我们每天早上醒来，拿起手机刷朋友圈、点外卖、扫乘车码，上班路上和同事发消息，下班回家网购付款，
这一切稀松平常的操作背后，其实都藏着无数次“通信”。
我们太习惯通信的存在了，就像习惯空气和水一样，很少停下来想一想：我们发出去的每一句话、每一笔转账，是怎么准确传到对方那里的？又是怎么保证不被半路的“坏人”偷走、篡改的？
进入21世纪，数据量爆炸式增长，互联网每天产生的信息比过去几百年加起来都多。
5G、物联网、人工智能一波接一波涌来，对算力的需求越来越大，传统计算机眼看着就要跟不上趟了。
这时候，“量子计算”四个字越来越频繁地出现在新闻里，伴随着各种耸人听闻的说法：“量子计算机能一秒破解所有密码”“银行账户瞬间不安全了”。
真相到底是什么？我们今天用的RSA密码真的不堪一击吗？量子通信又是什么，真的能实现“绝对安全”吗？
要讲清楚这些问题，我们得先从最根本的地方说起：到底什么是信息？什么是通信？密码又是怎么一步步保护我们的信息的？
先问大家一个问题：你觉得“今天下雨了”这句话，算信息吗？
很多人会说，当然算啊，这不是明摆着的消息吗？但其实不一定。
如果你正站在雨里，浑身都湿透了，别人跑过来跟你说“今天下雨了”，这句话对你来说就毫无信息量，因为你早就知道了，它没有消除任何不确定性。
这就是信息最核心的本质：信息是对不确定性的消除。
维基百科里对信息的定义很绕，但说的就是这个意思：信息回答了“某个事物是什么”的问题，它描述事物的属性，消除未知的部分。百度百科说信息是“通讯系统传输和处理的对象”，这个描述更偏向应用，但没说到本质。
我给大家举个例子就明白了。
假设你朋友去了一趟西北戈壁，回来兴冲冲跟你说：“我在沙漠里发现一种怪花，白天缩成枯草一样，天一黑就悄悄绽开，还带点淡香。”
这句话有没有信息？分情况：
如果你从来没去过沙漠，也没听说过这种花，那这句话就给你带来了全新的认知，消除了你对“沙漠里有没有晚上开的花”的不确定性，这就是实打实的信息。你要是相信朋友，还能基于这个描述建立一点关于沙漠植物的新知识。
如果你就是研究荒漠植物的学者，这种花你已经观察过几百次了，那朋友这句话对你来说就等于废话，没带来任何新信息。
如果你正在找这种花的分布证据，那朋友的描述就是一个珍贵的样本数据，能帮你验证自己的猜想，增加结论的可信度。
你看，同样一句话，对不同的人来说，信息量天差地别。信息从来不是孤立存在的，它永远和“接收者”绑定在一起。
1948年，数学家香农发表了一篇划时代的论文《通信的数学理论》，直接奠定了现代信息论的基础。他给信息量找了一个统一的衡量单位，比特（bit）。
怎么理解？
比如你抛一枚硬币，落地之前，你不知道是正面还是反面，有两种可能性。这时候有人告诉你结果是正面，就消除了这个不确定性，这个过程传递的信息量就是1比特。
如果是扔骰子呢？骰子有6个面，不确定性更大，消除这个不确定性大概需要2.58比特的信息。
说白了，比特就是用来衡量“不确定性多少”的单位。不确定性越大，消除它需要的信息就越多，比特数就越高。
信息还有一个特别重要的属性：时效性。
草原上的鹿群，第一只鹿发现猎豹扑过来，撒腿就跑，这个动作就是在给同伴传递“有危险”的信息。等所有鹿都反应过来开始奔跑，这个信息就被确认了。但要是等猎豹都咬到脖子了才反应过来，那信息就毫无价值了。
地震预警也是一个道理。提前10秒告诉你地震要来了，你能找地方躲避，这是救命的信息；地震都结束了才通知你，那就只是个通知，没有任何信息量。
