💻 computer science

Three Axes of Quantum Risk: A Unified Observability Model for PQC, QKD, and Crypto-Agility

本文引入了一种统一的三轴量子风险可观测性模型，该模型通过算法抗性、信道保护和密码敏捷性对资产进行评估，并辅以开源实现（Sezar）以及在 TLS、QKD 和敏捷性场景下的实证验证，旨在解决当前单轴发现工具的局限性。

原作者： Aleaddin Ozer, Murat Aydos

发布于 2026-07-07

📖 1 分钟阅读☕ 轻松阅读

原作者： Aleaddin Ozer, Murat Aydos

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一位庞大船队（你的公司数字资产）的船长，正驶向一片风暴肆虐的地平线。这场风暴就是“量子计算机”，一旦它到来，它将能够破解你船上几乎所有的货物锁。

长期以来，安全专家一直在问一个简单的问题：“你的锁是用这种新型防风暴金属制造的吗？”（这是在检查你是否使用了后量子密码学，即 PQC）。

但 Aleaddin Ozer 和 Murat Aydos 的这篇论文作者认为，这个问题太简单了。他们说，仅仅拥有一个新锁是不够的。你需要观察三个不同的维度才能确定你是否真正安全。他们称之为**“量子风险的三大轴线”**。

以下是使用日常类比进行的详细拆解：

三大风险轴线

1. 轴 A：锁本身（算法抗性）

类比： 你的门是木头做的还是钢做的？
论文观点： 这检查的是加密背后的实际数学逻辑。它是那种量子计算机可以轻易粉碎的旧、弱的木头（如 RSA），还是新型的、超强的钢材（如 NIST 的新标准 ML-KEM）？
陷阱： 即使你拥有最好的钢锁，如果门是敞开的，那也无济于事。

2. 轴 C：运输卡车（通道保护）

类比： 钥匙是如何送到锁面前的？
论文观点： 有时，即使你有一个强力的锁，用于开启它的钥匙也是通过风险较高的途径传递的。
- 经典交付： 钥匙是通过一条普通的、公开的道路发送的，任何人都有可能在路上偷走它。
- QKD 交付（量子密钥分发）： 钥匙是通过“魔法传送器”（利用物理学原理）发送的，这使得在不被察觉的情况下窃取它变得绝不可能。
洞察： 两艘船可能拥有完全相同的钢锁（轴 A），但一艘船的钥匙是通过安全的传送器交付的（轴 C = 高），而另一艘船的钥匙是由骑自行车的贼送达的（轴 C = 低）。它们处于完全不同的危险区域。

3. 轴 G：变化的速率（密码敏捷性）

类比： 如果明天的风暴变得更猛烈，你更换锁的速度有多快？
论文观点： 这衡量了升级安全性的难易程度。
- 敏捷型： 你可以通过拨动开关或编辑配置文件来更换锁（就像更改手机上的设置）。
- 冻结型： 锁被焊接在了船体上。要更换它，你必须把船拆开并更换整个引擎（硬件更换）。
洞察： 如果你有一个弱锁，但你可以通过 5 分钟内将其更换为强锁，那么你比那些拥有强锁但被焊接在原处的人更安全，因为你可以在风暴袭来之前修复你的问题。

“截止日期”因素

论文引入了一个名为 q(asset, t) 的评分。你可以把它看作是一个随时间变化的“危险计”。

今天： 如果你有一个弱锁，但可以立即更换它（高敏捷性），你的危险计就很低。你有时间去修复它。
截止日期（例如 2030 年）： 随着风暴临近，你的“改变能力”就变得不再那么重要。如果截止日期就在明天，那么你“能在 5 分钟内更换”这件事就没意义了。危险计会飙升。

工具：“Sezar”

为了同时测量这三件事，作者构建了一个名为 Sezar 的工具。

侦探： Sezar 就像是一个巡视你船队的检查员。
三个扫描仪：
1. 它查看锁（扫描你的软件以查看它使用了什么数学逻辑）。
2. 它检查卡车（连接到你的量子密钥分发系统，查看密钥是否被安全地交付）。
3. 它测试开关（扫描你的代码，查看你是可以轻松更改设置，还是被固定住了）。
仪表盘： 它为每艘船提供一个单一的分数，告诉你哪些船需要立即关注。

