《第10号国家安全备忘录》2022年5月4号白宫发布NSM10全面确认抗量子算法迁移
misrepresented arguments
《第10号国家安全备忘录》
NSM10
2022年5月4号
网址：
题目：
关于促进美国在量子计算机方面的领导地位，
及如何减少“容易受到量子攻击的密码算法系统”的风险》
批准人：Joseph R. Biden JR拜登
第十号国家安全备忘录
本安全备忘录概述了美国政府与量子计算机有关的政策和倡议。
它将确定在保持美国在量子信息科学（QIS）方面的竞争优势所需要的一些关键步骤，它将提出如何减轻未来的量子计算机对美国的网络，经济，和国家安全所带来的风险。它将指导所有情治机关在美国开始将容易被量子计算机破解的计算机系统，迁移到抗量子算法，需要历经多年过程中所需要采取的具体行动。
本备忘录的一个机密附件涉及敏感的国家安全问题。
第一节 政策
（a）
量子计算机具有推动整个美国经济创新的潜力，从材料科学，制药，金融，以及能源等不同领域。
虽然量子计算机的全部应用范围仍然未知，但很明显，美国持续的技术和科学领先地位，将至少部分取决于美国在量子计算，和量子信息系统方面保持竞争优势的能力。
（b）
然而，除了其潜在的很多好处外，量子计算机也对美国的经济，和国家安全构成了重大风险。
最值得注意的是，具有足够规模和复杂程度的量子计算机，这种量子计算机也被称为密码分析破解专用相关的量子计算机即CRQC，它将能够破解美国和世界各地的信息系统上使用的大部分公钥密码。
当CRQC出现时，它可能危及民用军用通信，破坏关键基础设施的监督和控制系统，并破坏大多数基于互联网的金融交易的安全算法协议。
（C）
为了平衡量子计算机所带来的极具竞争性的机会和风险，美国政府的政策是。
(1)通过持续的投资、伙伴关系，以及对技术推广，和技术保护的持续方法，保持美国在量子信息系统QIS方面的领导地位；
(2)通过及时的，公正合理的方式，将美国的密码算法系统，过渡到可互操作的抗量子计算机破解算法，减轻CRQC这类量子计算机的威胁。
（d）
随着量子计算机技术的成熟，以及相关风险越来越大，未来可能需要更多的指导和指南：
第二节 提高美国的量子领导力
（a）
美国必须推行一个全政府和全社会的战略，以利用QIS的经济和科学利益，以及抗量子密码学算法提供的更好的安全保护。
这一战略将需要对QIS的研究和开发采取协调、积极的方法，扩大教育和人才计划，并注重发展和加强与工业界、学术机构、盟友，和志同道合的国家的伙伴关系。
（b）
美国必须寻求通过对核心的量子信息系统QIS研究项目的投资，来鼓励变革性和基础性的科学发现。
投资的目标应该是发现新的量子应用，量子元件制造的新方法，以及量子赋能技术的进步，如光子学、纳米加工、低温，和半导体系统。
（c）
美国必须努力培养具有量子相关技能的下一代科学家和工程师，包括那些与抗量子计算机破解算法有关的技能。
量子信息系统QIS和相关网络安全原则的教育，应被纳入各级学校的学术课程，以支持多样化的国内劳动力和人才的增长。
此外，至关重要的是，我们要吸引和留住人才，鼓励就业机会，使量子专家在国内就业。
（d）
为了促进量子技术的发展和抗量子计算机破解算法的有效部署，美国必须与工业界，学术界，以及州，地方，部落，和领土（SLTT）政府建立伙伴关系。
这些伙伴关系应推进联合研发计划，并简化工业和政府之间的技术转让机制。
（e）
美国必须促进与海外盟友和伙伴的专业和学术合作。
这种国际参与对于确定和跟踪全球量子信息系统QIS的趋势，以及协调量子安全和保护计划至关重要。
（f）
为了支持以上这些目标，在本备忘录发布之日起90天内，即2022年8月4号前，资助研究、开发或获取量子计算机的机构，应该与科学和技术政策（the Office of Science and Technology Policy）的办公室主任协调，以确保有一个连贯的国家战略，来促进量子信息系统QIS和技术保护，包括人才问题。
为了促进这种协调，所有这些机构，都应该确定一名与国家量子协调办公室（the National Quantum Coordination Office）的联络人，以分享信息和最佳做法，这符合《国家量子倡议法》（公法115-368）第102（b）（3）条和《2022财政年度国防授权法》（公法117-81）第6606条。
