Privacy Pass 抗量子的迁移面：哪些环节先动

如果只问一句：Privacy Pass 面对量子计算机，哪个部分会先受影响？按 Cloudflare 2026 年 11 月 6 日这篇讨论 Privacy Pass 后量子前景的文章，答案是令牌的不可伪造性会先受影响，令牌与用户之间的不可链接性不会因为量子计算机而失效。这直接决定迁移顺序：先换掉签发与验证背后的签名算法，隐私属性的重新论证可以稍后。真正拖慢迁移的，是后量子方案的尺寸成本和参数耦合，而非“要不要换”。需要说明，本文依据的是该文公开正文的一个截断片段，并非全文，结论可能落在未提供的部分；涉及性能数字、时间表与部署状态之处均标为待核实。

两条安全属性，危险程度不同#

材料把 Privacy Pass 的工作方式讲得很直白：客户端先从签发者处领到一批令牌，之后用令牌兑换站点访问权；关键在于每枚令牌与领到它的客户端不可链接。Cloudflare 称其已有十年部署经验，用于 iCloud Private Relay 这类隐私代理与 Privacy Gateway 这类中继。

这两件事依赖的假设完全不同：

• 不可伪造性依赖 RSA、椭圆曲线等经典密码学。材料指出，量子攻击者将能够随意伪造令牌，并用它绕过站点运营者想实施的安全机制，例如对单个客户端限速。
• 不可链接性在材料中的表述是“无条件私密”（unconditionally private）：无论攻击者是否拥有量子计算机，都无法把令牌的兑换与它的签发关联起来。

换句话说，量子威胁落在“这枚令牌是不是真的”上，不落在“这枚令牌是谁的”上。材料还提到，正在为下一代私有认证技术设计的新能力“可以且将会”以保持同一保证的方式实现，即 Q-day 之后交互仍然私密。这是设计承诺，不是已交付的实现。

紧迫性来自可用性，而非隐私泄露#

材料同时给了两个判断：一方面明说“很快就会需要替代方案”；另一方面又指出无条件私密性“给了我们一点喘息空间”，并称现状比想象中好。把这两句放在一起，合理的读法是：紧迫性来自可用性，即令牌可被伪造导致限速失效，而非来自隐私泄露。这是本文基于材料的推断，材料本身没有给出任何迁移时间表。

更大的背景是材料给出的排序：后量子迁移的最高优先级是 TLS 这类认证密钥协商的基础构件；这些不到位，量子计算机上线后安全通信本身就不成立。Privacy Pass 属于同一轮迁移中需要替换、但排在基础通信之后的环节。

成本主要来自尺寸#

材料给出一组对照：ML-DSA-44 签名是 2,420 字节，ECDSA-P256 签名只有 64 字节，按这两个数换算约 38 倍。材料明确表示，短期内不要指望用现成方案直接替换；如同 TLS，只能接受成本更高的原语，然后重新设计系统来承担这个成本。

对做接入的开发者，这个数字关乎容量规划：令牌要放进请求头、要传输、可能被记入日志或配额。令牌从几十字节涨到上千字节，会影响请求头大小、连接复用收益和按流量计费的口径。具体到某个产品的影响幅度，材料未提供，待核实。

更难的题目：把参数选择与协议设计分开#

材料里最值得记的一段是“适应性与效率的张力”。今天广泛使用的后量子方案大多来自更大的构造族，但参数被针对特定用途裁剪过。ML-DSA 就是例子：它派生的框架能构造多种东西，但为了让 ML-DSA 尽量紧凑，参数被仔细裁剪成一个高效的签名方案；同一组参数换到别的用途不一定安全。

对匿名凭证，这构成核心挑战。在经典凭证系统中，协议设计者基本不需要操心椭圆曲线参数，非椭圆曲线专家也能做出有用的东西；后量子凭证目前还做不到，设计高效方案仍需要大量专业知识。材料把“解耦参数选择与协议设计”点名为中心问题。

