数据，他们构建了一个风险模型，将“黑客进步有多快”的不确定性与“哪种成本模型才是正确的”的不确定性分离开来。这使得组织能够计算它们可以安全保存秘密多久。例如，如果一家公司需要保护一份文件五年，研究建议了一种混合使用新旧锁具的特定策略以最小化风险。但如果需要保护三十年，数学模型显示同样的方法可能不足，需要更早地切换到新技术。

研究还通过真实的硬件模拟测试了这些想法，以确保测量结果的准确性。他们在模拟量子计算机上进行了实验，观察在统计机器物理门数量与统计运行时间时，破解代码的成本是如何变化的。模拟证实，安全性的顺序确实会根据计数的不同而发生逆转，这验证了理论预测。研究人员将所有的工具、数据和验证步骤打包成一个公开的工具集，该工具集可以在不到七秒的时间内重现所有的表格和发现。这种透明度确保了研究结果不仅是一项理论练习，更是一个任何人都可以用来审计安全声明的实用工具。

最终，这项工作并不是在告诉我们哪把锁最好。相反，它给了我们一个更好的提问方式。它揭示了不同安全机构之间的争论往往不是关于谁对谁错，而是关于他们在测量哪种版本的现实。通过使游戏规则显性化，该框架允许政策制定者和工程师看到全貌。他们现在可以理解，关于安全等级的分歧通常是关于如何评估资源的价值的分歧，并且他们可以在知晓这一点的前提下做出选择。其结果是带来了一场更清晰、更诚实的关于数字安全的对话，在这里，不确定性不再隐藏在单一数字背后，而是清晰地呈现在每个人面前。