Cloudflare研究人员勾勒后量子网络隐私令牌：PoMFRIT盲签名4.3 KB、公钥46.6 KB，MOLE候选方案6.5至12.0 KB；均为未完成方案的估算，安全证明尚缺，所引IETF草案已过期

2026年11月6日，Cloudflare的研究人员Christopher Patton、Tianyu Zhang和Bas Westerbaan发表了一篇研究文章，讨论网络上的隐私令牌如何在量子计算机面前保持安全。这是对11月5日那篇关于智能体与网站的立场文件的后续，我们在11月6日报道过那篇文件，其中点到了MOLE，一种面向下一代Privacy Pass类令牌的设计。那篇文件讲的是计划，这篇文章讲的是它背后的密码学，并给出首批大小估算。这里的一切都还没有上线。数字是Cloudflare对仍在开发的方案做出的估算。

文章把两种风险分开。如今的Privacy Pass使用经典密码学，也就是RSA和椭圆曲线，所以量子攻击者可以随意伪造令牌，绕过速率限制。但Privacy Pass具有无条件隐私，意思是无论攻击者是否有量子计算机，都无法把一个令牌的兑换与它的签发关联起来。Cloudflare说它正在设计的新能力可以保持这一保证。就现有Privacy Pass而言，量子风险首先是抗伪造性；新方案的实验性承诺仍需单独检查隐私风险。障碍是体积：一个ML-DSA-44签名是2,420字节，而ECDSA-P256签名只有64字节。

MOLE的全称是Moderation Of unLinkable Endorsements（对不可关联背书的审核）。背书由锚点（anchor）签发，由审核方（moderator）兑换。双方约定一个锚点集合，也就是审核方信任的锚点公钥，客户端证明集合中有某个锚点签发了它的背书，但不说是哪一个。审核方随后签发一个凭证，用来管理客户端之后的交互。隐藏签发方正是重点：网站无法按签发者区别对待令牌，所以更多类型的客户端可以参与。凭证可以是盲签名、匿名信用令牌或匿名限速凭证。

提出的构件结合了两个想法。一个是VOLE-in-the-Head，一种零知识证明系统，对小二元域上的陈述具体效率很高。另一个是多变量签名，特别是Unbalanced Oil and Vinegar（UOV），它的签名只有135字节，但公钥有46.6 KB。最近在USENIX Security 2026上发表的盲签名PoMFRIT，签名达到6.7 KB，签发只要几百字节。Cloudflare的作者说，把MAYO换成UOV可以把签名降到4.3 KB，使用的是UOV和FAEST-EM-128s的NIST第三轮参数，并称这与基于格的设计有竞争力。

文章随后给出它正在构建的方案的估算。采用UOV时，每个公钥都是46.6 KB。采用UOV的PoMFRIT签发不到1 KB，兑换4.3 KB。VOLE-IHAT是MOLE背书的候选方案，签发5.6 KB，兑换6.5 KB。VOLE-ACT是MOLE凭证的候选方案，签发5.4 KB，每次花费（spend）12.0 KB。在作者的实现中每个操作只需几毫秒。这些都比经典方案大得多，作者说，用PoMFRIT替换RSA盲签名的开销，与用ML-DSA替换ECDSA相当。他们指出，经典令牌也许便宜到可以每个请求都兑换，但后量子兑换很可能要摊到多个请求上。

文章的实质在于这些保留意见。多变量方案的密码分析还很年轻。UOV和MAYO经受住了考验，但参数可能改变并增加成本。最小的体积用到了一项依赖更强假设的优化，称为one-more-UOV，文章还指出加州大学圣地亚哥分校和INRIA的研究人员最近利用Privacy Pass签发方作为签名预言机伪造了一个1024位RSA签名，而Privacy Pass本身使用2048位RSA。这一仅影响伪造、不影响客户端隐私的结论限于上述one-more-UOV优化。证明新方案与UOV同样强的安全证明还有待撰写。多变量承诺和低次伪随机生成器等想法可能进一步缩小证明，但目前还不知道它们是否安全。 另一项多变量承诺实验的参数是否安全尚不清楚，原文指出其风险也可能及于客户端隐私。

标准方面的核对带来一个限制。文章引用了IETF的匿名限速凭证（Anonymous Rate-Limited Credentials）草案。该草案draft-ietf-privacypass-arc-crypto-01在datatracker页面上被列为已过期的Internet-Draft，最后修订于2026年3月2日，所在工作组文档标记为“Dead”。这只说明所引这一版草案已过期；本次未穷尽核查后续文本或其他相关标准，不能由此推断整个领域没有活跃标准。

背景说明：盲签名让签发方在看不到内容的情况下签名，所以事后无法把签名和签发过程对上号。零知识证明让一方证明自己知道某个秘密，却不透露秘密本身。后量子密码是指对量子计算机也安全的算法，代价通常是签名和密钥更大，这正是文章反复谈体积的原因。

我们的判断：这是研究阶段的方案。所列约4至12 KB是兑换或花费等presentation操作的估算，PoMFRIT签发则不到1 KB，公钥为46.6 KB。如果这些数字经后续研究站得住，工作才可能从密码设计转向协议工程；安全证明和进一步密码分析仍待完成。它不是产品或RFC，也没有上线日期。网站运营方可以关注令牌体积、跨请求摊销和参数变化。