还有很多人分不清数据、信息和知识。其实很好区分：
数据是 raw 的、零散的数值，比如“35℃”“100万”；
信息是有意义的数据，比如“今天气温35℃，比昨天高5度”；
知识是对信息的归纳和理解，比如“气温超过35℃属于高温天气，容易中暑，要注意防暑”。
我们每天刷手机看到的大部分内容，其实都只是“数据”和“信息”，离“知识”还差得远。
有了信息，那传递信息的过程，就是通信。
别觉得通信是人类的专利，其实整个生物界都在玩通信，而且玩得比我们早几十亿年。
细菌会释放特殊的化学分子，感知周围同类的密度，等数量到了阈值就一起发光、或者一起释放毒素，这叫“群体感应”；蜜蜂跳精准的8字舞，告诉同伴花蜜在哪个方向、有多远；萤火虫靠不同频率的闪光找配偶；蚂蚁靠信息素标记路线，还能用触角碰一碰交换信号。
可以说，生命本身就是一条巨大的信息流。
最核心的遗传物质DNA，就是一套写满信息的密码本，一代代往下传，告诉后代怎么长身体、怎么代谢、怎么应对环境。生命的繁衍，本质上就是信息的传承。
人类的厉害之处，是把通信玩出了新高度。
最早的人类靠手势、简单的叫声交流，后来慢慢演化出了复杂的语言。
语言绝对是人类进化的bug级发明。有了语言，才能组织几十上百人一起打猎、盖房子，才能把老一辈的经验精准传给下一代。
考古学界有一种观点：智人之所以能淘汰身体素质更强的尼安德特人，核心优势就是语言更复杂，群体协作能力更强。
但语言有天生的局限：只能面对面传播，说完就消失了，传不远，也留不久。
于是就有了文字。
大概五千多年前，苏美尔人在泥板上刻下了楔形文字，古埃及人画下了象形文字，中国人在甲骨上刻下了卜辞。
文字一出现，信息直接突破了时间和空间的限制：相隔千里的人可以通信，隔了几百年的人也能知道前人的想法。我们今天能知道两千多年前孔子说了什么，能读到古希腊哲人的思考，全靠文字记录。
再后来，印刷术发明了。
古腾堡的活字印刷机让书本不再是贵族和僧侣的专属，知识开始大规模向下普及，信息传播的速度和范围直接上了一个台阶。
直到今天，书籍、报纸、杂志依然是我们获取信息的重要渠道。
真正的革命发生在近代。
人类发现了电和磁，发现电磁波能以光速传播信息。于是有了电报、电话、无线电，再到后来的电视、光纤、互联网。
短短一百多年，人类的通信能力提升了何止千万倍。
以前寄一封信要走几个月，现在发一条微信零点几秒就到了；以前一家人守着一个收音机听广播，现在每个人手里都有手机，随时随地能看高清视频、打跨国电话。
说了这么多，一场完整的通信，到底需要哪几个核心要素？其实说穿了就五样：
第一，收发双方。得有发信息的人和收信息的人，这是通信的前提。密码学里习惯把收发双方叫Alice和Bob，就是个通用代号。
第二，共同的“语言”。这里的语言是广义的：你说中文对方懂中文才能聊；蜜蜂的舞蹈是蜜蜂的语言；电脑之间的TCP/IP协议也是语言。没有共同语言，信息就传不通。
第三，传输媒介。声音靠空气传播，光靠光子传播，手机信号靠电磁波。没有媒介，信息就寸步难行。你在真空里喊破喉咙，别人也听不见。
第四，传输信道。媒介是载体，信道是具体的通道。同样是电磁波，走光纤是一个信道，走基站无线传输又是一个信道。信道好不好、堵不堵，直接决定通信质量。
第五，信息存储。这个不是必须的，但能极大提升信息的价值。说完就忘的通信，传过就没了；有了存储，信息就能留着以后用，还能复制、转发。聊天记录、邮件、硬盘里的文件，都是存储。
这五样东西凑齐了，一场完整的通信才算完成。
