ISO正式采用经典McEliece抗量子加密标准：代码基加密与RSA有何不同？

简而言之：RSA的安全性依赖于大整数分解的数学难度，而经典McEliece的安全性依赖于解码一般线性码的NP困难问题。代价是非常大的公钥，但换来的是很小的密文和自1978年以来长达数十年的安全记录。

行业与政府支持

Mullvad VPN（行业）

提供的来源中，没有直接证据证实Mullvad VPN的具体部署时间线或“openssh-mceliece”补丁声明。因此，不应将Mullvad VPN的相关细节作为已核实信息呈现。

德国联邦信息安全办公室（BSI）

已确认支持。 多个来源证实，德国BSI在其技术指南TR-02102-1中自2020年起就推荐将经典McEliece（以及FrodoKEM）作为适合长期机密性保护的后量子密码方案。截至2025-2026年的版本更新，BSI仍然将经典McEliece列为批准的替代方案。来源19（经典McEliece官网）也明确指出BSI的支持。

美国国家标准与技术研究院（NIST）

NIST在其后量子密码（PQC）项目中考虑了经典McEliece，并将其作为第四轮候选算法。然而，在2025年，NIST选择了HQC，而不是经典McEliece，作为额外的代码基密钥封装机制（KEM）进行标准化。NIST材料解释称，经典McEliece“被广泛认为是安全的”，但NIST认为它不会得到广泛使用，原因是公钥过大以及兴趣有限。NIST同时指出，ISO的标准化进程是其当时未选择经典McEliece的考量因素之一。NIST表示，待ISO标准化完成后，可能会考虑基于ISO标准制定自己的经典McEliece标准。

关键总结

• ISO采纳：已确认。多家来源证实，ISO于2026年6月正式采纳经典McEliece为国际标准。
• BSI支持：已确认。BSI自2020年起在其技术指南中推荐经典McEliece。
• Mullvad VPN：未核实。提供来源中缺乏相关证据。
• NIST立场：NIST认可其安全性，但未优先标准化，而是选择了HQC。NIST可能等待ISO标准后再做决定。
• 技术本质：经典McEliece是代码基加密，与RSA的数论基加密有根本区别，提供不同的抗量子安全假设。