日本政府採購密碼清單擬納入後量子簽章 ML-DSA、SLH-DSA，徵求意見到 11 月 11 日：官方說兩者的安全評估還沒完成
趨勢新聞2026 年 10 月 29 日
網站網址列的鎖頭、手機收到的系統更新、電子公文，背後常用「數位簽章」確認兩件事：這份東西是持有對應金鑰的一方簽的（要確認是誰，還得搭配可信憑證等身分機制），內容簽完後也沒被改過。日本總務省、數位廳、經濟產業省 10 月 27 日公開徵求意見，打算把兩種能抵抗未來量子電腦的新簽章方法 ML-DSA 與 SLH-DSA，放進日本政府採購資訊系統時要參照的密碼清單「CRYPTREC 暗號清單」，收件到日本時間 11 月 11 日 24 時（台灣時間 11 月 11 日 23 時）。官方同時寫明，這兩種方法在 CRYPTREC 的安全性評估還沒做完，修訂內容沒有定案。本站的讀法：這次直接涉及的是日本政府採購參照的清單，台灣使用者會不會遇到更新，要看各產品的安排；該留意的是賣軟體、網通設備、憑證服務給日本政府機關的台灣廠商，產品支援哪些簽章演算法，之後可能會被拿來對照這份清單。
這份清單是什麼，這次要加什麼
CRYPTREC 是日本政府評估密碼技術安全性的專案，由數位廳、總務省、經產省主辦，產出的清單全名是「電子政府採購時應參照的密碼清單」。清單分三張：推薦使用的「電子政府推薦密碼清單」、可能升格的「推薦候選密碼清單」，以及為了跟既有系統相容而容許繼續使用、其他用途不建議的「運用監視密碼清單」。
2026 年 3 月，日本在推薦清單裡新增「表 2 抗量子計算機密碼（PQC）清單」。PQC 指的是設計上能抵抗量子電腦破解的密碼方法；現在常用的 RSA、ECDSA 等公鑰方法，理論上可被夠強的量子電腦破解。當時表 2 的公鑰類只收了 ML-KEM，用途是讓兩台電腦安全地約好一把共用金鑰。負責「蓋章」的 ML-DSA 與 SLH-DSA 先保留，附件寫明待安全性與實作效能評估結束後再收，預計在 2026 年度內（日本年度到 2027 年 3 月）。這三種都是美國國家標準暨技術研究院（NIST）2024 年定稿的標準，編號分別是 FIPS 203、204、205。
這次公開的「修訂草案」在表 2 的簽章欄位列出 ML-DSA-44、65、87 與 SLH-DSA 的 192、256 位元等級版本（其中 ML-DSA-44 怎麼收，是這次特別徵詢的重點），表頭加一句「建議使用 Category 3 以上」（本站譯）。
官方特別想問的：最低強度那一級要不要收
Category 是 NIST 為後量子演算法定的五種安全分類，各以一種攻擊工作量為基準，分類越高，要求通常越嚴；Category 1 的意思是，破解它所需的計算資源至少要相當於搜尋一把 128 位元區塊加密金鑰（例如 AES-128）。同一種演算法會有好幾種「規格」，ML-DSA-44 是 ML-DSA 三種規格中金鑰與簽章最小的一版，屬 Category 1 或 2，視產生金鑰用的亂數產生器強度而定。
徵求意見的重點，就是 ML-DSA-44 與 SLH-DSA 的 128 位元版本要不要列入，請各界依實際使用情況與未來預期說明理由。草案的傾向是收 ML-DSA-44、不收 SLH-DSA 的 128 位元版本。說明文件寫，ML-DSA-44「很可能在憑證與 DNSSEC 等用途被廣泛使用」（本站譯）；DNSSEC 是用數位簽章驗證網域名稱查詢結果的機制，降低查詢結果被偽造或竄改的風險。SLH-DSA 的 128 位元版本則因目前使用不如 ML-DSA 普遍，草案認為沒必要擴大收錄。另一個實際差別在簽章大小：文件列出 ML-DSA 的簽章約 2.4 到 4.6 KB，SLH-DSA 約 7.9 到 50 KB。
為什麼要猶豫？文件給的理由是時間表。日本政府系統移轉到後量子密碼，原則上以 2035 年為期限；CRYPTREC 自己的強度標準裡，128 位元安全等級在 2040 年前「可以使用」，2041 年起進入「完成移轉期間」，2051 年起依序「不可使用」。表 2 是移轉之後要長期用的清單，收進去之後再刪，會牽動政府採購與系統互通，所以低等級的不宜積極收。同一套理由下，鑰匙交換用的 ML-KEM-512（Category 1）草案不收。文件也比較了外國做法：美國國家安全局給國安系統的 CNSA 2.0，在 ML-DSA 的幾種規格中只准用 ML-DSA-87；CRYPTREC 認為兩者目的與對象不同，不必照抄。
還沒定案的部分
官方新聞稿的原句是：「ML-DSA 與 SLH-DSA 在 CRYPTREC 的安全性評估等尚未完成，修訂內容並未定案，請留意」（本站譯）。這次徵詢的是整份修訂草案，重點放在低等級版本怎麼收；正式內容要等評估結果。新聞稿寫的下一步是：收到的意見交回 CRYPTREC 再討論，連同另外進行中的安全性評估結果，再修訂清單；新聞稿沒有寫修訂日期。
同時用舊演算法和後量子演算法的「混合式」做法，CRYPTREC 也還在討論，但不在這次徵求意見的範圍。這份草案是 2026 年 7 月開始討論的專案小組開了 5 次會後整理出來的。要提意見的，官方請盡量走日本政府的 e-Gov 公眾意見平台，意見一律用日文寫，並把「ML-DSA、SLH-DSA」與「其他」分開；法人提交的意見可能連同名稱公開，不想具名要註明。
跟台灣有什麼關係
美國 NIST 10 月 27 日也定稿了移轉時間表，本站〈NIST 定稿後量子密碼時間表〉寫過：易受量子攻擊的公鑰演算法 2030 年後列為「不建議使用」，2035 年後依 NIST 標準不得再單獨使用。日本這份清單選的也是同一批 NIST 標準，差在日本要自己決定收哪幾個等級、建議用哪個等級。
台灣這邊，本站查到的對應文件是數位發展部數位產業署支持、後量子資安產業聯盟與資策會 2025 年 4 月 16 日發行的《後量子密碼遷移指引》1.00 版。它以 NIST 文件為主要參考，整理出建立計畫、盤點加密資產、問供應商、查供應鏈四個步驟，寫給台灣廠商規劃移轉用。性質是做法建議，跟 CRYPTREC 這種逐項列出演算法與等級、供政府採購參照的清單不同。
本站的讀法：這次徵詢本身不足以判定哪些產品要立刻修改，實際時程要看適用的規範、客戶要求與產品生命週期，但可以先盤點。產品如果要賣給日本政府機關，或賣給替日本政府建系統的業者，可以先確認兩件事：簽章功能支援 ML-DSA 的哪幾種規格；如果只支援 ML-DSA-44，草案雖然傾向收錄，表頭仍建議用 Category 3 以上，並對 ML-DSA-44 加註：建議盡可能使用 ML-DSA-65 或 87，處理需要長期保護的資料時強烈建議。對日本有業務、想表達意見的廠商，期限是台灣時間 11 月 11 日 23 時，要用日文提交。