联邦机构对量子加密威胁准备不足

为何重要

根据美国政府问责局（GAO）于 10 月 14 日修订重新发布的报告《量子计算：联邦政府应对新兴网络威胁需采取的行动》（Quantum Computing: Federal Actions Needed to Prepare for Emerging Cyber Threat），在 24 个受《首席财务官（CFO）法案》约束的机构中，没有一个机构完全落实了将联邦系统过渡到后量子密码学所需的三个准备措施。​

由于密码学专业知识不足、缺乏清查流程以及缺少测试计划，这些差距使联邦敏感数据面临未来密码相关量子计算机（CRQC）的威胁。大多数行业专家认为，这种计算机最早可能在 2030s 出现。

大局图景

联邦机构依靠密码学（即锁定、解锁和验证信息的数学过程）来保护敏感数据和系统。目前的量子计算机尚无法破解这种密码学，但规模和复杂程度足够的 CRQC 可能会破坏用户身份验证系统，使恶意行为者能够访问敏感信息，或解密在该机器出现之前收集并存储的数据。由于量子比特增长率以及所需量子比特数量存在不确定性，关于密码相关量子计算机的研发评估差异很大。

GAO 报告称，恶意行为者可能在密码相关量子计算机（CRQC）开发出来之前获取并存储数据，然后在这种计算机问世后将其解密。

为了评估准备情况，GAO 使用了根据管理和预算办公室（OMB）指南制定的框架，并针对三项准备措施对所有 24 个 CFO Act 机构进行了评估：建立密码资产清单、确定过渡资金以及规划后量子密码学测试。

该报告的敏感版本于 2025 年 9 月发布，提交给联合经济委员会首席成员、参议员 Maggie Hassan (D-NH)。

随后，GAO 从 2025 年 9 月起与行政部门机构进行协调，以确保在发布公开版本之前已适当删除敏感信息，这一过程持续了一年多。

GAO 发现，在其审查的 24 个机构中，没有一个完全落实了迁移到后量子密码学的三个准备措施。这一不足的部分原因是缺乏密码学专业知识、缺乏建立密码资产清单和确定过渡资金的流程，以及缺乏指导后量子密码学测试的计划。

如果没有完整的易受攻击密码系统清单，各机构就无法确定哪些系统应优先迁移，也无法估算过渡的总成本，从而增加了最敏感系统处于无保护状态时间最长的风险。

底线结论

GAO 向 24 个 CFO Act 机构中的 23 个提出了 89 项建议；其中一个机构未收到建议。敏感版本报告向 23 个机构提出的 89 项建议包括：建立并执行开发易受攻击密码清单的流程，以及确定后量子密码学的资金。12 个机构同意建议，2 个机构部分同意，7 个机构既不同意也未反对，还有 1 个机构对其 4 项建议中的 3 项表示反对。GAO 表示，所有 89 项建议都是合理的，且在报告的公开版本中未提出额外建议。

意见不一的情况（8 个机构要么部分同意，要么不同意，要么拒绝表态）意味着很大一部分建议行动没有得到机构的行动承诺。由于这些建议仍未结案且各机构的同意情况参差不齐，通往完全安全的联邦密码基础设施的道路取决于各机构是否能在 CRQC 成为实际威胁之前采取行动实施变革，报告未固定这一时间表，但认为可能在十年之内。

关注此问题的倡导者、国会工作人员和机构官员可以在 Legis1 上监控相关的立法和监督活动。

在 Legis1 上追踪相关立法活动的链接邀请

访问 Legis1 platform 获取全面的政治新闻、数据和见解。

发现错误？ Report an issue with this article