平时我们聊天、刷视频，大多时候没想过保密。但有些场景下，信息只能让特定的人知道，绝对不能泄露给外人。
比如打仗的时候，作战计划要是被敌人截获了，那就要吃大败仗；你转钱的时候，支付密码要是被别人知道了，钱可能就没了；公司的商业机密要是被竞争对手拿到，市场上就会陷入被动。
这就需要保密通信。
其实仔细想想，所有通信本质上都有天然的保密性。
你在屋里小声说话，屋外的人就听不见；你用中文聊天，不懂中文的外国人就听不懂。但这种天然保密太弱了，稍微用点手段就能突破。真正的保密通信，是主动设计方法，把那些“不该收到信息的人”牢牢挡在外面。
密码学里，通常把这个窃听者、破坏者叫Eve，专门和Alice、Bob作对。
怎么才能做好保密？说白了就是从刚才说的通信五要素下手，随便堵死一个环节，Eve就拿不到有效信息。
第一种办法：从收发对象下手。直接把Eve排除在接收范围之外。比如你知道Eve今天出差不在公司，那在办公室开内部会就相对安全。但这个办法太依赖环境，非常不靠谱。
第二种办法：换一种Eve听不懂的语言。这是最古老也最常用的手段之一。二战的时候美国军方就用了这招：找了一批纳瓦霍族的士兵，用他们的土著语言当密码来传递命令。日本人截获了无线电信号，听得见声音，但完全听不懂是什么意思，根本没法破解。这就是电影《风语者》的原型。
咱们过去土匪的“黑话”也是这个道理。“天王盖地虎，宝塔镇河妖”，对上了暗号才知道是自己人，外人听了一头雾水。
第三种办法：换Eve感知不到的媒介。比如用超声波传递信息，人听不见，特定设备能接收；用定向激光对准一个点传信号，偏一点就收不到。
第四种办法：隔绝信道。在一个完全封闭的信道里通信，Eve根本搭不上线。比如在隔音密室里谈话，比如专用的保密光纤线路，别人没法窃听。
除了这四个，还有一个和保密同等重要的问题：身份认证。
你怎么确定对面跟你通信的人，真的是Bob，而不是Eve假扮的？
这个问题古人早就意识到了。
最经典的就是虎符：一个老虎形状的兵符，劈成两半，国君拿右半，将军拿左半。调兵的时候，使者带着国君的那一半去，两半合得上、纹理对得齐，将军才肯听令。现在出土的阳陵虎符，上面还刻着“甲兵之符，右在皇帝，左在阳陵”，就是干这个用的。
还有古代的腰牌、印信、书信上的印章和火漆，都是为了两件事：证明对方身份，防止内容被篡改。你看古装剧里接圣旨，都得先看印章对不对，就是这个道理。
到了互联网时代，身份认证更重要了。
你登录账号要输密码、刷脸，付款要收验证码，本质上都是在证明“你是你”。
不然随便一个人冒充你转走钱，那还得了？
可以说，保密通信从来就不只是“加密”这么简单，它是一整套系统工程：从身份验证到信息加密，再到传输通道防护，每个环节都不能掉链子。
说到加密，很多人第一反应就是“密码本”：发信的人按照密码本把字替换成别的字，收信的人再换回来。
这就是最经典的对称加密，加密和解密用的是同一个密钥，算法也是一样的，就像一把钥匙开一把锁。
人类用对称加密的历史特别久。
早在两千多年前，古罗马的凯撒大帝就发明了“凯撒密码”：把每个字母往后固定偏移几位，比如偏移3位，A变成D，B变成E，以此类推。单词“HELLO”加密之后就成了“KHOOR”。不知道偏移量的人看着是乱码，知道的人一挪就还原了。
这种密码叫“单表替换密码”，就是字母一一对应替换。
但它有个致命的弱点：字母的出现频率是固定的。
比如英文里字母E出现的频率最高，大概占12%，然后是T、A、O。
你把字母都替换了，但每个字母出现的频率没变。
