生活分享
Cloudflare 谈后量子时代的网络隐私：Privacy Pass 与 MOLE 的下一步
Cloudflare 于 2026 年 11 月 6 日发表研究文章称，未来量子计算机可能让人伪造 Privacy Pass 的“通行令牌”以绕过网站防滥用机制，但用户隐私不受影响。文章还介绍了名为 MOLE 的新一代匿名凭证设计及初步成本估算。
阅读时间约 6 分钟
发生了什么
Cloudflare 在 2026 年 11 月 6 日发表文章指出，Privacy Pass 是网站运营者（如 Cloudflare）用来保护应用免受滥用的协议。其中一种做法是“速率限制”，即限制单个客户端，避免其消耗网站过多资源。
Cloudflare 表示，传统的防滥用做法通常让用户付出代价：要么得通过 CAPTCHA 等验证，要么得登录账号或被识别身份。Privacy Pass 的设计是让客户端获取多个“令牌”（token，可以理解为数字通行证），兑换后即可访问网站。每个令牌都无法链接回最初领取它的人，因此用户不必在使用顺畅与隐私之间取舍。
Cloudflare 称已有 10 年部署经验，例如用于 iCloud Private Relay 等隐私代理服务，并正与其他机构合作开发下一代技术。目标包括管理可能消耗过多资源的 AI 代理流量，以及让更多类型的客户端更容易参与。
量子计算机对 Privacy Pass 的影响
据 Cloudflare 介绍，Privacy Pass 仍依赖 RSA 和椭圆曲线等传统密码学。一旦出现足以破解这类密码学的量子计算机，量子攻击者就能随意伪造令牌，绕过速率限制等防护机制。能够抵御量子计算机攻击的密码学称为“后量子密码学”。
不过 Cloudflare 也表示，Privacy Pass 具有“无条件隐私性”：无论攻击者是否拥有量子计算机，都无法把某次令牌兑换与最初的发放关联起来。Cloudflare 还表示，正在开发的新功能也会保持同样的保证。
MOLE 是什么
Cloudflare 称这项新技术目前名为 MOLE（Moderation Of unLinkable Endorsements，意为“不可链接背书的审核”）。在 MOLE 中，“背书”由锚点（anchor，可信的发行者）发放，再由审核者（moderator）兑换。客户端只需证明自己获得的背书来自受信任锚点名单中的某一个，而无需透露具体是哪一个。
Cloudflare 表示，MOLE 刻意隐藏发行者身份，使系统无法按发行者区别对待令牌。这样可以确保不同类型的客户端受到平等对待，也让更多客户端更容易加入。
后量子方案与成本估算
Cloudflare 指出，后量子方案的主要挑战是数据体积。以数字签名为例，后量子签名 ML-DSA-44 为 2,420 字节，传统的 ECDSA-P256 签名仅 64 字节，而且短期内难有可直接替换的方案。
文章介绍了 Baum 等人在 USENIX Security 2026 发表的 PoMFRIT。它是一种“盲签名”，即发行者在看不到内容的情况下替客户端签名，事后无法把签名与最初的发放对应起来。PoMFRIT 的盲签名为 6.7KB，发放只需数百字节。Cloudflare 称，若改用名为 UOV（Unbalanced Oil and Vinegar）的签名方案，签名可降至 4.3KB，但公钥会变大。UOV 属于“多变量密码学”，其安全性建立在求解多变量二次方程组的难度之上，一般认为连量子计算机也难以破解。
| 方案 | 发放 | 出示／兑换 |
|---|---|---|
| PoMFRIT（使用 UOV） | 小于 1KB | 4.3KB（兑换） |
| VOLE-IHAT（MOLE 背书候选） | 5.6KB | 6.5KB（兑换） |
| VOLE-ACT（MOLE 凭证候选） | 5.4KB | 12.0KB（花费） |