在开展所有协调工作时，应适当保护敏感和保密信息,以及情报来源和方法。
第三节 缓冲量子破解威胁的风险
（a）
任何使用现在通行的非对称公钥密码学算法的系统，或者正计划过渡到这种密码学算法的系统，都可能受到CRQC的攻击。
为减轻这种受到CRQC量子计算机破解威胁的风险，美国必须优先考虑采取行动，去及时的，公正合理的将现有通行的非对称密码学算法系统，升级过渡到抗量子计算机破解算法，目标是在2035年前, 尽可能多地减轻量子计算机破解威胁的风险。
目前，美国国家技术标准局NIST和国家安全局NSA的局长，正以国家安全系统管理人（National Manager）的身份，正在为各自管辖的范围制定抗量子计算机破解算法的技术标准。
这些标准的第一套算法，预计将在2024年前公开发布。
（b）
这一迁移升级工作的核心，是强调密码学算法的灵活性，既要减少过渡所需的时间，又要允许对未来的密码学算法标准，进行无缝地更新。
这种迁移升级的努力，是当前美国所有部门的当务之急。
从政府，到关键基础设施提供商，从商业服务机构到云供应商，以及其他所有使用容易受到CRQC量子计算机破解威胁的机构，都是当务之急。
（c）
与这些目标相一致的是：
1，
在本备忘录发布之日起90天内，即2022年8月4号前，商务部长应通过NIST主任发起一个与业界（包括关键基础设施所有者和运营商），以及NIST主任确定的其他利益相关者的公开工作组，以进一步推动抗量子计算机破解算法的采用。
该工作组应确定所需要的工具和数据集，以及其他需要考虑到的因素，为NIST制定指南，和最佳实践提供信息，以协助抗量子计算机破解算法的规划，和优先排序。
该工作组的研究结果应持续提供给管理和预算办公室（OMB）主任、总统国家安全事务助理（APNSA），和国家网络主任，以便纳入规划工作中。
2，
在本备忘录发布之日起90天内，即2022年8月4号前，商务部长应通过NIST主任，在国家网络安全卓越中心（NCCE）建立一个 "向抗量子计算机破解算法迁移的项目组"，
该项目组将与私营公司合作，解决向抗量子计算机破解算法过渡所需要带来的一些网络安全挑战。
该项目组应制定相关方案，以发现和补救任何不使用抗量子计算机破解算法的系统，以及仍然依赖一些容易被量子计算机破解威胁的系统如何去发现和补救。
3，
在本备忘录发布之日起180天内，即2022年11月4号前，以及此后每年，国土安全部DHS的部长，应通过网络安全和基础设施安全局CISA局长，并与部门风险管理机构（Sector Risk Management Agencies）协调，与关键基础设施, 和SLTT合作伙伴就量子计算机带来的风险进行接触，并向OMB主任、亚太国家安全局APNSA，和国家网络主任National Cyber Director提供一份年度报告.
该报告中必须包括如何加快以上所有这些相关机关，升级迁移到抗量子计算机破解算法的建议。
4，
在本备忘录发布之日起180天内，即2022年11月4号前，并在持续的基础上，OMB主任应与CISA主任、NIST主任、国家网络主任，和NSA主任协商，为如何清点及分门别类所有目前已经部署的密码学算法系统（不包括国家安全系统（NSS））制定要求。
这些要求应包括一份优先考虑的关键信息技术（IT）资产清单，临时基准，以及一个共同的（最好是自动的）评估过程，以评估IT系统中，如何向抗量子计算机破解算法迁移的进展。
5，
在本备忘录发布之日起1年内，即2023年5月4号前，以及此后每年，所有联邦文职行政部门(FCEB)机构的负责人，均应向CISA主任，和国家网络主任，提交一份仍容易受CRQC量子计算机破解威胁影响的IT系统清单，应该特别关注高价值资产，和高影响系统。
同时，该清单应包括目前在IT系统上使用的加密方法，包括系统管理员协议、需要升级数字签名的非安全软件和固件，以及其他关键资产的信息。
6，
在2023年10月18日之前，以及此后每年，国家网络主任应根据本备忘录第3(c)(v)小节所述的清单，并与CISA主任, 和NIST主任协调，向APNSA和OMB主任提交一份关于FCEB机构将非NSS的IT系统, 迁移到抗量子计算机破解算法的进展情况报告。
该情况报告，应包括对如何确保那些容易被量子计算机破解的IT系统，如何免受潜在敌手的访问，预防量子计算机破解的威胁，所需资金的评估，对其正在进行的协调工作的描述和分析，以及实现拟议中的里程碑的战略和时间表。
