随着量子计算技术的快速发展，传统基于椭圆曲线和 RSA 的加密体系正面临潜在的量子威胁。GnuPG 作为 OpenPGP 标准的核心实现，正在积极推进后量子密码算法的集成工作。本文基于 IETF 当前的后量子密码扩展草案，深入分析 GnuPG 在这一过渡期的工程实现策略。
复合密钥封装机制的设计原理
传统 OpenPGP 加密流程依赖于椭圆曲线 Diffie-Hellman（ECDH）进行密钥交换。在后量子时代，直接替换为纯量子抗性算法存在两大风险：一是新算法可能存在尚未发现的密码学弱点，二是现有系统无法立即支持量子安全方案。因此，GnuPG 采用了复合（Composite）设计策略，将经典 ECC 算法与量子抗性算法并行组合。
在加密层面，草案定义了 ML-KEM（基于模块格的密钥封装机制，原名 CRYSTALS-Kyber）与 ECC 的复合方案。具体实现包含两条独立的密钥封装路径：ECC 端使用 X25519 或 X448 等经典曲线生成密钥共享，ML-KEM 端则使用 Kyber-768 或 Kyber-1024 生成量子安全的密钥共享。两路密钥共享随后通过 KMAC256 密钥派生函数合并为单一的对称会话密钥。
这种设计确保了，即使未来发现 ML-KEM 存在密码学漏洞，ECC 层面仍能提供传统安全级别的保护；反之，若 ECC 被量子计算机破解，ML-KEM 仍可维持保密性。安全证明表明，复合 KEM 的 IND-CCA2 安全性至少等于其任一组成部分的安全性。
ML-KEM 与 ECC 的参数选择
根据草案规范，GnuPG 实现需要支持多组算法组合。加密方向必须实现 ML-KEM-768 与 X25519 的组合，推荐实现 ML-KEM-1024 与 X448 的组合。签名方向必须实现 ML-DSA-65 与 Ed25519 的组合，推荐实现 ML-DSA-87 与 Ed448 的组合。
对于兼容性要求较高的企业环境，还可选择 NIST P-256、P-384 或 Brainpool 曲线与对应 ML-KEM 版本的组合。值得注意的是，ML-KEM-768 的公钥长度为 1184 字节，密文长度为 1088 字节；相比传统 X25519 的 32 字节公钥有显著增加。这意味着现有密钥存储和传输机制需要相应调整。
在签名领域，ML-DSA 生成的签名长度为 3293 字节（ML-DSA-65）或 4595 字节（ML-DSA-87），远大于 Ed25519 的 64 字节签名。SLH-DSA 作为备选的高度安全方案，签名长度可达 49856 字节（SLH-DSA-256f），适用于对签名大小不敏感但要求最高安全等级的场景。
向后兼容的实现策略
GnuPG 的向后兼容设计体现在多个层面。首先，协议允许在同一消息中同时包含传统 ECC 加密和量子安全加密两种会话密钥包。接收方若不支持后量子算法，可回退到传统 ECC 路径解密消息。实现层面建议默认优先使用量子安全密钥，但不应因对方不支持而中止加密流程。
其次，在签名领域，发送方可对同一消息同时应用传统签名和量子签名。传统客户端可验证传统签名部分，量子安全客户端则可验证完整签名。这一设计允许平滑的渐进式迁移。
最后，在密钥分发层面，草案建议两种迁移策略：策略一为维护两套独立的证书体系，一套用于传统客户端，另一套用于量子安全客户端；策略二为在现有证书上附加量子安全子钥。策略二降低了密钥管理复杂度，但主密钥仍存在量子风险。
部署迁移的关键考量
对于计划部署 GnuPG 后量子支持的运维团队，以下参数值得关注。密钥生成方面，强烈建议为量子安全密钥生成全新的随机材料，而非复用现有 ECC 密钥的随机数。混合子钥应配置为仅用于加密或签名，不应具备认证能力。
在性能调优方面，ML-KEM-768 的封装操作约耗时数十毫秒级别，在移动设备上可能需要考虑缓存策略。对称加密层面，草案强制要求实现 AES-256，理由是部分量子安全算法以 AES-256 为安全目标。
监控与告警方面，需关注客户端支持率变化。当大部分通信方升级到量子安全客户端后，可逐步淘汰传统密钥。密钥轮换周期建议维持现有策略，但新增量子安全密钥的首次轮换应安排在系统稳定运行后。
资料来源
本文技术细节主要参考 IETF 草案 draft-ietf-openpgp-pqc-02（Post-Quantum Cryptography in OpenPGP）及 GnuPG 开发工单 W299。