Cloudflare 表示，在其实现中每项操作只需数毫秒。以 PoMFRIT 取代 RSA 盲签名所增加的开销，大致相当于以 ML-DSA 取代 ECDSA。
局限与待完成事项
- Cloudflare 称，针对多变量密码学的攻击研究（密码分析）仍相对不成熟，参数可能还会调整，成本也可能增加。
- Cloudflare 仍需给出安全证明，证明只要 UOV 安全，这些协议就安全。
- 减少哈希运算次数的优化依赖较强的 one-more-UOV 假设，Cloudflare 称这一假设可能过于乐观。若假设被攻破，影响的是令牌能否被伪造，而不是客户端隐私。
- Cloudflare 提到，加州大学圣地亚哥分校与 INRIA 的研究人员曾反复让 Privacy Pass 发行者代为签名，借此伪造 1024 位 RSA 签名。Privacy Pass 使用 2048 位 RSA，并搭配其他防御措施，提供了不错的安全余量。
- Cloudflare 表示，传统盲签名或许便宜到每次请求都能兑换一次；后量子版本则需要想办法让一次兑换可用于多次请求。
常见问题
现在使用 Privacy Pass 的隐私会被量子计算机破解吗？
按 Cloudflare 的说法，不会。Privacy Pass 具有无条件隐私性，无论攻击者有没有量子计算机，都无法把令牌兑换关联到最初的发放。量子攻击者能做到的是伪造令牌。
量子计算机对 Privacy Pass 的实际风险是什么？
Cloudflare 表示，由于 Privacy Pass 仍使用 RSA 和椭圆曲线，量子攻击者可以伪造令牌，绕过速率限制等防滥用机制，因此需要后量子替代方案。
MOLE 已经上线了吗？
Cloudflare 没有说已经部署。它将 MOLE 描述为正在开发的设计，VOLE-IHAT 与 VOLE-ACT 为候选方案，数字可能变动，且仍需要安全证明和更多密码分析。
为什么后量子方案体积更大？
Cloudflare 指出，后量子密码学普遍体积较大。例如 ML-DSA-44 签名为 2,420 字节，而 ECDSA-P256 只有 64 字节，系统需要重新设计来承担这些成本。
同主题延伸阅读
生活分享
Meta 在 Muse 应用推出 spaces：描述想法，就能打造专属的个性化功能
Meta 于 2026 年 11 月 6 日宣布，Muse 用户现在可以用文字描述想法，让 Muse 创建名为 spaces 的自定义功能，例如礼物追踪或旅行规划。用户可自行安排位置，关联应用后还能在后台自动更新。
生活分享
Google Cloud 推出 Z4M 存储优化机型：大容量本地 SSD 加 400 Gbps 高速网络，瞄准 AI 训练与大型数据处理
Google Cloud 宣布 Z4M 存储优化机器系列正式推出（GA），可租用虚拟机或整台物理服务器（裸机）。Z4M 主打大容量本地 SSD 与 400 Gbps Cloud RDMA 网络，主要影响在 Google Cloud 上进行 AI 训练、运行大型文件系统或数据库的企业与开发者。性能数字为 Google Cloud 与合作伙伴自述。
生活分享
ASUS 发布 XG Core 外接显卡：USB4 连接，16GB 显存支持游戏与本地 AI
ASUS 于 2026 年 11 月 6 日宣布推出 XG Core Radeon RX 9060 XT LP 16GB GDDR6 外接显卡。它通过 USB4 连接，无需拆机就能为兼容的笔记本、游戏掌机和迷你主机补充更强的图形性能。以下整理 ASUS 公布的功能与使用前须知。
生活分享
GitHub 公布新 Git 存储架构 Rubicon：让数千个 AI 代理同时向同一仓库推送
GitHub 在工程博客中介绍了代号 Rubicon 的新 Git 存储架构。GitHub 称内部测试达到每秒 7,200 次推送，开发者使用 Git 的方式不变。新架构目前为有限私有预览，预计明年初更广泛推出。