候选路径：MOLE、盲签名与 VOLEitH#

材料介绍的 MOLE（Moderation Of unLinkable Endorsements，不可链接背书的审核）是一个讨论中的方向，不是已部署的标准。要点如下：

• 盲签名是 Privacy Pass 的核心组件：客户端在不向签发者透露消息的前提下拿到签名，之后出示消息与盲签名，且无法被关联回签发时刻。
• 现有的一类令牌由消息加盲签发签名构成。验证者需要签发者公钥，因此必然知道签发者是谁。它保护客户端身份，不保护签发者身份。有些场景正需要这个信号，例如证明客户端被授权使用某个客户的 VPN 产品。
• MOLE 把签发者身份也藏起来，使系统不因签发者不同而区别对待客户端，从而便于更多类型的客户端参与。做法是引入 endorsement（背书）：由 anchor 签发、由 moderator 兑换；兑换前客户端与 moderator 就 anchor set（被信任 anchor 的公钥集合）达成一致，兑换时客户端证明自己的背书来自集合中某一个 anchor 而不说明是哪一个；接受后 moderator 向客户端发出 MOLE credential。
• 因为 credential 只给特定 moderator 使用，它不必具备隐藏 anchor 或公开可验证的性质：盲签名、匿名信用令牌、匿名限速凭证都可以拿来实例化。

密码学底层上，材料提到 VOLE-in-the-Head（VOLEitH，Baum 等，Crypto 2023）零知识证明系统。VOLE 是 Vector Oblivious Linear Evaluation（向量不经意线性求值）的缩写，一种交互式技术，给两方相关联的随机值；这些关联类似认证标签，让验证者能检查针对隐藏 witness 的计算是否被正确执行。VOLEitH 让证明者在本地准备好通常由两方共同生成的值（“in the head”），对这些值做承诺，再用 Fiat-Shamir 变换选出验证者要检查的部分，从而把交互过程转成非交互零知识证明。材料举例：可以证明知道 AES 密钥 K 使 Y=AES(K,X)，进而转成数字签名，这正是 NIST 签名竞赛候选 FAEST 的思路。

边界要说清楚：材料正文在“VOLEitH 不是 succinct 的、其证明是渐近……”处被截断，证明大小、验证开销与适用规模都没有出现在可读部分，因此不能据此判断它在 Privacy Pass 场景是否可用。材料只提到“今年早些时候”出现了可能改变匿名凭证格局的突破，但截断部分没有给出该突破的技术细节与评估数据，同样待核实。

如果要排迁移顺序（工程建议）#

以下是基于上述材料的建议，不是 Cloudflare 的结论：

1. 按“伪造一枚令牌能换来什么”排序。能直接绕过限速、配额或计费校验的验证路径优先；只用来改善体验的令牌可以靠后。
2. 把令牌尺寸当作容量问题单独立项。先量清令牌在请求头、日志、缓存与计费中各占多少，再谈换算法，否则换完才发现瓶颈在链路而不在密码学。
3. 别把“隐私不受量子影响”当成“可以无限期推迟”。材料给的喘息空间针对的是隐私泄露，不是伪造。
4. 在接口层做隔离。签发与验证的上层逻辑不要和具体签名算法、密钥长度、令牌编码绑死。材料反复强调的正是不能直接替换。
5. 不要自行实现 VOLEitH 或 MOLE。材料描述的是研究阶段的方向，参数选择本身仍需专业知识，自己拼装的风险高于收益。

回到标题：先动的是令牌签发与验证背后的签名算法，以及围绕更大令牌重做的容量规划；可以稍后动的是不可链接性这条性质的重建，因为按材料的描述，它本就不依赖量子计算会打破的假设。MOLE 与 VOLEitH 提供了一条可能路径，但材料只走到“潜在未来”这一步，何时、以何种形态进入产品，待核实。