摘要

  • OpenPGP 工作组对 draft-ietf-openpgp-nist-bp-comp-04 的最后征求意见期原定于 2026 年 9 月 9 日结束。当前记录仍是处于工作组最后征求意见阶段的活跃 Internet-Draft，预期状态为 Informational；截止日不等于通过。
  • 第 04 版采用实验编号 100—107。工作组提案、开放分支和实现试验已出现 37—44，但抓取时的 IANA 注册表仍把 37—99 标为未分配。
  • 对四种复合 KEM 而言，算法编号会作为 algId 输入 multiKeyCombine，改变派生出的密钥加密密钥和被封装的会话密钥材料；对四种复合签名而言，包字节与指纹也会改变。
  • 互操作结果应附带“算法状态回执”：草案版次、准确编号、分支提交、向量哈希、实现构建、注册表状态和正式发布资格缺一不可。

工作组最后征求意见通知于 8 月 19 日发出，请成员在 9 月 9 日前反馈。它证明审议窗口已经开启，却没有预告审议结论。抓取时的 Datatracker 文档页仍显示 In WG Last Call，IESG 状态只是 I-D Exists，没有列出 shepherd、负责的 Area Director 或 telechat；历史页记录了流程推进，但同样不能替代工作组结论。该草案的预期状态是 Informational，不是已经生效的 RFC。

第 04 版草案试图把 NIST 后量子算法与成熟的椭圆曲线算法组合后用于 OpenPGP。它列出四种复合 KEM 和四种复合签名方案，全部属于可选实现，并暂用 100 至 107。草案明确把这些值归为私有或实验用途：可以服务于未正式发布的软件与互操作实验，但正式版本不得使用；在所有所列算法获得非实验编号之前，文档不会提交给 IANA。

代码先试走下一步

工作组邮件中的一份编号提案把八种算法排入 37—44。Daniel Kahn Gillmor 在回复中认为这种安排看起来可行，同时提醒实现者：在发布出来的新草案真正采用非实验编号之前，仍应继续使用实验编号。这句话划出了一条细线——可以为下一版做验证，但不能把准备中的数字写成已经生效的共同事实。

编辑仓库需要完整向量才能验证这种改动。GitHub PR 50在抓取时处于开放、非草稿、未合并状态，头提交为 577adce5255e7382e5d4b0c9e52be626deb77126。它在 27 个文件中把 100—107 改成 37—44，并重新生成指纹、KEM 输出与测试向量。

实现者的措辞已经开始向下一状态靠拢。一封作者邮件把 37—44 称为“已分配”编号并发布相应向量；另一封 rPGP 验证邮件称该实现已经改用 37—44，计算结果与 NIST 向量一致，但互操作测试套件要等编号确认后再更新。GitLab MR 255正体现这种克制：它仍是开放、草稿、未合并状态，说明文字明确要求正式分配前不要合并。

这不是谁对谁错，而是四类证据的生效时钟不同：已发布草案说明当前试验基线，编辑分支验证下一版内容，实现分支证明代码能否跑通，公共注册表记录程序授权后的编号。若测试报告只写“通过”，读者根本不知道它验证的是哪一个状态。

改编号为什么会改密文材料

复合 KEM 流程会从公钥包解析算法标识，再把它作为 algId 传入 multiKeyCombine。该函数派生出的密钥加密密钥用于封装会话密钥材料。因此，即使双方使用相同的 ML-KEM 和 ECDH 组件值，一方把算法写成 100、另一方写成 37，也不会得到同一把派生密钥，解封装自然不能靠“算法其实一样”来补救。

复合签名也受影响。算法编号写在 OpenPGP 密钥包内，编号变化会改变序列化字节，进而改变指纹以及据此生成的其他可复核材料。此次迁移没有重新定义 ML-KEM、ECDH 或签名原语，更不能单凭换号断言安全性提高或下降；变化发生在原语与 OpenPGP 格式的绑定层。必须重算向量，恰好说明编号不是旁注。

公共注册表仍停在哪里

抓取时的 IANA OpenPGP 注册表标注最后更新于 2026 年 7 月 2 日。编号 35、36 已归于 RFC 9980，37—99 仍是 Unassigned，100—110 则是 Private or Experimental Use。所以，开发邮件里的“已分配”只能按其上下文理解为预期安排或分支状态，不能当作当时公共注册表的事实。

RFC 9580给出当代 OpenPGP 包格式及注册表框架，RFC 8126则解释各类分配政策的制度含义。注册表的一行并不认证算法安全、强制部署或批准产品发布；反过来，注册表尚未落位也不会抹掉实验室互操作的技术价值。关键是不要让证据的声明超过其所处状态。

最小治理工具是一张随结果同行的状态回执。它应列出：文档版次与标准流程状态；已发布草案中的实验编号；编辑分支中的拟用编号；PR/MR 是否草稿、是否合并及准确提交；IANA 行与观察时间；测试向量提交和哈希；实现版本与构建；实际执行的编号；当前文本是否允许正式发布。这样，旧的 100 系列向量不会被静默覆盖，它们仍能证明旧实验状态；新的 37 系列向量也无需冒充已经完成的公共分配。

来源