ML-KEM：后量子密码里的“密钥封装”到底封装了什么？

“量子计算机会不会破解今天的公钥密码？”这个问题促使密码学界研究后量子密码。NIST 标准化的 ML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism）是其中一种密钥封装机制。名字里有“封装”，容易让人以为它直接加密整段聊天或文件，其实它主要帮助双方建立共享密钥。

先协商钥匙，再加密真正的数据

接收方先生成一对密钥并公开公钥。发送方运行封装过程，得到两样东西：一段可以传给接收方的密文，以及一份共享秘密。接收方用私钥解封装同一份秘密。双方随后将共享秘密交给密钥派生与对称加密算法，用来保护实际通信内容。

可以把它比喻成一台无人值守的取钥机：公开信息足以让任何人投递一个包裹，并与接收方计算出同一把临时钥匙；只有持有私钥的人才能从包裹中恢复那把钥匙。实际货物仍需要另一把高效的锁来保护。这个分工解释了 KEM 与传统“公钥直接加密文件”之间的差异。

ML-KEM 基于模格问题构造，目标是在已知量子算法威胁模型下提供密钥建立能力。NIST FIPS 203 将其标准化，并定义不同参数集供系统按安全与性能需求选择。后量子表示设计目标考虑了未来量子计算风险，不等于数学上永久不会被攻破，也不代表部署后无需更新。

密码迁移是系统工程

应用能否使用 ML-KEM，不只取决于调用一个库。协议要定义如何协商算法、如何编码封装消息、如何处理失败，以及如何与证书、会话密钥和身份认证配合。现有设备、TLS 库、网络中间件和硬件加速能力也可能影响兼容性与性能。

在迁移期间，有些系统会研究传统算法与后量子算法组合的混合握手，以兼顾现有兼容性与新威胁模型。但“混合”策略需由正式协议和经过审查的实现来规定，不能自行把两份密钥拼起来就认为更安全。标准会更新勘误与实现建议，部署者应跟进权威来源。

ML-KEM 的作用，是为未来密钥协商提供标准化的后量子选项。理解它时要分清三件事：它建立共享秘密，实际数据通常交给对称算法加密，整体安全性还依赖协议和实现共同正确。

来源：NIST FIPS 203：Module-Lattice-Based Key-Encapsulation Mechanism