CRYSTALS-Kyber是一種基於格理論中“帶誤差學習問題”（LWE）的後量子密鑰封裝機制（KEM）。該算法由美國國家標準與技術研究院（NIST）通過公開競賽選定，作為公鑰加密組的優勝方案，是唯一被標準化為FIPS 203的KEM算法。
NIST從2016年開始徵集抗量子密碼算法，經過多輪評選，於2022年7月宣布CRYSTALS-Kyber為首批四種後量子加密算法之一。2023年8月，NIST發布了包括CRYSTALS-Kyber（FIPS 203）在內的三種算法的標準化草案。2024年，該算法完成標準化並更名為ML-KEM。谷歌等企業已開始在產品中部署該算法。
基本介紹
- 外文名：CRYSTALS-Kyber
- 別名：ML-KEM
研發背景,發展歷程,功能服務,核心技術,運營模式,核心團隊,重要事件,品牌價值,
研發背景
量子計算的興起對傳統公鑰加密算法（如RSA、ECC）構成潛在威脅，催生了後量子密碼學（PQC）的研究需求。美國國家標準與技術研究院（NIST）預見到這一威脅，於2016年舉辦了一場公開比賽，徵集後量子或抗量子的加密算法。NIST從2016年開始徵集抗量子密碼算法標準。
CRYSTALS-Kyber算法基於格密碼學（Lattice-based Cryptography）中的模格上帶誤差學習問題（Module Learning With Errors, MLWE）構造。選擇格理論作為後量子密碼算法基礎很自然，因為人們已經用各種方式研究它二十多年了。經過多輪評估，Kyber在4個候選密鑰封裝方案（KEM）中脫穎而出，成為唯一被選中進行標準化的算法。2022年7月，NIST發布評估報告，宣布了第一批標準算法，其中包括用於公鑰加密/密鑰封裝的Crystals-Kyber。在競賽過程中，研究人員發現CRYSTALS-Kyber有一個小問題，隨後作者解決了它，並在後續輪次中找到方法對算法進行微調，通過改變參數增加了幾比特的安全性。
中國高校研究團隊面向國家重大需求，在Kyber實用化安全性分析和設計方面開展了工作。程池老師、許瑞老師課題組在發表於Asiacrypt 2021的論文中，提出了一種針對所有基於格的NIST候選KEM方案的統一評估方法。該課題組與合作者共同撰寫的論文“Light the Signal: Optimization of Signal Leakage Attacks against LWE-Based Key Exchange”發表在ESORICS 2022，可以大幅降低攻擊所需的問詢次數。在發表於密碼學會議CHES的論文中，對實際側信道攻擊中可能存在的噪聲或干擾問題提出了一種處理方案，相比於傳統方法能減少約一半的問詢次數。相關課題受到國家自然科學基金面上項目（62172374，基於格的認證密鑰交換方案實用安全性分析與設計）等資助。程池老師課題組相關學術成果獲2020年度廣西科學技術獎（自然科學類）二等獎和中國電子學會科學技術獎（自然科學類）二等獎。
發展歷程
2022年7月，美國國家標準與技術研究院（NIST）公布了第三輪後量子密碼算法評估結果，CRYSTALS-Kyber被選為首批標準算法之一，並且Kyber在四個候選密鑰封裝方案（KEM）中成為了唯一被選中進行標準化的算法。2022年10月，國際標準化組織ISO/IEC啟動了“在ISO/IEC標準中納入PQC的關鍵封裝機制”項目，旨在將NIST選擇的Kyber等算法納入其國際標準體系。
2023年8月24日，NIST正式發布了首批後量子密碼算法標準草案，其中包括CRYSTALS-Kyber的標準化草案FIPS 203。2024年，NIST完成了CRYSTALS-Kyber的標準化流程，並正式將其更名為ML-KEM（FIPS 203）。
谷歌Chrome瀏覽器自2023年起逐步推進對後量子密碼算法的支持，初期通過Chrome 116版本引入X25519Kyber768混合密鑰封裝機制。隨著ML-KEM標準的確立，Chrome在131版本中切換至ML-KEM實現，並更新了相應的TLS密鑰交換代碼點。
功能服務
CRYSTALS-Kyber（後標準化為ML-KEM）是由美國國家標準與技術研究院（NIST）標準化的後量子密鑰封裝機制（KEM）。其基於格密碼學中模格上的困難問題（MLWE）進行構造，旨在為通信雙方高效、安全地建立共享密鑰，以抵禦未來量子計算機的攻擊。
該算法主要用於替換傳統密鑰協商算法（如RSA或ECDH），套用於傳輸層安全協定（TLS）、虛擬專用網路（VPN）等安全通信場景中，以實現抗量子的密鑰協商。在電信領域，也可用於5G核心網管理平面、跨域連線（如SD-WAN）等場景，為控制信令提供抗量子加密保護。
