Signal 借助纠删码分块，通过聊天传递 2,272 字节的后量子密钥

据 Ars Technica 报道，Signal Messenger 于 2025 年 10 月发布了一份关于 Signal 协议进一步抗量子更新的说明，此前 2023 年已进行 PQXDH 握手变更。该握手可抵御量子攻击，但乒乓式 Diffie-Hellman 棘轮中的临时密钥则不能。Signal 选择保留这一久经考验的棘轮，并在其之上新增一个基于 ML-KEM-768 的第三重棘轮，而非将其移除。

障碍在于体积：一个 X25519 密钥约为 32 字节，而 ML-KEM 密钥加密文合计 2,272 字节，增长了 71 倍，而该协议必须能在不可靠或敌对的网络上异步工作。若仅每第 50 条消息或每周发送一次密钥，一旦消息丢失，或攻击者丢弃较大的消息，就会失败。若发送 71 个分块，一旦对手持续丢弃其中一个分块，也会失败。

Signal 的答案是纠删码：将密钥拆分为若干分块，只需足够多的子集即可重建密钥，从而容忍丢包。KEM 计算也被拆分为更小的步骤，使公钥和密文的部分内容可以并行发送。

将大密钥拆分为纠删码分块，通过普通消息发送，因此即使部分分块被丢弃，只要足够多的子集仍在，就能重建密钥。

保留现有棘轮，既保住了久经考验的代码，也保留了对当今经典攻击者的防护。

纠删码意味着只要有足够多的分块就能重建密钥，因此消息丢失不会使交换停滞。

攻击者无法通过丢弃某个特定数据包来阻止密钥更新，因为没有任何单个分块是必需的。

拆分 KEM 计算使工作可以并行进行，从而限制性能开销。

当一项新需求大到无法放入单个数据包时，应将其拆分，使容错能力内建于编码之中，而不是寄望于数据流保持完整。

一位曾任微软后量子负责人的专家称该设计是扎实而周密的改进，并指出了可最大限度减少网络性能影响的优化措施。Ars 的文章将 Signal 视为一个例外：当时《财富》500 强网络中仅有 18% 支持抗量子 TLS，Cloudflare 内部的 TLS 连接中支持抗量子 TLS 的不足一半。该摘录未给出实测性能数据。