后量子时代：HMAC 的替代与增强方案探索
量子计算对 HMAC 的威胁
NIST 后量子密码标准化进程
HMAC 的潜在替代方案
1. 基于哈希的签名（Hash-Based Signatures）
2. 基于格的 MAC
3. 其他方案
增强现有 HMAC 方案
如何选择
总结
HMAC（Hash-based Message Authentication Code）作为一种广泛使用的消息认证码算法，在保障数据完整性和身份验证方面发挥着重要作用。然而，随着量子计算的快速发展，传统的基于数学难题的密码算法（包括 HMAC 所依赖的哈希函数）正面临着潜在的威胁。咱们今天就来聊聊，在后量子时代，如何选择 HMAC 的替代方案，或者增强现有 HMAC 方案，以应对未来的安全挑战。
量子计算对 HMAC 的威胁
在深入探讨替代方案之前，我们首先需要了解量子计算对 HMAC 构成的具体威胁。 简而言之, 量子计算机利用量子力学的特性, 可以实现远超传统计算机的计算能力。
具体到密码学领域，Shor 算法可以在多项式时间内分解大整数和求解离散对数，这对 RSA、ECC 等公钥密码算法构成了致命威胁。而 Grover 算法可以加速对称密钥搜索，虽然对 AES、SHA-256 等对称密码算法和哈希函数的威胁相对较小，但仍需要增加密钥长度或哈希输出长度来维持安全性。
HMAC 本身不是直接受到 Shor 算法或 Grover 算法攻击的对象。HMAC 的安全性主要依赖于其所使用的哈希函数的抗碰撞性和原像抗性。只要哈希函数是安全的，HMAC 就是安全的。但是，如果底层的哈希函数被量子计算机攻破（例如，SHA-256 被证明在量子计算机面前不再安全），那么 HMAC 的安全性也就无从谈起。
因此，为了应对量子计算的威胁，我们需要考虑两个方面：
- 替换 HMAC 所使用的哈希函数：采用抗量子哈希函数，例如 NIST 正在标准化的后量子密码算法中提供的哈希函数。
- 寻找 HMAC 的替代方案：探索其他消息认证码算法，这些算法不依赖于传统的哈希函数，或者其安全性不完全依赖于哈希函数的抗碰撞性。
NIST 后量子密码标准化进程
为了应对量子计算对密码学的威胁，美国国家标准与技术研究院（NIST）早在 2016 年就启动了后量子密码（Post-Quantum Cryptography, PQC）标准化项目，旨在征集和评估能够抵抗量子计算机攻击的密码算法。这些算法主要包括：
- 公钥加密算法：用于密钥交换和数字签名。
- 数字签名算法：用于身份验证和数据完整性校验。
- 密钥封装机制（KEM）：用于安全地交换密钥。
目前，NIST 的 PQC 标准化进程已经进入了最后阶段，并公布了几种入选的算法。这些算法基于不同的数学难题，例如：
- 基于格的密码学（Lattice-based cryptography）：例如 CRYSTALS-Kyber（密钥封装）和 CRYSTALS-Dilithium（数字签名）。
- 基于编码的密码学（Code-based cryptography）：例如 Classic McEliece（密钥封装）。
- 基于多变量的密码学（Multivariate cryptography）：例如 Rainbow（数字签名）。
- 基于哈希的签名（Hash-based signatures）：例如 SPHINCS+（数字签名）。
值得注意的是，虽然这些算法主要关注公钥密码和数字签名，但其中一些算法也可以用于构建消息认证码。 特别是基于哈希的签名, 比如 SPHINCS+, 就可以直接当做 MAC 使用。
HMAC 的潜在替代方案
1. 基于哈希的签名（Hash-Based Signatures）