阿拉伯人在公元9世纪就发现了这个秘密，发明了“频率分析法”：统计密文里每个符号出现的次数，出现最多的那个大概率对应E，然后一步步推导，就能把整个密码破解。
所以后来又出现了更复杂的“多表替换密码”，一个字母可以对应好几个密文字母，让频率没那么明显。
但不管怎么变，只要是对称加密，用得久了、密文攒得多了，总能找到规律和破绽。
到了二战的时候，最有名的对称加密设备就是德国的Enigma机，也就是“谜式密码机”。
它有好几个转子，每按一个键转子就转一下，替换规则跟着变；还有接线板可以交换字母，复杂程度直接拉满。
当时德国人坚信这密码绝对不可能被破解，放心大胆地用它传递各种军事命令。
结果英国的图灵带领团队，硬是找到了Enigma的设计破绽，造出了专门破解它的“炸弹机”，每天能破解几千条德军密电。
后来有人评价，图灵的工作让二战至少提前结束了两年。Enigma的故事也成了密码史上最传奇的一页。
说回对称加密，它的优点很明显：加密解密速度快，算法简单，安全性也不低。
但它有一个天生的、几乎无解的毛病：密钥怎么分发？
通信双方必须先拿到同一个密钥，才能加密通信对吧？那这个密钥怎么安全地交给对方？如果两个人能当面交换，那还能行；但如果相隔万里、素未谋面，怎么交换密钥？总不能先寄一封信把密钥寄过去吧？那密钥要是半路被Eve截获了，后面所有通信就全暴露了。
在以前通信节点少、相对固定的年代，这个问题还能勉强解决。比如银行之间，专门派专人送密钥本，定期更换。
但到了互联网时代，这一套彻底行不通了。
互联网上有几十亿个终端，随时随地都有新设备加入，网站、APP、网友千千万万。你总不能跟每个网站、每个网友都先见一面交换密钥吧？那成本高到天上去了，也根本不现实。
怎么办？难道互联网就没法实现保密通信了吗？
当然不是。
一场密码学的革命，正在悄悄酝酿。
1976年，两位密码学家迪菲和赫尔曼发表了一篇论文，提出了一个石破天惊的想法：加密和解密可以不用同一个密钥！
他们设想可以做一对密钥：一个是公开的，谁都能拿到，叫公钥；一个是保密的，只有自己知道，叫私钥。用公钥加密的信息，只能用对应的私钥解开；反过来，用私钥加密的信息，只能用对应的公钥解开。
这就是非对称加密，也叫公钥密码。
这个想法刚提出来的时候，很多人觉得是天方夜谭：哪有这样的锁，一把钥匙锁上，必须另一把才能打开？但数学上还真的能实现。
1977年，麻省理工学院的三位数学家李维斯特（Rivest）、萨莫尔（Shamir）和阿德曼（Adleman），基于“大数质因数分解”的数学难题，发明了著名的RSA算法，名字就来自三个人姓氏的首字母。
RSA的原理说穿了特别简单：找两个非常大的质数，把它们相乘，得到一个更大的数。做乘法很容易，普通电脑几秒钟就能算完；但反过来，给你这个乘积，让你找出是哪两个质数相乘得到的，就难如登天。
这就好比你把两杯细沙子倒在一起，搅和均匀，一秒钟的事；但你想把这杯混合沙重新分成完全一样的两杯，一粒都不差，几乎不可能。
公钥就是那个公开的乘积，私钥就是那两个保密的质数。
你把公钥公布到网上，所有人都能看到；别人要给你发保密信息，就用你的公钥加密，加密之后只有拿着私钥的你才能解开。
就算Eve截获了密文，也拿到了公钥，但他分解不开那个大数，自然解不开密文。
这个发明太精妙了，完美解决了互联网时代的密钥分发问题。你不需要提前和对方见面，不需要私下交换密钥，只要拿到对方的公钥，就能安全地通信。
除了加密，公钥密码还顺便解决了另一个大问题：数字签名。
