NIST推进9种后量子数字签名算法进入第三轮

2026年5月14日，美国国家标准与技术研究院（NIST）宣布：9种数字签名算法将进入“后量子密码附加数字签名（Additional Digital Signatures for PQC）”标准化流程的第三轮评估。这一决定是在大约 18个月的技术评估与公开审查之后作出的。

这项进展意味着，除了2024年已经发布的一批后量子密码标准之外，未来可能还会出现更多可用于数字签名的抗量子算法，为全球互联网和关键基础设施在“量子时代”提前建立安全防线。

入围第三轮的9种算法

NIST此次确认进入第三轮评估的数字签名候选算法包括：

• FAEST
• HAWK
• MAYO
• MQOM
• QR‑UOV
• SDitH
• SNOVA
• SQIsign
• UOV

这些方案并非来自同一种技术路线，而是分布在多种不同的密码学体系中。

主要密码学家族包括：

• 多变量密码（Multivariate）：MAYO、QR‑UOV、SNOVA、UOV
• MPC‑in‑the‑Head 构造：MQOM、SDitH
• 格密码（Lattice‑based）：HAWK
• 对称密码基础签名：FAEST
• 同源映射（Isogeny）密码：SQIsign

NIST刻意保持这种技术多样性。原因很简单：如果某一种数学结构未来被发现存在漏洞，整个后量子密码体系仍然可以依赖其他路线继续安全运行。

哪些算法被淘汰

在上一阶段（第二轮）中，共有 14个候选算法参与评估。

其中以下 5个方案未进入第三轮：

• CROSS
• LESS
• Mirath
• PERK
• RYDE

公开资料确认这些算法曾属于第二轮候选，但现有来源并未说明NIST淘汰它们的具体技术原因，例如是否涉及安全性问题、性能不足或实现复杂度等因素。

第三轮评估将关注什么

根据NIST的流程，第三轮通常会对候选算法进行更加严格和深入的评估。

重点通常包括：

• 抗攻击能力与安全假设是否可靠
• 在不同硬件和软件平台上的实现效率
• 公钥大小、签名大小以及验证速度
• 是否适合在互联网协议、设备或云系统中部署

现有资料确认第三轮是在约18个月评估后启动，但详细的规范更新规则和完整时间表并未在提供的资料中说明。

为什么这一选择很重要

这一进展必须放在全球应对量子计算威胁的大背景下理解。

未来的大规模量子计算机可能能够破解目前广泛使用的公钥加密体系，例如：

• RSA
• 椭圆曲线密码（ECC）

为了提前应对这种风险，NIST已经在 2024年发布了首批后量子密码标准：

• FIPS 203：基于 CRYSTALS‑Kyber（密钥封装机制）
• FIPS 204：基于 CRYSTALS‑Dilithium（数字签名）
• FIPS 205：基于 SPHINCS+（哈希签名）

此外，另一种签名算法 FALCON 也已被选定，未来将发布为 FIPS 206。

然而，这一批标准并不能覆盖所有应用场景。因此，NIST启动“附加数字签名”项目，继续筛选新的候选方案，以实现几个关键目标：

• 提高密码算法的多样性
• 为不同设备和性能需求提供更多选择
• 降低单一算法出现漏洞带来的系统性风险

换句话说，这9个进入第三轮的算法，可能成为下一批官方后量子数字签名标准的潜在候选者，为政府、企业和互联网基础设施在量子计算时代到来之前做好准备。