问NIST后量子项目中的安全级别:例如AES-128 vs SHA-256

EN

这是由于Brassard等人关于散列函数的S方法，它对n位哈希函数有\mathcal{O}(\sqrt[3]{n})攻击时间，而格罗弗's方法有\mathcal{O}(\sqrt{n})-time。

• 一级:至少和AES-128 \mathcal{O}(\sqrt{2^{128}}) = \mathcal{O}(2^{64}) - by Grover一样难打破
• 二级:至少和Brassard等人的SHA-256 \mathcal{O}(\sqrt[3]{2^{256}}) \approx \mathcal{O}(2^{85})一样难打破。
• 三级:至少和AES-192 \mathcal{O}(\sqrt{2^{192}}) = \mathcal{O}(2^{96}) - by Grover一样难打破
• 四级:至少和Brassard等人的SHA-384 \mathcal{O}(\sqrt[3]{2^{384}}) = \mathcal{O}(2^{128})一样难打破。
• V级:至少和Grover公司的AES-256 \mathcal{O}(\sqrt{2^{256}}) = \mathcal{O}(2^{128})一样难打破

两种量子哈希碰撞方法的时空比较。

伯恩斯坦有一篇很好的文章散列碰撞的成本分析:量子计算机会使SHARCS过时吗？，关于与平行化的范欧斯考特-维纳的比较。你也可以阅读粗糙的骨骼的回答。