ISO正式採用Classic McEliece抗量子加密標準：同RSA有咩分別？邊啲機構撐場？

以下係根據多個來源核實嘅事實整理。

ISO正式採納Classic McEliece

已經確認：ISO喺2026年6月正式通過Classic McEliece做國際標準。 多個來源證實，國際標準化組織（ISO）已經將Classic McEliece納入為後量子加密標準。呢個決定係由沖繩科學技術大學（OIST）嘅Carlos Cid教授等國際團隊促成。

---

編碼理論 vs. RSA：核心分別

項目	Classic McEliece（編碼理論）	RSA（數論）
安全基礎	基於錯誤更正線性碼（binary Goppa codes），安全性建基於解碼困難問題。	基於大數因數分解，係傳統數論問題。
加密機制	將明文編碼成錯誤更正碼嘅碼字，然後加入隨機錯誤，只有私鑰持有人先解到碼。	用公開模數同指數加密或簽署，私鑰操作依賴秘密因數分解資訊。
量子威脅	唔依靠數論假設，所以唔怕Shor演算法，係後量子加密嘅重要研究方向。	RSA呢類傳統公鑰系統喺量子電腦時代需要全面遷移，因為Shor演算法可以快速破解因數分解。
公鑰大小	好大，NIST報告指出約260KB到1MB。	RSA公鑰細好多（典型2048位元即256位元組），但來源冇直接比較數值。
密文大小	細，係Classic McEliece嘅主要優點之一。	RSA密文大小同模數長度掛鉤。
運算速度	NIST話封裝同解封裝好快，但金鑰產生好慢。	來源冇直接比較。

簡單講：RSA靠大數因數分解，量子電腦可以破解；Classic McEliece就用錯誤更正碼，安全歷史長達47年，代價係公鑰好大，但密文細同速度快。

---

業界同政府嘅支持

Mullvad VPN（業界）

來源冇證實Mullvad VPN嘅具體部署時間表或openssh-mceliece修補程式嘅聲稱，所以呢啲細節唔應被視為已核實。

德國聯邦資訊安全辦公室（BSI）

BSI確實有推薦Classic McEliece。自2020年起，BSI嘅技術指引TR-02102-1已經將Classic McEliece（連同FrodoKEM）列入「適合長期保密保護」嘅後量子加密演算法。BSI亦明確表示「支持Classic McEliece嘅國際標準化」。

NIST嘅考慮

NIST將Classic McEliece列為第四輪候選方案。但喺2025年，NIST最終揀咗HQC做額外嘅編碼理論KEM標準，而唔係Classic McEliece。NIST話Classic McEliece「普遍被認為安全」，但冇預計佢會廣泛使用，原因係公鑰太大同興趣有限。NIST仲話等ISO完成標準化後，會考慮基於ISO標準去制定NIST標準。

---

關鍵總結

• ISO：已經正式採用Classic McEliece做國際標準。
• BSI：自2020年起推薦Classic McEliece做長期保密用途。
• Mullvad VPN：來源冇提供足夠證據證實部署聲稱。
• NIST：考慮過但最終揀咗HQC，會等ISO標準化後再檢視。
• 安全模型：Classic McEliece基於編碼理論，同RSA嘅數論假設完全唔同，所以喺量子時代仍然安全。