FIPS-203 ML-KEM的封裝速度可達6000次/秒，解封速度2500次/秒，密鑰生成速度3500對/秒。在硬體實現方面，已有基於40nm工藝的後量子密碼晶片實現了對Kyber算法的支持，其單個完整的Kyber方案能耗可低至1.26μJ/Op。
目前，Kyber/ML-KEM算法已在產業界得到實際部署。例如，阿里雲推出的GVSM後量子密碼機通過集成該算法為敏感數據提供抗量子保護。此外，谷歌Chrome瀏覽器、火狐瀏覽器等主流軟體也已逐步引入或計畫集成基於Kyber的混合密鑰封裝機制，以增強TLS連線的安全性。
核心技術
CRYSTALS-Kyber在2024年經NIST完成標準化後，已正式更名為“ML-KEM”（FIPS 203）。它是一種基於模格上帶誤差學習問題（Module Learning With Errors, MLWE）構造的密鑰封裝機制（KEM）。算法採用數論變換（NTT）加速核心的多項式乘法運算，在高性能硬體實現中（如後量子密碼晶片），常採用基於NTT的高性能流水線結構蝶形運算單元，以解決加解密運算中的速度瓶頸問題。算法設計支持不同的安全級別，在NIST標準化評選的多輪過程中，研究人員曾發現並解決了算法中的一個小問題，隨後通過調整參數微調了算法，以增加幾比特的安全性。
在實用化安全性方面，學術界針對Kyber等基於格的KEM方案提出了統一的密鑰不匹配攻擊評估方法，能大幅降低側信道攻擊所需的問詢次數。此外，也有研究針對實際攻擊中可能存在的噪聲干擾問題，提出了比傳統方法更高效的處理方案。
運營模式
美國國家標準與技術研究院（NIST）於2023年8月24日發布了CRYSTALS-Kyber的標準化草案FIPS 203，並在2024年完成標準化，算法隨之更名為ML-KEM（FIPS-203）。
開源實現如openHiTLS開源了ML-KEM的實現。
許多企業，包括IBM、谷歌、亞馬遜網路服務和Cloudflare，已經在它們的網路中部署了某個版本的Kyber。谷歌最早在2023年起逐步推進對後量子密碼算法的支持，初期通過Chrome 116版本引入X25519Kyber768混合密鑰封裝機制。隨著NIST在2024年完成CRYSTALS-KYBER算法的標準化並更名為ML-KEM，Chrome在131版本中切換至ML-KEM實現。
標準制定網際網路工程任務組建議將Kyber等後量子加密方案與預量子加密結合使用，構成混合密鑰協商機制如X25519Kyber768。Chrome瀏覽器為受影響的網路管理員提供了禁用Kyber的功能，並通過PostQuantumKeyAgreementEnabled企業策略提供過渡期配置選項，允許伺服器運營商同步更新基礎設施。
核心團隊
CRYSTALS-Kyber的核心設計團隊包括辛辛那提大學數學教授Jintai Ding（丁津泰）、IBM公司的瓦迪姆·柳巴舍夫斯基（Vadim Lyubashevsky）以及德國馬克斯·普朗克安全與隱私研究所的彼得·施瓦貝（Peter Schwabe）。
丁津泰教授是ML-KEM（FIPS 203，原名Kyber）的設計者之一，也是該技術核心專利的發明人和持有人。
重要事件
2022年7月，美國國家標準與技術研究院（NIST）公布首批後量子密碼標準算法，CRYSTALS-Kyber成為唯一被選中的密鑰封裝機制（KEM）算法。
2022年12月，瑞典皇家理工學院研究人員發文稱，在CRYSTALS-Kyber算法的特定實現中發現一個安全漏洞，攻擊者可利用該漏洞發起側信道攻擊。
2023年8月24日，NIST正式發布CRYSTALS-Kyber的標準化草案FIPS 203。
2024年，NIST完成CRYSTALS-Kyber算法的標準化並正式更名為ML-KEM。
品牌價值
CRYSTALS-Kyber是美國國家標準與技術研究院（NIST）在2022年7月公布的首批後量子密碼標準算法中，唯一被選中進行標準化的密鑰封裝機制（KEM）。2023年8月，NIST正式發布了包含Kyber（FIPS 203）在內的首批後量子密碼算法標準草案。2024年，NIST完成CRYSTALS-Kyber算法的標準化並正式將其更名為ML-KEM（FIPS 203）。
基於其標準地位和廣泛的產業支持，CRYSTALS-Kyber（ML-KEM）被視為全球向後量子密碼遷移過程中的關鍵技術方案之一，在構建未來量子時代的安全通信基礎架構中扮演著核心角色。
