谷歌将Q Day防御截止日期提前至2029年

谷歌正大幅缩短其应对Q Day到来的准备期限。所谓Q Day，是指现有量子计算机能够破解公钥加密算法的那一天，届时军队、银行、政府乃至地球上几乎每个人数十年积累的加密数据都将面临威胁。

谷歌在周三发布的一篇文章中表示，将以2029年为节点完成相关准备工作。文章同时警告，全球其他机构也应跟进，采用后量子密码学（PQC）算法来增强或替代椭圆曲线加密和RSA加密，因为这两种算法届时都将被攻破。

谷歌安全工程副总裁Heather Adkins与高级密码工程师Sophie Schmieg在文中写道："作为量子计算与PQC领域的先驱，我们有责任率先垂范，并公布一个积极进取的时间表。我们希望以此为整个行业，不仅仅是谷歌自身，提供加速数字化转型所需的清晰方向和紧迫感。"

与此同时，谷歌还详细介绍了将Android系统升级为抗量子攻击系统的路线图，这也是谷歌首次公开讨论Android系统的PQC支持计划。从测试版开始，Android 17将支持ML-DSA——一种由美国国家标准与技术研究院（NIST）推进的数字签名算法标准。ML-DSA将被集成到Android硬件信任根中，使开发者能够使用PQC密钥对应用进行签名并验证其他软件签名。

谷歌表示，ML-DSA已被整合进Android验证启动库，用于保护启动流程免受篡改。谷歌工程师还开始将远程认证功能迁移至PQC体系。远程认证是一项允许设备向远程服务器证明其当前运行状态的功能，例如向企业网络服务器证明设备正在运行安全版本的操作系统。

此外，谷歌还宣布将为Android Keystore添加ML-DSA支持，使开发者能够生成ML-DSA密钥并直接存储于设备安全硬件中。谷歌还计划将Play应用商店及其中所有应用的开发者签名迁移至PQC标准。

上述变化预计将给Android开发者带来相当大的工作量。

周三公布的这一明确截止时间令许多密码学工程师感到意外，包括多年来深度参与PQC过渡工作的专业人士。

曾于2015年至2022年主导微软后量子密码学过渡工作、现就职于Farcaster咨询集团的密码工程师Brian LaMacchia在接受采访时表示："这无疑是对迄今为止公开过渡时间表的一次重大提速和收紧，甚至超过了美国政府的要求。2029年这个时间节点是一个激进的加速，但也让人不禁想问，究竟是什么在推动这一决定。"

谷歌在两篇文章中均未说明此次调整的具体原因，发言人也未就记者发送的邮件问题作出即时回应。

自1990年代中期以来，关于Q Day何时到来的预测一直众说纷纭。数学家Peter Shor最早证明，一台足够强大的量子计算机可以在多项式时间内完成整数分解，速度远超经典计算机，由此宣告RSA加密的时代终将落幕。后续研究进一步表明，量子计算机在解决椭圆曲线所依赖的离散对数问题上同样具有类似的加速优势。

Q Day的预测时间线取决于现有量子计算机何时能够拥有足够数量的、可纠错的量子比特。2012年时，多数估计认为需要十亿个物理量子比特才能破解2048位的RSA密钥；到2019年，这一估计已降至2000万个物理量子比特。研究人员之间长期流传着一个玩笑：过去30年里，Q Day似乎永远都在"10到20年后"。

Q&A

Q1：谷歌为什么将Q Day的准备截止时间定为2029年？

A：谷歌在公告中并未详细说明将截止日期提前至2029年的具体原因，发言人也未就此作出回应。但谷歌表示，作为量子计算与后量子密码学领域的先驱，有责任率先公布积极的时间表，以推动整个行业加快数字化过渡进程。密码学专家也指出，这一时间节点比美国政府的要求还要激进。

Q2：Android 17在后量子密码学方面有哪些具体升级？

A：从测试版起，Android 17将支持由NIST推进的ML-DSA数字签名算法标准，并将其集成至硬件信任根。此外，ML-DSA已被加入Android验证启动库，远程认证功能也将迁移至PQC体系。Android Keystore将支持开发者生成并存储ML-DSA密钥，Play应用商店及所有应用的开发者签名也计划迁移至PQC标准。

Q3：量子计算机破解现有加密算法需要多少量子比特？

A：随着技术发展，所需量子比特数量的估算已大幅下降。2012年时，破解2048位RSA密钥被认为需要约十亿个物理量子比特；到2019年，这一估计已降至约2000万个物理量子比特。量子纠错能力的提升是决定Q Day何时到来的关键因素。