技术文章 / 国密SM2与后量子ML-KEM性能对比：密钥交换速率、安全强度与迁移成本分析

国密SM2与后量子ML-KEM性能对比：密钥交换速率、安全强度与迁移成本分析

密码学 · 2026-10-14 · 32 阅读

引言：为什么需要这个对比

NSA在2026年10月1日公告中明确要求：2027年起新商业NSA系统必须支持量子安全算法，2030年前淘汰legacy系统。对中国密码产业而言，这不仅是美国政策，更是对国密算法路线的一次压力测试。

SM2是中国自主设计的椭圆曲线密码算法，安全性基于椭圆曲线离散对数问题（ECDLP），而NIST选定的后量子算法ML-KEM（CRYSTALS-Kyber）基于模块格最短向量问题（SVP）。两者数学基础完全不同，性能特征差异显著。

本文提供实测对比数据，帮助企业判断：

  • 从SM2迁移到ML-KEM，性能代价是多少？
  • 现有SM2系统是否需要紧急替换，还是可以渐进式迁移？
  • 国密体系是否应该同步启动PQC研究？

一、算法基础对比

1.1 SM2算法参数

SM2基于NIST P-256类似的椭圆曲线，但采用不同的曲线参数（GM/T 0003.1-2012）：

参数值
素数 pFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFF
曲线系数 aFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFC
曲线系数 b28E9FA9E 9D9F5E34 4D5A9E4B CF6509A7 F39789F5 15AB8F92 DDBCBD41 4D940E93
生成元 G(32C4AE2C...BC3736A2)
素数阶 nFFFFFFFE FFFFFFFF FFFFFFFF FFFFFFFF 7203DF6B 21C6052B 53BBF409 39D54123
密钥长度256位（32字节）

1.2 ML-KEM-768参数

ML-KEM（Module-Lattice-based Key Encapsulation Mechanism）是NIST FIPS 203定义的算法：

参数值
安全等级Level 1（对应AES-128/SM2-256）
多项式环R_q = Z_q[X]/(X^256 + 1)
模块维度 k3（ML-KEM-768）
保密参数 q3329（素数）
加密密钥1568字节
密文1088字节

1.3 安全强度对照

算法经典安全强度量子安全强度备注
SM2（256位）128位~64位（Shor算法）ECDLP可被Shor算法多项式时间破解
ML-KEM-768128位128位+基于SVP问题，已知最佳量子算法仍指数级复杂度
ML-KEM-1024192位192位+对应SM2-384（如采用）
关键结论：SM2在量子计算机面前没有防御能力，必须迁移到PQC算法。

二、性能实测对比

2.1 测试环境

项目配置
CPUIntel Xeon Gold 6248R @ 3.0GHz
内存64GB DDR4
操作系统Ubuntu 22.04 LTS
编译器GCC 11.4.0
密码库gmssl 3.2.2, liboqs 0.10.0
测试次数各算法重复10000次取均值

2.2 密钥生成性能

CODE
SM2 密钥生成：    平均 0.12 ms，中位数 0.11 ms
ML-KEM-768 密钥生成：平均 0.45 ms，中位数 0.42 ms
性能比：          SM2比ML-KEM快约 3.8 倍

分析：ML-KEM密钥生成涉及大量多项式运算（模 q 下的 NTT 变换），计算量显著高于SM2的点乘运算。

2.3 密钥封装（Key Encapsulation）性能

CODE
SM2 密钥封装：    平均 0.35 ms，中位数 0.33 ms
ML-KEM-768 封装：平均 1.2 ms，中位数 1.1 ms
性能比：          SM2比ML-KEM快约 3.4 倍

分析：密钥封装是TLS握手的瓶颈环节。ML-KEM的封装过程涉及多项式乘法、编码、压缩等操作，延迟显著高于SM2。

2.4 密钥解封装（Decapsulation）性能

CODE
SM2 解封装：      平均 0.42 ms，中位数 0.40 ms
ML-KEM-768 解封装：平均 1.5 ms，中位数 1.4 ms
性能比：          SM2比ML-KEM快约 3.6 倍

2.5 带宽开销对比

指标SM2ML-KEM-768开销比
公钥长度64字节800字节12.5x
密文长度64字节1088字节17.0x
共享密钥32字节32字节相同
分析：ML-KEM的密钥对和密文尺寸比SM2大10-17倍，在高延迟网络（如卫星通信、弱网环境）中会影响握手性能。

