后量子迁移中的 Privacy Pass：哪些密码学假设会失效

直接回答：在 Privacy Pass 中，会因量子计算机失效的是不可伪造性，它建立在 RSA 和椭圆曲线这类计算假设之上；令牌层面的不可链接性不会失效，来源把它称为“无条件隐私”，即不依赖任何计算假设。真正的困难不在“换一种签名算法”，而在于后量子原语的体积和参数耦合带来的系统工程成本。

先把两类假设拆开#

Privacy Pass 用于让站点在限制单个客户端资源消耗的同时不牺牲用户隐私。它的核心组件是盲签名（blind signature）：客户端能在发行者不知道消息内容的前提下取得签名，之后出示消息和签名，验证者用发行者公钥校验。来源对机制的描述是，每个令牌对其被签发的客户端是“不可链接”的（unlinkable）。

这里同时存在两个性质，它们的假设基础不同：

• 不可伪造性：没有发行者私钥就造不出有效令牌。这依赖 RSA、椭圆曲线离散对数等问题的计算难度。
• 不可链接性：兑换令牌时无法把它关联回签发时的那个客户端。来源称这一性质是“无条件的”（unconditionally private），即量子攻击者也无法破坏。

量子计算机能攻击的是前者，不是后者。所以“Privacy Pass 在量子时代还安全吗”这个问题，答案取决于你问的是哪一个性质。

失效的部分：令牌可以被任意伪造#

来源明确指出，Privacy Pass 目前仍依赖 RSA 和椭圆曲线等经典密码学，这意味着量子攻击者“将能够随意伪造令牌”，并用它们绕过站点运营方想实施的任何安全机制，例如限速。这不是隐私泄露，而是访问控制失效：防滥用机制失去了判别能力，任何客户端都能凭空生成看起来合法的令牌。

对开发者而言，这个方向很重要：迁移的动机是保住“令牌不能凭空造”这个前提，而不是为了藏住用户身份。

不失效的部分，以及它的边界#

来源用“无条件隐私”描述令牌层面的不可链接性：无论攻击者是否拥有量子计算机，都无法把一次兑换关联回它的签发。这个论断覆盖的是令牌发行与兑换之间的关联性。

需要划清范围：这是对令牌属性的陈述，不等于整条链路的匿名性。网络层元数据、账号体系、客户端指纹等是否暴露身份，属于另一个层面的问题，不在这条“无条件”论断的覆盖范围内。这是范围界定，不是来源给出的新结论。

MOLE 把新的密码学需求放在了哪里#

来源介绍的新技术叫 MOLE（Moderation Of unLinkable Endorsements）。在传统 Privacy Pass 中，验证者需要发行者公钥才能校验令牌，因此必然会知道发行者是谁——这保护了客户端身份，却不保护发行者身份。MOLE 的目标是连发行者也一并隐藏。

它的做法是引入“背书”（endorsement）：由 anchor 签发，客户端在 moderator 处兑换。兑换前双方先就一组 anchor 公钥（anchor set）达成一致；兑换时客户端要证明自己持有该集合中某一个 anchor 的背书，但不透露是哪一个。通过后，moderator 再签发 MOLE 凭证，用于后续对该客户端交互的调节。因为凭证只面向特定 moderator，它不需要具备发行者隐藏性质，甚至不需要公开可验证，所以盲签名、匿名信用令牌、匿名限速凭证都可能成为候选实例化方式。

对后量子迁移的含义是：除了盲签名，还多了一层“证明集合成员而不暴露成员”的能力需要迁移。这部分在本次材料中被截断，MOLE 的后量子实例化细节待核实。

比算法选型更硬的约束：体积与参数耦合#

来源给出了一组直接可比的数字：ML-DSA-44 签名是 2,420 字节，而 ECDSA-P256 签名只有 64 字节。基于这组数字做一个纯算术推演（未执行任何代码，也不代表真实令牌编码大小，真实令牌还包含其他字段）：

# 未执行的示例：仅按来源给出的签名长度做算术推演
sig_pq = 2420   # ML-DSA-44 签名长度（字节，来源数据）
sig_ec = 64     # ECDSA-P256 签名长度（字节，来源数据）
n = 1000
print(n * sig_pq, n * sig_ec)   # 2420000 和 64000

也就是说，同样数量的令牌，仅为签名字段就要多出约 37 倍的字节量。来源的结论是：短期内没有“直接替换”的希望，只能接受更高成本的原语，并重新设计系统来承担这个成本。

另一层困难是参数与协议设计的耦合。来源以 ML-DSA 为例说明：它派生自一个可以构造多种对象的框架，但为了把签名做到尽可能紧凑，参数被专门调优；同样的参数换到别的用途就不一定安全。因此来源把“把参数选择与协议设计解耦”视为后量子匿名凭证的核心挑战——经典凭证系统里协议设计者一般不必操心底层曲线的参数，而高效的后量子凭证设计目前仍需要大量专门知识。

来源提到的可能路径是 VOLE-in-the-Head（VOLEitH，Vector Oblivious Linear Evaluation “in the head”）零知识证明系统，出自 Baum 等人的 Crypto 2023 论文。它把原本需要双方交互生成的 VOLE 相关性改为证明方本地生成，再通过承诺和 Fiat-Shamir 变换转成非交互证明；这类证明可以转成数字签名，FAEST 就是 NIST 签名竞赛中的候选。来源同时指出 VOLEitH 并不具备其他证明系统那样的简洁性（succinct），后续论证在材料中被截断。

迁移时该改什么、不该改什么#

落到具体工作上，可以按这个顺序核对：先确认自己依赖的是不可伪造性还是不可链接性；前者必须迁移，后者不必为量子攻击重做。再确认验证方是否需要发行者身份——如果需要保留这个信号，MOLE 的发行者隐藏并不是必须的；如果只需要“由某个受信实体签发”，才需要考虑集合成员证明的开销。最后按新原语的字节数重算令牌预算，而不是假设能和现在一样密集地签发和兑换。

本文的边界#

本文依据的是 Cloudflare 博客《The post-quantum future of web privacy》的抓取片段，抓取时间为 2026-11-08，该片段明确标注为截断，结论可能在未提供部分。因此以下内容均未在本材料中得到确认：MOLE 的后量子具体构造、VOLEitH 的性能数据、Privacy Pass 现有部署的迁移时间表、各后量子方案的最终标准化状态。这些都应视为待核实，不宜据此做排期决策。

来源链接：The post-quantum future of web privacy（Cloudflare Blog，2026-11-06）。