从公钥-lint 到 ML-KEM 与 ML-DSA 实用后量子 X.509 信任: 注册驱动的策略、变异基准评估与导入验证
摘要
最终的 FIPS 和 PKIX 标准已确立 ML-KEM 与 ML-DSA 的规范底线, 但它们本身并不提供信任保证. 在实际后量子 X.509 部署中, 仍会出现证书配置文件语义、SubjectPublicKeyInfo 表示以及私钥容器导入等问题; 当前 PQ 公钥-lint 尚未提供可重现的工作流程, 以说明哪些检查属于认证机构, 哪些属于制品导入方, 以及这些检查在部署情境下的具体行动. 本文提出一种针对 ML-KEM 与 ML-DSA 的实用后量子 X.509 信任框架, 在狭窄可执行配置文件 pkix-core 中实现. 框架将 17 项最终标准要求转化为按所有者、阶段、检测类型、规范强度和模式相关动作索引的信任注册表; 将这些要求封装为三个运营商门槛包; 涵盖证书/配置文件、SPKI/公钥和私钥容器/导入等表面; 并通过受控的变异基准语料库进行评估, 该语料库以受限的公开附件和跨工具支持证据为依据. 在 48 项制品（包括 21 项有效和 27 项无效）的受控语料库中, 本框架在严格模式和可部署模式下均能检测所有预期的无效制品, 无误报. 严格模式阻止所有 17 项活跃要求; 可部署模式在保持相同底层检测覆盖的同时, 将恰好一项 ML-KEM 规范性条件从阻断降级为警告. 在导入方拥有的私钥表面上, 覆盖所有 7 项活跃要求, 检测 7/7 项预期无效制品, 无未发现的检测空缺. 在相当的证书子集上, 冻结的 JZLint 基线仅能检测 5/10 项预期无效制品, 并致命地拒绝 3 项有效 ML-KEM 证书, 而本本地制制品检测 10/10 项, 无致命的有效证书拒绝.
引用
@article{arxiv.2604.17003,
title = {From Public-Key Linting to Operational Post-Quantum X.509 Assurance for ML-KEM and ML-DSA: Registry-Driven Policy, Mutation-Based Evaluation, and Import Validation},
author = {José Luis Delgado Jiménez},
journal= {arXiv preprint arXiv:2604.17003},
year = {2026}
}
备注
48 pages, 13 figures, 32 tables, 6 appendices. Includes artifact, reproducibility, and cross-tool evaluation appendices