量子计算机对现有对称加密算法（如AES-128、SHA-256）不构成威胁，无需因后量子过渡而改变密钥长度。尽管量子计算会威胁非对称加密（如RSA、ECDSA），但对称加密仅受Grover算法有限影响，专家共识认为128位对称密钥仍安全。当前应优先关注非对称加密的量子安全替代方案。

标题：量子计算机不会威胁128位对称密钥的安全性

随着具有密码学威胁的量子计算机技术不断进步，当前部署的非对称密码学原语（如ECDH密钥交换和RSA/ECDSA/EdDSA数字签名）因易受Shor量子算法攻击而亟需替换。然而，量子计算机对现有对称密码算法（如AES、SHA-2、SHA-3）及其密钥长度并无实质影响。

常见误解与事实澄清

一种普遍误解认为，量子计算会使对称密钥的安全性"减半"，因此需要256位密钥才能达到128位的安全级别。这种观点源于对Grover量子算法的错误解读。实际上： 1. AES-128和SHA-256在量子时代依然安全，标准化机构与专家已形成共识。 2. Grover算法虽能对非结构化搜索提供平方级加速，但其实际应用存在严重限制： - 必须将目标函数实现为量子电路 - 计算步骤必须串行执行 - 并行化会显著削弱加速效果（Zalka, 1997）

技术验证

通过具体计算可知： - 假设使用超导量子架构（1微秒/逻辑门），破解AES-128需要： - 140万亿个并行量子电路（每个含724个逻辑量子比特） - 持续运行10年不间断 - 总计算成本高达2^104.5 DW（深度×宽度），比破解256位椭圆曲线的Shor算法高4.3×10^23倍

权威机构立场

• NIST：
  • 明确将AES-128作为后量子密码的安全基准（Category 1）
  • 指出Grover算法的串行特性使其难以实际应用
  • 在《过渡到后量子密码标准》中重申允许所有AES密钥长度
• BSI（德国联邦信息安全办公室）：
  • 最新指南继续推荐使用AES-128/192/256
• 学者研究：
  • Samuel Jaques等专家通过独立计算得出相同结论

实践建议

1. 无需盲目升级密钥长度：
   • 资源应优先用于真正紧迫的非对称密码迁移
   • 强制升级可能导致系统碎片化和兼容性问题
2. 例外情况：
   • CNSA 2.0等特定合规要求可能规定256位密钥
   • 涉及碰撞攻击（如哈希函数）时需考虑生日边界问题

结论

量子计算对对称密码的威胁被严重高估。密码学界应集中精力解决非对称密码的量子脆弱性，而非对已安全的AES-128进行不必要的升级。

（注：文中技术细节和公式推导部分已简化，完整论证可参考原文引用的学术论文和标准文件）

以下是评论内容的总结，平衡呈现不同观点并保留关键引用：

1. 关于量子计算对加密的威胁程度存在分歧

   • 支持"威胁有限"的观点认为Grover算法实际应用性低，需明确区分其与Shor算法的威胁级别。
     引用5："Grover attacks are very blatantly impractical...that's a red flag"
     引用4："would require either too much compute or too much time to be feasible"
   • 反对观点认为需警惕算力发展可能突破理论限制。
     引用6："encryption is not ever to be considered impossible to break"
     引用8："quantum computers will crack factorisation...max number factorised is 15"

2. 应对量子威胁的实践方案

   • 密钥轮换被多次提及作为有效缓解手段。
     引用3："aggressive key rotation...keys rotate every 5 minutes"
     引用6："aggressive rotation of keys becomes desirable"
   • 增大密钥长度的可行性讨论：
     引用7："for RSA and ECC, is there anything preventing us from using keys 10x bigger?"

3. 行业标准与技术实现的批评

   • 对WPA3等标准可能造成电子垃圾的担忧：
     引用2："WPA3 moved to ECDH...gonna be a tonne of IOT inverters waste"
   • 技术文档清晰度获特别表扬：
     引用10："his mathematics and examples were easy to follow"

4. 术语准确性的争议

   • 有评论指出原文存在概念混淆问题：
     引用1："referring to them as if they are symmetric keys"

（注：部分评论因缺乏实质性观点未纳入总结，如评论9关于Ed448的提问）