7，
在本备忘录第3(a)小节提到的第一套NIST抗量子计算机破解算法标准发布后的90天内，以及此后每年根据需要，商务部长均应通过NIST主任，发布一份关于在标准中废除那些容易受量子计算机破解威胁影响的密码学算法的拟议时间表。
该时间表的目标，是在发布第一套标准的十年内，使最大数量的系统，摆脱容易受到量子计算机破解威胁的密码学算法。
NIST主任应与适当的技术标准机构合作，鼓励商业密码学方法的互操作性。
8，
在本备忘录第3(a)小节中提到的第一套NIST抗量子密码标准发布后的一年内，OMB局长应与CISA局长和NIST局长协调，发布一份政策备忘录，要求FCEB机构制定计划，将其非NSS信息技术系统升级到抗量子计算机破解算法。
这些计划应迅速制定，并被设计为首先去解决最关键的一些风险。
OMB主任应与每个FCEB机构的负责人合作，估计在已经计划的支出之外，升级那些容易被量子计算机破解的脆弱系统的成本，确保每个计划在相关机构之间协调共享，以评估解决方案之间的互操作性，并与国家网络主任协调，确保计划得到相应更新。
9，
在本备忘录第3(a)小节中提到的第一套NIST抗量子计算机破解算法标准发布之前，FCEB机构的负责人，不应采购任何商业抗量子计算机破解算法的解决方案，以及这类用于支持企业和特定任务运作的IT系统。
然而，为了帮助预测潜在的兼容性问题，这些FCEB机构的负责人，应该对已经实施了预先标准化的抗量子计算机破解算法的商业解决方案进行测试。
这些测试将有助于在早期阶段，确定FCEB的IT环境中可能出现的互操作性，或性能问题，并有助于缓解这些问题。
这些FCEB机构的负责人，应继续实施并在必要时升级现有的密码设施，但只有在NIST的第一套抗量子计算机破解算法标准完成，并在商业产品中实施后，才应过渡到抗量子计算机破解算法。
同时应该鼓励符合国际标准，并可能要求符合互操作性的标准。
10，
在本备忘录发布之日起1年内，以及此后每年，国家安全局NSA局长，作为国家管理者，在与国防部长，和国家情报局局长协商后，应就抗量子计算机破解算法的迁移，实施，和对国家安全局的监督提供一些指导。
该指导应符合国家安全备忘录NSM8（改善国家安全、国防部和情报界系统的网络安全）的要求。
国家管理员应酌情与OMB主任，和国家网络主任分享最佳的策略和方式，以及一些经验教训。
11，
在本备忘录发布之日起1年内，并在持续的基础上，按照NSM8第1节的规定，运营NSS的机构负责人，应确定并记录下在NSS里，那些使用了容易被量子计算机破解的脆弱的密码学算法的所有情况，并向国家主管部门提供这一信息。
12，
在国家安全主任发布了本备忘录第3(a)节中提到的抗量子计算机破解算法标准后的180天内，以及此后每年，国家主管部门应发布在NSS中，确定如何废弃那些容易被量子计算机破解的脆弱的密码学算法的正式时间表，直到完成向抗量子计算机破解算法的迁移。
13，
在国家主管部门发布本备忘录第3(a)小节所提及的抗量子密码学标准的1年内，以及此后每年，运营或维护NSS的机构负责人应向国家主管部门，并酌情向国防部首席信息官或情报界首席信息官（视其各自的管辖范围而定）提交一份在所有NSS中，过渡到抗量子计算机破解算法的初步计划。
这些计划应每年更新，并应包括相关里程碑、时间表、授权、障碍、资金需求，以及机构负责人根据NSM8第3节，和国家经理的指导授权的例外情况。
14，
到2023年12月31日为止，维护NSS的情治机关，应实施对称密钥保护方法（例如，高保障互联网协议加密器（HAIPE）不包括密钥，或VPN对称密钥解决方法），以酌情并与国家主管部门协商，为那些容易受量子计算机破解威胁影响的密钥交换算法，提供更多额外保护。
这些对称密钥保护方法的实施，应力求避免干扰互操作性，或其他算法的现代化工作。
15，
在2023年12月31日之前，国防部长应向亚太国家安全局APNSA，和监察员办公室OMB主任，提交一份关于量子计算机对国防工业基地，和国防供应链的风险评估报告，以及一份与关键性的商业机构合作的计划，以帮助这些关键性商业机构升级他们的IT系统，实现抗量子计算机破解。
第四节，保持美国科技领先
（a）
除了促进量子技术方面的领导力，减少CRQC量子破解的风险外，美国政府必须努力保护相关的量子计算机技术的研发和IP知识产权，并保护相关的赋能技术和材料。