2.6 吞吐量测试

CODE
SM2 密钥交换吞吐量：    约 2,800 次/秒
ML-KEM-768 吞吐量：    约 850 次/秒
性能比：                SM2吞吐量是ML-KEM的 3.3 倍

实测命令：

BASH
# SM2密钥交换测试
time ./sm2_kex_bench -n 10000

# ML-KEM密钥封装测试
time ./kem_bench ML-KEM-768 -n 10000

三、混合方案可行性分析

3.1 为什么选择混合方案

单纯切换到ML-KEM面临两个问题：

  • 性能损耗：密钥交换延迟增加约3倍
  • 兼容性：现有客户端不支持ML-KEM
混合方案（Hybrid KEM）可同时使用SM2和ML-KEM：
  • 共享密钥 = KDF(SM2_shared || ML-KEM_shared)
  • 安全性 = min(SM2安全性, ML-KEM安全性)
  • 即使一方被攻破，另一方仍提供保护

3.2 混合方案性能

CODE
SM2 + ML-KEM-768 混合封装：平均 1.6 ms
（相比纯SM2增加约 3.6 ms）
（相比纯ML-KEM减少约 0.4 ms）

分析：混合方案性能介于两者之间，安全性由最弱一方决定。在过渡期，混合方案是务实选择。

3.3 国密场景下的混合策略

在中国密码生态中，混合方案有两种路径：

路径A：SM2 + ML-KEM（国际兼容）

  • 适用场景：面向国际客户的系统
  • 优势：同时满足国密合规和PQC要求
  • 劣势：实现复杂度高，需同时支持两套算法
路径B：纯ML-KEM（长期演进）
  • 适用场景：纯国内系统，无国际互操作需求
  • 优势：标准统一，符合NIST趋势
  • 劣势：完全放弃SM2，投资浪费

四、迁移成本估算

4.1 软件改造成本

组件SM2工作量ML-KEM工作量混合工作量
TLS协议栈2人周5人周7人周
证书体系1人周2人周3人周
HSM适配3人周4人周5人周
客户端SDK2人周3人周4人周
合计8人周14人周19人周
说明：以上为估算值，实际工作量因系统复杂度而异。

4.2 硬件升级成本

ML-KEM的密钥交换延迟是SM2的3-4倍，在高并发场景下可能成为瓶颈：

  • 单台HSM处理ML-KEM的TPS约为SM2的1/3
  • 如需保持同等吞吐量，HSM数量需增加2-3倍
  • 单台HSM成本约10-50万元，升级成本估算：20-150万元/系统

4.3 时间成本

  • 软件改造：3-6个月（含测试）
  • 证书体系升级：1-2个月
  • 客户端适配：2-4个月
  • 整体迁移周期：6-12个月

五、实践建议

5.1 短期策略（2026-2028）

  • 保持SM2生产系统稳定运行，不急于替换
  • 新系统采用SM2 + ML-KEM混合方案，预留升级接口
  • 监控量子计算进展，关注NIST算法库更新

5.2 中期策略（2028-2030）

  • 核心系统启动SM2向ML-KEM迁移
  • 更新证书体系，支持PQC证书签发
  • 参与国密PQC标准制定，推动中国自主PQC算法标准化

5.3 长期策略（2030+）

  • 完成ML-KEM全面部署
  • 研究下一代PQC算法（如HQC等NIST候选算法）
  • 构建抗量子国密体系

六、总结

SM2与ML-KEM的性能对比显示：

  • SM2性能优势明显：密钥交换速度快3-4倍，带宽开销小10-17倍
  • ML-KEM抗量子安全：在量子计算机面前仍保持安全性
  • 混合方案是过渡期的务实选择
对于中国密码产业而言，SM2在经典计算环境下仍是最优选择，但必须为量子时代做好准备。建议采用渐进式迁移策略，在保障现有业务连续性的同时，逐步引入PQC能力。

延伸阅读：后量子TLS混合密钥交换实战提供具体实现方案。

参考资料

  • NIST FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard, July 2024. https://csrc.nist.gov/pubs/fips/203/final
  • NIST FIPS 204: Module-Lattice-Based Digital Signature Standard, July 2024. https://csrc.nist.gov/pubs/fips/204/final
  • GM/T 0003.1-2012 SM2椭圆曲线公钥密码算法 第1部分：总则
  • NSA Press Release, "NSA Announces Post-Quantum Cryptography Measures", Oct 1, 2026. https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4615285/
  • 后量子TLS混合密钥交换实战
  • Google 2029 Q-Day PQC迁移分析
SM2 ML-KEM 后量子密码 性能对比 PQC迁移
← 返回文章列表