随着量子计算技术的加速演进，“先存储、后解密”（SNDL）攻击带来的潜伏威胁正深刻重塑全球数据安全格局。现行互联网基础设施中广泛部署的 RSA、ECC 等传统公钥密码体制，一旦面临工程级量子计算机，将遭遇系统性破解风险。数据传输、身份认证、数字签名及隐私计算等关键环节均可能成为安全软肋。
面对这一前沿挑战，中国电信以量子密钥分发（QKD）与后量子密码（PQC）双轮驱动，将量子安全能力深度融入“星海·可信数据空间”核心架构，构建起面向量子计算时代的全域数据流通安全新纵深。
通过 QKD 与 PQC 的深度融合，星海·可信数据空间在业界率先构建数据基础设施级别的量子安全纵深防御体系，实现全链路抗量子攻击能力，形成“量子密钥护航、后量子算法固基、格密码赋能隐私计算”三位一体的安全架构，为数据要素在量子时代的可信流通筑牢安全底座。
量子密钥：从“软件密钥分发”到“量子信道加密”
传统数据空间的密钥分发依赖经典数学难题，但在量子计算机面前，Shor 算法可在多项式时间内破解 RSA-2048 和椭圆曲线密码。这意味着当前被截获存储的加密数据，未来极可能被还原为明文，数据安全的“保质期”正被量子技术进步悄然压缩。
中国电信依托在 QKD 量子密钥分发网络的技术积累，将量子加密信道深度融入星海·可信数据空间的传输层基础设施。在 QKD 架构下，通信双方基于量子物理特性建立共享密钥，从根本上消除了密钥传输被截获的可能。
通过在跨域数据传输链路引入 QKD 能力，星海·可信数据空间构建了量子加密专属通道，用于数据传输加密、节点间身份认证和会话密钥协商。敏感数据在进入链路前即完成基于量子密钥的加密封装，跨域节点验证令牌及存储层密钥的分发轮换均通过量子安全信道完成，确保“密钥本身永远不可被窃听”。此举从根源上切断了经典信道密钥泄露的攻击面，实现了从“软件协议保护”到“量子物理保护”的根本性升级，让数据传输安全性获得物理定律层面的背书。
后量子算法：从"RSA/ECC"到“格基后量子密码”
QKD 解决了密钥分发的物理安全问题，但受限于成本与工程复杂度，数字签名、证书体系及大量 API 接口等场景无法完全依赖专用量子信道。如何让现有互联网基础设施在不铺设量子光纤的情况下具备抗量子攻击能力，是数据空间安全体系必须攻克的另一核心命题。
美国国家标准与技术研究所（NIST）已于 2022 年确立以格基密码为核心的后量子密码标准方案（如 CRYSTALS-Kyber、CRYSTALS-Dilithium 等），我国也在加紧推进相关算法标准化工作。中国电信已将上述 PQC 算法深度整合进星海·可信数据空间，实现了传输层 TLS 协议握手、跨域节点数字签名、数据资产存储加密及身份认证令牌生成的全面后量子改造。
此外，星海·可信数据空间落地“后量子 + 国密”双锁安全防护机制，在 PQC 算法基础上叠加 SM2/SM3/SM4 等国产商用密码算法，形成国际标准与国产算法协同防护的双重防线，确保数据空间在密码算法层面具备完全自主可控的安全主权。目前，该机制已在翼支付 APP 权益商城中实践，保障海量商业敏感数据的长效安全。
隐私保护计算：从“经典密码协议”到“格密码驱动”
隐私保护计算是数据空间的核心价值场景，可在不暴露原始数据的前提下完成多方联合建模。然而，安全多方计算（MPC）、联邦学习（FL）等协议底层大量依赖 RSA、ECC 等传统公钥密码体制。一旦量子计算能力成熟，这些协议将面临被溯源破解的系统性风险，“可信”承诺可能在量子时代失效。
针对此风险，中国电信率先完成核心隐私保护计算算法的后量子改造。包括隐私求交、隐私查询、安全排序及联邦学习等高密数据交付场景，均已利用格基 LWE 问题（Learning With Errors）替换原有量子脆弱数论难题，确保协议在量子时代依然具备长效安全性。
同时，借助全同态加密实现的高效密文计算，联合建模和预测性能较业界通用算法提升超 50%，在隐私安全与计算性能两个维度上实现了协同突破。
量子安全闭环：赋予数据空间“量子安全”能力
QKD 量子密钥护航、PQC 算法固基、格密码赋能隐私保护计算，共同构成星海·可信数据空间的量子安全防御体系，形成了“物理不可窃听、算法不可破解、协议不可攻克”的三层安全闭环。这不仅是一次技术路线的超前布局，更是对数据基础设施“面向未来”确保长效安全性的庄严承诺——面对即将到来的量子计算变局，数据安全必须靠物理定律与数学难题的双重锚定。
未来，中国电信星海·可信数据空间将持续深化量子安全技术与数据空间基础设施的融合，推动 QKD 网络从专线场景向更广泛节点扩展，加速后量子密码在更多协议层和应用场景的系统性迁移，不断提升量子时代数据要素流通的安全置信度，为数字中国建设提供经得起量子计算时代检验的安全底座。
内容来源：数字科技事业部
责任编辑：胡苗苗
审核校对：康云凯 史楠迪