保护机制将有所不同，但可能包括反情治措施、目标明确的出口管制，以及对工业界，和学术界进行网络犯罪，和知识产权IP盗窃威胁的教育活动。
（b）
所有负责促进或保护量子信息系统QIS，和相关技术的机构，都应该了解量子计算机的对抗性使用所带来的安全影响，并在实施新政策，新计划，和新项目时，要考虑这些量子计算机带来的安全影响。
（c）
美国应确保保护美国开发的量子计算机技术不被对手盗用。
这将需要开展宣传和教育，对工业界，学术界，和SLTT合作伙伴了解知识产权IP盗窃的威胁，以及强大的合规性，内部威胁检测，和网络安全计划对量子计算机技术的重要性。
联邦执法机构和其他相关机构，应酌情调查和起诉，从事盗窃量子计算机商业秘密，或违反美国出口管制法律的行为人。
为支持保护敏感信息的努力，联邦执法机构应与负责开发和推广量子计算机技术的机构交流相关的知识产权IP的威胁信息。
（d）
根据这些目标，在2022年12月31日前，资助研究、开发或获取量子计算机或相关量子信息系统QIS技术的机构负责人，应制定全面的技术保护计划，以保障量子信息系统QIS研发、获取和用户访问。
这种技术保护计划，应该在各机构间协调，包括与联邦执法部门协调，以保障量子计算机的研发和知识产权、获取和用户访问。
这些计划应每年更新，并提供给APNSA、OMB主任和国家科技委员会量子科学的经济和安全影响小组委员会的联合主席。
第五节：对本备忘录的一些定义
（a）
本文件中的术语 "机构 "指《美国法典》第44章第3502条赋予含义的机关。
（b）
术语 "关键基础设施 "是指对美国非常重要的系统和资产，无论是有形的，还是虚拟的，其丧失能力，或被破坏都将对国家的安全、经济、公共卫生和安全，或其任何组合产生削弱作用。
（c）
术语 "算法灵活性 "是指一种算法的设计特征，它能够在未来更新加密算法和标准，而不需要修改或替换周围的基础设施。
（d）
术语 "密码分析相关量子计算机 "或 "CRQC "是指能够破解破坏当前大多数非对称公钥密码学算法的量子计算机。
（e）
术语 "联邦文职行政部门机构 "或 "FCEB机构 "是指除国防部或情治机关以外的其他任何联邦机构。
（f）
术语 "高价值资产 "是指对一个组织非常关键的信息，或信息系统，该信息的丢失或损坏，或对该系统的访问权丢失或者丧失，都将对该组织履行其使命，或开展业务的能力，产生严重影响。
（g）
术语 "高影响系统 "是指一个信息系统，其中至少有一个安全目标（即保密性、完整性或可用性）被赋予联邦信息处理标准（FIPS）199的潜在影响值为 "高"。
（h）
术语 "信息技术 "或 "IT "具有44 U.S.C. 3502所赋予的含义。
（i）
术语 "国家的安全系统 "或 "NSS "具有44 U.S.C. 3552(b)(6)中赋予它的含义，也应包括44 U.S.C. 3553(e)(2)和44 U.S.C. 3553(e)(3)中所述的其他国防和情治系统。
（j）
术语 "量子计算机 "是指利用量子状态的集体特性，如叠加、干涉，和纠缠，来进行计算的计算机。
量子物理学的基础使量子计算机有能力以比经典（即非量子）计算机快得多的速度解决一部分困难的数学问题。
（K）
术语 "量子信息科学 "或 "QIS "具有15 U.S.C.8801(6)赋予它的含义，指研究和应用量子物理学定律来存储、传输、操纵、计算或测量信息；
（l）
"抗量子计算机破解算法 "指那些被评估为不特别容易受到CRQC或经典计算机攻击的密码学算法，也被称为后量子密码学。
第六节：总则
（a）
本备忘录中的任何内容都不应被解释为损害或以其他方式影响：
1) 法律赋予行政部门或机构或其负责人的权力，包括对情报来源和方法的保护；或
2) 监察员办公室OMB主任与预算、行政或立法提案有关的职能。
（b）
本备忘录的执行应符合适用的法律，并以可获得的拨款为前提。
（c）
本备忘录的执行也应不妨碍情报活动的开展或支持，所有执行措施的设计应符合对敏感信息和情报来源及方法的适当保护。
（d）
本备忘录无意也没有产生任何的，可由任何一方在法律或衡平法上，对美国、美国各部门、各机构或实体、其官员、雇员或代理人或任何其他人，强制执行的实质性，或程序性权利或利益。
-------END--