网络隐私的后量子未来
内容提要
文章讨论后量子时代网络隐私技术。Cloudflare的Privacy Pass依赖RSA和椭圆曲线等经典密码学，量子计算机可伪造令牌，但其隐私性无条件成立。研究重点是用VOLEitH零知识证明结合UOV等多变量签名构建盲签名，如PoMFRIT，签名约4.3KB，可扩展为隐藏签发者身份的背书及匿名凭证。主要挑战是后量子方案体积大，需协议工程优化，并等待多变量密码分析成熟。
延伸解读
隐私与伪造：后量子威胁的双重性
文章指出，Privacy Pass 的隐私性无条件成立，即使量子计算机也无法将令牌的兑换与签发关联起来。但经典密码学（RSA、椭圆曲线）在量子攻击下可被伪造令牌，从而绕过速率限制等安全机制。这意味着后量子迁移主要影响的是防滥用能力，而非用户匿名性。读者需区分两类风险：隐私泄露与令牌伪造，后者才是当前协议需要优先解决的问题。
多变量签名与零知识证明的协同优势
VOLEitH 零知识证明系统对二进制域上的运算（如 Keccak 置换）非常高效，而 UOV 等多变量签名的验证恰好可表示为小域上的二次方程组。两者结合产生的盲签名 PoMFRIT 仅约 4.3KB，与基于格的方案相比具有竞争力。这种协同还允许灵活构建隐藏签发者身份的背书和匿名凭证，代价是公钥较大（46.6KB），适合公钥可缓存的场景。
体积与安全性的权衡：后量子迁移的现实约束
后量子方案普遍体积较大，PoMFRIT 的签发约 1KB、出示约 4.3KB，远高于经典盲签名。文章认为这一开销与 ECDSA 迁移到 ML-DSA 相当，且运行时间仅几毫秒，因此重点应从密码设计转向协议工程，例如将一次兑换摊销到多次请求。同时，多变量密码分析尚不成熟，参数可能调整，且优化（如减少哈希次数）会引入更强的安全假设，需谨慎评估。
Q&A
Privacy Pass 目前使用的密码学有什么量子安全风险？
Privacy Pass 目前依赖 RSA 和椭圆曲线等经典密码学。量子攻击者可以伪造令牌，从而绕过网站运营者实施的速率限制等安全机制。不过，Privacy Pass 的隐私性是无条件成立的，即使量子攻击者也无法将令牌的兑换与签发关联起来。
MOLE 是什么？它和 Privacy Pass 有什么不同？
MOLE（Moderation Of unLinkable Endorsements）是新一代隐私认证技术框架。与 Privacy Pass 不同，MOLE 的令牌可以隐藏签发者身份，而 Privacy Pass 的令牌验证时需要签发者公钥，因此会暴露签发者身份。MOLE 通过“背书”机制实现签发者隐藏，并支持多种凭证类型，如匿名信用令牌和匿名限速凭证。
后量子盲签名 PoMFRIT 是如何构建的？签名大小是多少？
PoMFRIT 基于 VOLE-in-the-Head 零知识证明系统和 MAYO 多变量签名构建。通过将 MAYO 替换为 UOV，签名大小可降至约 4.3KB。其工作方式是：客户端发送消息的承诺，签发者对承诺签名，客户端再生成零知识证明，证明知道签名和承诺打开值，该证明即为盲签名。
为什么多变量密码学适合用于构建后量子匿名凭证？
多变量密码学基于多变量二次（MQ）问题，该问题被认为对量子计算机也是困难的。UOV 和 MAYO 等多变量签名方案具有较小的签名尺寸（如 UOV 仅 135 字节），且其算术复杂度与 MQ 实例评估相当，非常适合与 VOLEitH 零知识证明系统结合，从而高效构建盲签名和匿名凭证。
后量子匿名凭证目前面临的主要挑战是什么？
主要挑战包括：后量子方案体积较大（如公钥 46.6KB），需要协议工程优化，例如将一次兑换摊销到多个请求；多变量密码分析尚不成熟，参数可能需调整；需要为协议提供安全证明，并等待 UOV 等方案的密码分析进一步成熟。
VOLEitH 零知识证明系统有什么特点？为什么适合用于后量子凭证？
VOLEitH 是一种相对简单且易于安全实现的零知识证明系统。它对于可表示为小二进制域上方程组的陈述非常高效，例如 AES 求值或 MQ 问题。其证明大小与见证大小成线性关系，虽不简洁，但具体效率高，且与 Keccak 等哈希函数兼容性好，适合构建后量子盲签名和凭证。