刚才说了，私钥加密的信息，公钥能解开。那如果我用我的私钥加密一段信息发给你，你能用我的公钥解开，是不是就能证明这段信息确实是我发的？因为只有我有私钥啊。这就是数字签名的原理。
不仅如此，数字签名还能验证信息有没有被篡改。
通常的做法是：发信方先把原文用哈希函数（比如SHA-256）压缩成一个很短的“信息摘要”，然后用自己的私钥加密这个摘要，和加密后的正文一起发过去。
收信方收到之后，先把正文自己算一遍摘要，再用对方的公钥解开加密的摘要，两个一对比，完全一样就说明信息没被篡改，也确实是对方发的。
可能有人会问：公钥加密这么好，那我们直接所有内容都用公钥加密不行吗？
其实不行，因为公钥加密解密速度很慢。如果用来加密几GB的视频，那得等到猴年马月。所以实际应用中都是“混合加密”：
- 先随机生成一个临时的对称密钥，叫会话密钥；
- 用对方的公钥加密这个会话密钥，发过去；
- 对方用私钥解开，拿到会话密钥；
- 之后双方就用这个会话密钥加密正文通信。
这样既利用了公钥的安全性解决密钥分发，又利用了对称加密的速度优势，兼顾了安全和效率。
你平时上网，看到网址前面是https而不是http，就说明这个网站用了公钥加密。你输入的账号密码、银行卡号，都会用网站的公钥加密之后再传输，别人就算截获了也解不开。你用支付宝、微信付款，背后也是公钥密码体系在保驾护航。
可以说，没有公钥密码，就没有今天的互联网电商、在线支付，我们的网络生活不可能这么方便。
那RSA密码是不是绝对安全呢？当然不是。
它的安全性完全建立在“大数质因数分解很难”这个数学前提上。如果有一天，大数分解变得很容易了，RSA就彻底失效了。
这么多年来，人类一直在挑战RSA的破解记录，每一次破解都是算力提升的标志：
1999年，研究人员破解了RSA-155（155位二进制密钥）
2002年，破解了RSA-158
2009年，以Lenstra为首的团队成功破解了RSA-768，也就是768位的密钥。
768位听起来好像不多，但已经是当时经典计算的极限了。
那破解1024位的RSA有多难？
Lenstra团队做过估算，难度是768位的大约1000倍。如果用当年的普通台式机（2.2GHz处理器，2G内存）来算，大概需要150万年；就算用当时的超级计算机，算力是台式机的百万倍，也要一年多时间。
那现在主流的2048位RSA呢？
RSA实验室给出过数据：2048位密钥的破解难度，是1024位的2的32次方倍，也就是大约43亿倍。
我们来算一笔账：假设破解1024位RSA用普通台式机要150万年，那破解2048位就要150万 × 43亿 = 6450万亿年。
目前科学界估算宇宙的年龄也就138亿年。
也就是说，你从宇宙大爆炸第一天开始用台式机算，算到今天，连千分之二的进度都走不完。等你算完，宇宙都不知道重启多少回了。
就算用现在最顶尖的超级计算机，算力是普通台式机的百万倍，那也要大约6.45亿年，差不多就是大家常说的“10亿年级别”。
所以密码学界有个玩笑：与其担心经典计算机破解RSA-2048，不如担心太阳变成红巨星把地球烧,后者发生得可能还更快一点。
要是还不放心，我们还可以用更长的密钥，比如100万位的密钥。密钥变长之后，加密解密的速度不会慢太多，网络传输也就多花几毫秒，但破解难度是指数级上升的。经典计算机想破解100万位的RSA，基本就是天方夜谭。
本来大家日子过得好好的，觉得RSA足够安全。
直到量子计算的出现，准确地说是Shor算法的出现，打破了这份平静。