他们的实际发现（结果）

作者不仅提出了理论，还在三个现实世界的实验中测试了它：

网页扫描： 他们扫描了互联网上排名前 1,000 的网站。他们发现，虽然大约 44% 的网站可以使用新的“钢锁”（PQC），但扫描无法告诉你这些网站是否正在使用“魔法传送器”（QKD），或者它们是否能快速更换锁。这证明了仅仅观察单一事物（锁）会得到一个不完整的图景。
模拟实验： 他们构建了一个虚假的量子密钥分发系统（模拟器），以测试他们的工具如何处理连接中断的情况。他们发现，即使系统的不同部分表现各异，Sezar 也能正确区分“连接不良”和“完全失效”。
代码检查： 他们针对 11 个流行的开源软件项目测试了其“变化速率”扫描器。该工具在 91% 的案例中正确识别了软件是易于更新还是处于“冻结”状态。

核心结论

这篇论文认为，我们不应该再问“你的加密是否具备量子安全性？”，而应该开始问：“你的锁是什么样的，你的密钥是如何交付的，以及你更换的速度有多快？”

通过将这三个轴线结合起来观察，运营商可以更好地优化他们的工作优先级。他们可以优先修复那些既脆弱又难以修复的船只，而不是在那些虽然脆弱但易于维修，或者虽然强大但没有钥匙的船只上浪费时间。

注：本论文并不声称该工具解决了量子威胁本身，也不声称解决了所有的网络安全问题。它只是提供了一种更好的衡量和确定优先级的方法，以便人类做出更好的决策。

技术摘要：量子风险的三大维度

1. 问题陈述

后量子迁移已从研究阶段转向运营必要阶段，其驱动力来自于 NIST 对 FIPS 203/204/205 的定稿以及 NSA 对 CNSA 2.0 的最后期限要求（2025–2033 年）。然而，当前的密码学观测工具在处理资产时存在一个关键局限性：它们仅针对每个资产回答一个问题——“其原语是否具备后量子（PQ）抗性？”

这种单轴方法无法捕捉完整的量子风险态势，因为：

通道保护被忽略： 即使两个资产使用相同的算法（例如 ECDSA-P256），如果一个运行在不受保护的链路之上，而另一个运行在量子密钥分发（QKD）链路上，它们的风险剖面也会截然不同。
密码敏捷性不可见： 使用可通过配置更改经典算法的资产，与将算法硬编码进固件的资产相比，处于完全不同的风险状态。目前的工具未能将“迁移敏捷性”作为一种一等公民的遥测指标呈现出来。
缺乏统一建模： 在文献中，PQC 和 QKD 经常被视为互斥的替代方案，而运营商实际上需要一个统一的模型来评估混合部署成为现实的环境。

因此，由于缺乏关于算法抗性、通道安全和迁移速度的统一视图，运营商无法准确回答“我们能否按时实现后量子就绪？”

2. 方法论

作者提出了一种三轴量子风险态势模型，将风险视为一个多维观测问题。每个资产都在三个独立的轴上进行评分，然后这些评分被折叠为一个单一的、经过截止日期调整的分数，$q(asset, t)$。

三大维度

轴 A（算法抗性）： 对密码原语进行 [0, 1] 范围内的评分。
- 1.0： 后量子抗性（如 ML-KEM, ML-DSA）。
- 0.9： 后量子混合型（如 X25519 + ML-KEM）。
- 0.3： 经典型（如 RSA-2048, ECDSA）。
- 0.0： 已弃用/已破解（如 SHA-1, RC4）。
- 分数根据角色（签名、密钥交换、加密、哈希）进行加权。
轴 C（通道保护）： 对密钥交付机制进行 [0, 1] 范围内的评分。
- 1.0： 仅 QKD。
- 0.7： QKD-混合 PSK（将 QKD 派生的密钥用于混合模式）。
- 0.0： 仅经典型。
- 该轴通过按比例扣减分数来考虑链路退化（例如高量子比特错误率 QBER）。
轴 G（迁移敏捷性）： 对更改原语的能力进行 [0, 1] 范围内的评分。
- 1.0（协商型）： 每会话选择算法（如 TLS 1.3）。
- 0.75（可配置型）： 可通过配置文件更改。
- 0.50（锁定型）： 硬编码在源码中，可通过软件升级更改。
- 0.20（固定型）： 固定在固件或 FIPS 验证的模块中。
- 0.0（冻结型）： 固定在硅片或 ROM 中。

统一评分

模型计算一个经过截止日期调整的风险评分 $q(asset, t)$：
$q(asset, t) = 1 - (\alpha \cdot A + \beta \cdot C + \gamma(\tau) \cdot G)$
其中 $\tau$ 代表“截止日期压力”（即当前日期 $t$ 距离运营商截止日期 $D$ 的接近程度）。随着截止日期的临近，分配给敏捷性的权重 $\gamma$ 会缩小，这反映了当时间紧迫时，高敏捷性的容错空间变小。对于那些即便当前得分较高但由于低敏捷性而无法按时迁移的资产，系统会触发 BLOCKED（受阻） 标志。

