RFC 10073:IETF 将混合式后量子签名标准化
· BehindLines 编辑部
IETF 刚刚发布了 RFC 10073。这是一份"建议标准"(Proposed Standard),说明如何在 X.509 证书中把后量子签名与传统签名组合使用。根据 RFC 编辑部网站和 Datatracker 的条目,这份文本出自 LAMPS 工作组,此前的草案名称为 draft-ietf-lamps-pq-composite-sigs。作者包括 Entrust 的 M. Ounsworth 和 J. Gray、OpenCA Labs 的 M. Pala、Bundesdruckerei 的 J. Klaußner 以及思科的 S. Fluhrer。条目标注的日期为 2026 年 11 月,最近一次更新是 11月6日。
基本思路:两个签名比一个更稳妥
该文档把后量子算法 ML-DSA 与一种传统算法配对,可选的有 Ed25519、Ed448、ECDSA、RSASSA-PSS 或 RSASSA-PKCS1-v1_5。Datatracker 说明,这些组合的用意之一是满足某些地区的监管要求。目标是在 ML-DSA 被攻破或出现严重缺陷时仍能保护应用,同时可以沿用现有的证书基础设施。
标准的具体规定
RFC 编辑部页面指出,共登记了十八个算法标识符,涵盖 ML-DSA-44、ML-DSA-65 和 ML-DSA-87 与各种传统方案的搭配。复合密钥直接放入证书的常规字段。当存在密钥用途扩展时，它必须至少包含一项签名或证书签发功能,且不得包含任何加密或密钥协商位,因此复合密钥不能同时用于两种用途。组成它的各个密钥不得在独立密钥或其他复合密钥中重复使用,同时建议证书颁发机构在检查吊销时也分别核对每个组成部分。
文本自己承认的局限
文本说明,这种构造提供 EUF-CMA 安全性,但不提供 SUF-CMA,不适合认为 EUF-CMA 不够用的场景。因此,文本不建议在 SUF-CMA 至关重要的应用中使用它。
迁移的背景
就在同一周,即 11月5日,美国 CISA、NSA 与澳大利亚信号局的网络安全中心发布了一份题为"Post-Quantum Questions to Ask Your Vendors"的指南。据 CISA 介绍,它提供与厂商无关的问题,用来判断供应商是否理解量子风险、是否对其密码实现保持透明,以及能否支持及时过渡。RFC 10073 是这场迁移中的技术环节之一,但并没有规定时间表。