1994年，数学家彼得·肖（Peter Shor）提出了一个专门针对大数分解的量子算法，Shor算法。
这个算法最厉害的地方在于：它能把质因数分解的计算复杂度，从经典计算机的指数级，直接降到多项式级。
这话是什么意思？
简单说就是：经典计算机破解RSA，密钥每长一位，难度就翻一倍；但用量子计算机跑Shor算法，密钥变长，难度增加得非常缓慢。
打个不严谨的比方：经典计算机破解2048位RSA要10亿年，一台够用的量子计算机可能只需要几分钟。
这一下整个密码圈都炸了。
很多媒体跟风炒作：“量子计算机一出来，所有密码都废了！”“银行账户瞬间不安全了！”
但事实真的如此吗？
我们先得搞清楚：量子计算机为什么算得这么快？Shor算法到底是怎么工作的？
首先，量子计算机的核心是量子比特。
经典计算机的比特，一个时刻只能是0或者1，非此即彼。但量子比特不一样，它可以处于“既是0又是1”的叠加态。
n个量子比特，就能同时表示2^n种状态。
比如10个量子比特，就能同时表示1024种状态；20个就是百万级；30个就是十亿级。这种天然的并行性，就是量子计算的威力所在。
经典计算机要一个一个试的答案，量子计算机可以同时计算所有可能性。
Shor算法就是利用了这种量子并行性，再结合数论里的周期查找技巧，能快速找到大数的质因数。具体的数学原理很复杂，我们普通人只要知道一点：只要有一台足够强大、足够稳定的量子计算机，就能快速破解RSA。
但问题的关键是：这样的量子计算机，什么时候能造出来？
答案是：很远，至少十年二十年之内没戏。
为什么这么肯定？因为量子比特太娇贵了。
量子比特非常容易受环境干扰，温度、震动、微弱的电磁波，哪怕一点点干扰，都会让量子态出错，甚至直接坍缩，这叫“退相干”。现在的量子计算机，物理量子比特的错误率很高，大概千分之一甚至更高。
而Shor算法对错误率的要求极低，几乎不能出错。
要想稳定运行Shor算法，不能直接用物理量子比特，得先做出逻辑量子比特，通过量子纠错技术，用很多个物理量子比特来纠错，拼接成一个稳定、低错误率的逻辑比特。
比如现在主流的表面编码方案，要做出一个寿命够长、错误率达标的逻辑量子比特，大概需要上千个物理量子比特。
那运行Shor算法破解2048位RSA，需要多少个逻辑比特呢？大概需要几千个。
我们来算一笔账：一个逻辑比特要1000个物理比特，几千个逻辑比特就是几百万个物理量子比特。
几百万个物理量子比特是什么概念？现在最先进的商用量子计算机，比如IBM的Osprey处理器，也就433个物理量子比特，而且错误率还很高，连一个真正能用的逻辑比特都做不出来。
你想想，半导体晶体管从发明到集成几百万个，花了多少年？差不多半个世纪。
量子比特比晶体管娇贵得多，制造难度大得多，要做到几百万个稳定可控的物理比特，绝不是十年二十年能搞定的。
现在我们其实还处在“含噪声中等规模量子（NISQ）”时代：比特数不多，错误率高，只能做一些特定的优化、模拟任务，根本跑不了Shor算法。
所以业内普遍的看法是：能稳定运行Shor算法、实用化的通用量子计算机，至少还要二三十年，甚至更久。
当然，技术发展总有意外。
万一哪天量子计算突然突破了呢？所以密码学界也没闲着，早就开始布局“后量子密码”了，也就是量子计算机也很难破解的密码。
很多人一提到后量子时代的保密通信，第一反应就是“量子通信”。
量子通信，准确说是量子密钥分发（QKD），它的核心原理是量子力学的“不可克隆原理”：你不可能完美复制一个未知的量子态。