基于哈希的签名，如 SPHINCS+，是一种具有抗量子特性的数字签名方案。其安全性仅依赖于所使用的哈希函数的安全性，而不依赖于任何数论假设。因此，如果选择抗量子哈希函数（例如 SHA-256 的加长版或 SHA-3 的变体），SPHINCS+ 就可以抵抗量子计算机的攻击。
SPHINCS+ 的特点：
- 优点：安全性仅依赖于哈希函数，抗量子攻击，NIST 标准化算法。
- 缺点：签名尺寸较大，签名和验证速度较慢。
如何用 SPHINCS+ 替代 HMAC：
SPHINCS+ 本身是数字签名算法，但我们可以将其用作消息认证码。具体方法是：将消息和密钥一起作为 SPHINCS+ 签名算法的输入，生成的消息摘要即为消息认证码。接收方使用相同的密钥和消息进行验证，如果验证通过，则说明消息未被篡改且发送方身份合法。
2. 基于格的 MAC
虽然 NIST 标准化的基于格的密码算法主要集中在密钥封装和数字签名，但研究界也在探索基于格的 MAC 方案。这些方案通常具有较高的安全性和效率，并且能够抵抗量子计算机的攻击。
例如，一种名为 "GMAC" 的方案，它是基于 Learning With Errors (LWE) 或 Learning With Rounding (LWR) 问题的。 还有其他的基于格的消息认证码方案, 但是他们很多还处于研究阶段, 并没有像 SPHINCS+ 那样成熟。
3. 其他方案
除了上述两种方案外，还有一些其他的潜在替代方案，例如：
- 对称密钥 MAC：如果通信双方已经共享了密钥，可以直接使用对称密钥 MAC 算法，例如 AES-CMAC 或 KMAC（基于 SHA-3 的 Keccak 消息认证码）。这些算法在量子计算机面前仍然是安全的，只需增加密钥长度即可。
- 基于多变量的 MAC：基于多变量的密码学也被认为是抗量子的，但目前还没有成熟的 MAC 方案。
增强现有 HMAC 方案
除了寻找替代方案外，我们还可以通过以下方法增强现有 HMAC 方案的安全性：
- 使用更长的哈希输出：如果 HMAC 使用的哈希函数是 SHA-256，可以考虑切换到 SHA-512 或更长的变体。虽然 Grover 算法可以加速哈希碰撞搜索，但增加哈希输出长度可以提高攻击难度。
- 使用抗量子哈希函数：如果条件允许，可以等待 NIST PQC 标准化进程的结果，选择其中推荐的抗量子哈希函数替换 HMAC 中使用的哈希函数。
- 结合多种认证机制：可以将 HMAC 与其他认证机制（例如数字签名）结合使用，提高整体安全性。即使其中一种机制被攻破，另一种机制仍然可以提供保护。
如何选择
在后量子时代，选择 HMAC 的替代方案或增强方案需要综合考虑多个因素：
- 安全性要求：根据应用场景的安全级别，选择具有足够安全强度的算法。
- 性能要求：考虑算法的计算效率、密钥长度、签名/消息认证码长度等因素。
- 兼容性：考虑算法与现有系统的兼容性，以及迁移成本。
- 标准化程度：优先选择经过 NIST 等权威机构标准化的算法。
- 成熟度：选择经过广泛研究和实践验证的算法。
对于大多数应用场景，目前最稳妥的做法是增强现有 HMAC 方案，例如使用更长的哈希输出或等待 NIST 推荐的抗量子哈希函数。如果对安全性有极高要求，并且能够接受较大的签名尺寸和较慢的速度，可以考虑使用 SPHINCS+ 等基于哈希的签名方案。
总结
量子计算的发展给传统密码学带来了挑战，但也促进了后量子密码学的研究和发展。HMAC 作为一种重要的消息认证码算法，在后量子时代仍然有其价值。通过选择抗量子哈希函数、探索新的消息认证码方案以及结合多种认证机制，我们可以确保 HMAC 或其替代方案在未来仍然能够提供安全可靠的服务。对于开发者而言，密切关注 NIST PQC 标准化进程，了解最新的密码学研究进展，并根据实际需求选择合适的安全方案，是应对未来安全挑战的关键。
咱们作为开发者, 要时刻保持警惕，未雨绸缪，才能在后量子时代立于不败之地! 你说对吧?