实现：Sezar

作者使用 Rust 语言实现了 Sezar，一个开源的观测平台，旨在使该模型具象化。其核心组件包括：

架构扩展： 扩展了 crypto_inventory_event v1 架构，以包含 channel_protection（通道保护）和 agility（敏捷性）字段。
五个代理：
1. sezar-net：基于 eBPF 的 TLS/SSH/IPsec 观测。
2. sezar-qkd：ETSI GS QKD 014 收集器以及用于测试的合成 KME 模拟器。
3. sezar-agility：利用 Semgrep 规则分析源代码和二进制文件以确定敏捷性水平的静态扫描器。
4. sezar-cert：通过 CT 日志和主机扫描获取的 X.509 资产清单。
5. sezar-chain：公有链观测。
汇总引擎： 一个纯函数，负责摄取事件并根据运营商配置的权重和截止日期计算统一评分。

3. 核心贡献

三轴模型： 一个正式的框架，将算法抗性、通道保护和迁移敏捷性分离，承认了 PQC 和 QKD 是互补的观测指标。
架构扩展： 对 crypto_inventory_event 架构（v1.1）进行的严格增量更新，实现了 QKD 和敏捷性的互操作遥测。
Sezar 参考实现： 一个完整的开源技术栈（包括代理、收集器、仪表盘），统一了 eBPF 网络观测、基于 REST 的 QKD 遥测和静态代码分析。
QKD 模拟器： 一个开放的 ETSI GS QKD 014 密钥管理实体（KME）模拟器，允许从业者在没有物理硬件的情况下测试具备 QKD 感知能力的软件。
敏捷性准则与语料库： 一个通过 Semgrep 规则包实现的五级序数评分系统，并通过 50 个开源服务器项目的经人工评定的基准语料库进行了验证。

4. 实证结果

论文通过三个可复现的研究验证了该模型：

研究 1（轴 A - Tranco Top-1k）：
- 扫描了 Tranco top-1k 中的 724 个响应主机。
- 结果： 当提供混合 PQ 密钥交换（X25519MLKEM768）时，43.8% 的主机协商成功。然而，16.9% 的主机仍协商使用 TLS 1.2（在结构上不具备 PQ 能力），且证书签名分布仍以 RSA 为主（64.9%）。
- 洞察： 单轴扫描会遗漏结构性约束（TLS 版本）以及证书敏捷性的缺失。
研究 2（轴 C - QKD 模拟器）：
- 在五种失效场景（稳态、退化、硬失效、过期 PSK、分叉 SAE）下，针对 13 次诱导的状态转换进行了测试。
- 结果： 13/13 的状态变化被正确分类。系统能够正确区分链路级故障与单会话归因问题（例如，一个 SAE 失败而另一个成功）。
- 洞察： 仅靠链路级遥测是不够的；需要进行单会话归因才能准确评分通道保护。
研究 3（轴 G - 敏捷性试点）：
- 将 sezar-agility 扫描器与 50 个项目语料库中 11 个子集的专家人工评定结果进行对比。
- 结果： 一致性达到 91%（10/11 个项目）。唯一的歧义在于 chrony，其静态证据在“可配置”与“锁定型”之间存在模糊性。
- 洞察： 静态分析可以实现与人工评分的高度一致，尽管 Go 生态系统的覆盖缺口（最初缺失 crypto/tls 模式）需要通过更新规则来解决。

5. 意义与主张

论文指出，“单比特”的 PQ 就绪度指标对于面临 2030–2033 年截止日期的运营商来说是不够的。这项工作的意义在于：

全方位风险评估： 它证明了资产的风险不仅取决于其使用的算法，还取决于其密钥如何交付以及更换算法的速度有多快。
运营可行性： 它证明了利用商用硬件和开源工具即可构建涵盖 PQC、QKD 和敏捷性的统一观测模型，无需依赖专有的商业技术栈。
可操作的优先级排序： 通过将三个轴合并为经过截止日期调整的评分，该模型允许运营商根据现实的“修复所需时间”而非仅仅是“当前漏洞”来优先处理迁移工作。
可复现性： 作者提供了完整的架构、模拟器、规则集和基准语料库，邀请社区验证、批评并完善其评分常数和权重，而不是将其视为绝对真理。

作者明确表示，该模型并不解决迁移过程中的经济或政治约束，而是提供必要的遥测层，以使决策过程更加明智。其贡献在于模型与工具本身，具体的数值评分旨在由运营商根据实际情况进行配置。