如果有人在半路窃听密钥，就必须测量光子，而测量必然会改变光子的状态，收发双方一比对错误率就能发现。
换句话说，量子密钥分发能做到“一旦有人监听，立刻就能察觉”，从物理原理上保证了密钥分发的安全性。
最经典的是BB84协议：发送方随机发送不同偏振方向的光子，接收方随机选测量基，然后双方公开比对用的基，留下基相同的那些比特，就是最终的密钥。
如果有人窃听，就会引入额外的错误，双方发现后直接弃用这次密钥就行。
听起来很美好对不对？但量子通信也有很多现实局限。
首先，它只能分发密钥，不能直接传输信息。
信息本身还是要走经典信道，用密钥加密之后再传。所以量子通信不是什么“超光速通信”，也不能直接传内容，它只是解决了密钥分发的安全问题。
其次，传输距离是大问题。
光子在光纤里传输会有损耗，传个几十上百公里就衰减得差不多了。要传更远就得用量子中继，但量子中继技术现在还很不成熟，离实用化很远。现在的量子通信干线，比如京沪干线，其实用的是“可信中继”，中间节点要先把密钥解密再加密，和经典中继的逻辑差不多，并不是端到端的量子安全。
第三，效率很低。量子密钥分发的成码率很低，每秒也就几兆甚至更少，和经典通信的千兆带宽比起来，差了好几个数量级。
所以现在量子通信的应用场景非常有限，只有一些对安全性要求极高的特殊场合才会用。对于普通老百姓来说，暂时还接触不到。
那除了量子通信，还有别的办法吗？当然有，而且更接地气，就是后量子密码，也叫抗量子密码。
简单说，就是找一些不管经典计算机还是量子计算机都很难解决的数学难题，基于这些难题设计新的加密算法。就算量子计算机成熟了，也破解不了。
现在美国国家标准与技术研究院（NIST）已经选出了第一批后量子密码标准，主要有四大方向：格密码、哈希密码、多变量密码、基于编码的密码。
其中最被看好的是格密码。
它基于高维空间里的“最短向量问题”：在一个复杂的高维格子里，找到最短的那个向量。
这个问题目前不管是经典算法还是量子算法，都没有高效的解法。而且格密码加密解密速度快，适合在各种设备上运行，从服务器到手机都能跑。
和量子通信比起来，后量子密码的好处太明显了：它就是纯软件算法，不用换硬件，不用铺光纤，只要升级一下软件、更新一下算法就能用，成本极低，容易大规模普及。
现在很多互联网巨头已经开始在服务器上测试部署后量子密码，为未来做准备。
说到这里，我们从信息的本质讲到通信的原理，从古代密码讲到量子计算，差不多也该收尾了。
回头看人类的通信史，其实就是一部不断追求更快、更远、更安全的历史。
从最早的手势呼喊，到文字书信，到电报电话，再到移动互联网，信息传播的速度越来越快，范围越来越广，我们的生活也因此越来越便利。
而保密通信，也跟着一路进化。
从凯撒密码到Enigma机，从对称加密到公钥密码，再到未来的后量子密码和量子通信，攻击的手段在升级，防御的技术也在进步。道高一尺，魔高一丈，从来没有绝对的安全，也没有永远破解不了的密码。
很多人觉得密码学很深奥，离自己很远。
但其实它无处不在：你手机的锁屏密码，你连的WiFi，你刷的银行卡，你登录的网站，你发的每一条加密消息，背后都有密码学在支撑。
21世纪是信息的时代，信息就是最重要的资产。保护信息安全，就是保护我们每个人的隐私和财产。
未来，量子计算、人工智能、物联网还会继续改变我们的生活，第二次信息革命还会继续深入。不管技术怎么变，通信的本质永远是传递信息，安全的本质永远是攻防的动态平衡。
我们不用神化量子计算，也不用贬低经典密码。
技术的发展自有其规律，一步一步来，总会有对应的解决方案。
热门跟贴