NIST 推進 9 種後量子數位簽章演算法進入第三輪

後量子密碼（Post‑Quantum Cryptography, PQC）標準化正在進入新的階段。2026 年 5 月 14 日，美國國家標準與技術研究院（NIST）宣布，在約 18 個月的評估後，有 9 種數位簽章演算法晉級其「Additional Digital Signatures for Post‑Quantum Cryptography」標準化流程的第三輪。

這項決定代表 NIST 正持續擴大未來可採用的後量子簽章選項，以因應未來量子電腦可能破解現行公鑰加密系統（如 RSA 或橢圓曲線密碼）的風險。

進入第三輪的 9 種演算法

NIST 公布晉級第三輪的候選數位簽章演算法如下：

• FAEST
• HAWK
• MAYO
• MQOM
• QR‑UOV
• SDitH
• SNOVA
• SQIsign
• UOV

這些候選方案來自不同的密碼學技術路線。根據先前的候選分類資料，它們大致分屬以下幾個密碼學家族：

• 多變量密碼學（Multivariate）：MAYO、QR‑UOV、SNOVA、UOV
• MPC‑in‑the‑Head 架構：MQOM、SDitH
• 格基密碼學（Lattice‑based）：HAWK
• 基於對稱密碼的簽章：FAEST
• 同源映射（Isogeny‑based）密碼學：SQIsign

NIST 在標準化過程中刻意保留多種數學基礎。原因很簡單：如果某一類演算法未來被發現存在弱點，整個後量子安全體系仍可依賴其他技術路線維持安全性。

未晉級第三輪的候選

在此次決定之前，共有 14 種演算法進入第二輪評估。

以下 5 種候選演算法未能晉級第三輪：

• CROSS
• LESS
• Mirath
• PERK
• RYDE

先前資料顯示，這些演算法來自不同設計方向，例如：

• Code‑based（碼基）：CROSS、LESS
• MPC‑in‑the‑Head：Mirath、PERK、RYDE

不過，目前公開資料沒有提供 NIST 淘汰這些候選的具體技術原因。可能因素通常包括安全性分析結果、效能表現、簽章大小、實作複雜度等，但相關細節在現有來源中並未說明。

第三輪接下來會發生什麼

NIST 表示，這 9 個候選將進入更深入的安全與效能分析階段。

雖然公開資料未完整列出本輪的所有規則與最終時間表，但在 NIST 的密碼標準化流程中，後期評估通常會重點檢視：

• 是否存在新的密碼分析攻擊
• 在不同硬體與軟體平台上的實作效率
• 公鑰與簽章大小
• 驗證速度與部署可行性

這些因素會直接影響演算法是否適合在網路協定、裝置韌體更新、區塊鏈或政府基礎設施等實際環境中使用。

為什麼這個決定很重要

這項進展必須放在更大的背景來看：全球正在為量子電腦時代重建密碼基礎設施。

在 2024 年 8 月，NIST 已發布第一批正式的後量子密碼標準：

• FIPS 203：基於 CRYSTALS‑Kyber（密鑰封裝機制）
• FIPS 204：基於 CRYSTALS‑Dilithium（數位簽章）
• FIPS 205：基於 SPHINCS+（雜湊式簽章）

此外，FALCON 也已被選定，未來將發布為 FIPS 206（仍在制定中）。

然而，第一批標準並未涵蓋所有使用情境。因此 NIST 啟動「Additional Digital Signatures」計畫，目的包括：

• 增加密碼學多樣性
• 提供適用於不同裝置與系統的演算法選項
• 降低單一技術路線出現漏洞時的系統性風險

簡單說，這 9 個第三輪候選可能成為下一代官方後量子簽章標準的來源，對政府、科技企業與關鍵基礎設施在未來數十年的資訊安全布局具有長遠影響。