UEFI安全启动后量子演进：规范与ML-DSA固件签名

本文全面剖析以主板底层固件与只读存储器（ROM）为物理起点的计算机启动信任根（Root of Trust, RoT）从传统椭圆曲线与大整数分解密码体系向后量子密码（PQC）演进的系统工程。涵盖统一可扩展固件接口论坛（UEFI Forum）最新发布的 UEFI 2.12 规范中对安全启动信任链的重构、EFI 密码指示表（ECIT）在操作系统与固件间的多路能力协商、授权数据库（db）与撤销数据库（dbx）多签名验证判定流水线、待签证书哈希（TBSCertificate Hash）在物理 NVRAM 存储预算下的压制方案，以及模块格签名算法 ML-DSA-65 在驱动执行环境（DXE）阶段的高性能常量时间数论变换（NTT）与 PE/COFF Authenticode 验签微架构。

1. 引言与固件信任根量子威胁建模

在现代通用计算体系与企业级数据中心服务器的基础设施安全架构中，主板底层固件（BIOS/UEFI Firmware）构成了整个计算平台信任链条的绝对物理基石。从中央处理器通电复位（Power-on Reset）的第一纳秒起，系统执行硬件写保护物理 SPI NOR Flash 芯片中的初始重置向量代码，随后依次跨越安全验证（SEC）、预初始化（PEI）、驱动执行环境（DXE）、引导设备选择（BDS）以及瞬态引导环境，最终将处理器的控制权移交给操作系统内核。在这套链条中，安全启动（Secure Boot）机制承担着守卫操作系统引导加载程序（OS Loader/Shim）、硬件选件只读存储器驱动（Option ROM）以及系统核心组件完整性与真实性的核心防线。通过在固件执行每个后续软件镜像前对其携带的 Authenticode 数字签名进行强制密码学验签，安全启动从根本上杜绝了隐蔽引导套件（Bootkit）与固件级持久化恶意软件（Rootkit）在操作系统内核加载前夺取系统特权的可能。

然而，现行广泛部署于全球服务器、工业控制中台、智能终端与边缘计算设备中的 UEFI 安全启动体系，其背后的公钥密码学基础完全建立在经典非对称算法之上，主要依赖 RSA-2048/RSA-4096 算法以及 NIST P-256（secp256r1）或 P-384 椭圆曲线数字签名算法（ECDSA）。根据量子信息物理学与量子算法理论，经典公钥密码体系所依赖的数学困难性假设——大整数质因数分解难题（IFP）与离散对数难题（DLP/ECDLP）——在容错通用量子计算机面前存在着根本性的理论漏洞。Shor 算法利用量子傅里叶变换（Quantum Fourier Transform, QFT）能够以多项式时间复杂度高效求解群阶周期：

对于标准 RSA-2048 体系，仅需约 4,098 个稳定逻辑量子比特与 $2.0 \times 10^{10}$ 个 Toffoli 门操作即可在数小时内分解模数 $N=p \cdot q$；而对于 P-256 椭圆曲线体系，甚至仅需约 2,330 个逻辑量子比特与 $1.2 \times 10^9$ 个 Toffoli 门操作即可由公钥点 $Q = [d]G$ 逆向反解出私钥标量 $d$。其核心机理在于构建双变量周期函数：

通过在二维量子寄存器中制备均匀叠加态并施加量子模加与量子椭圆曲线点加运算，量子计算机可在多项式步长内测量出满足 $x + yd \equiv 0 \pmod r$ 的周期结构，从而彻底瓦解私钥安全性。

与网络传输层通信加密面临的“先收集、后破译”（Harvest Now, Decrypt Later, HNDL）威胁相比，固件安全启动体系面临着更为致命且具备长期不可逆特征的“先采集、后伪造”（Harvest Now, Forgery Later）威胁。在固件工程实践中，硬件计算设备的物理部署周期通常长达 7 至 15 年，尤其在关键基础设施、工业自动化生产线、变电站自动化控制中台与金融骨干机房中，主板硬件一旦完成物理上架与工程验收，其出厂预置的平台信任根（Platform Key, PK）与密钥交换密钥（KEK）往往伴随设备终身运行。由于固件签名公钥、厂商数字证书与固件更新包在物理上均公开暴露在网络固件分发服务器与本地闪存镜像中，攻击者可以轻易截获并持久归档全球主流硬件厂商发布的固件签名公钥与凭据。一旦量子计算机实现工程落地，攻击者便能够利用 Shor 算法离线反推厂商根私钥，针对全球在役设备肆意伪造具备合法后门特权的恶意固件镜像或 Bootkit，使所有依赖传统硬件信任根的访问控制、内存隔离与远程证明机制瞬间瓦解。

此外，从物理总线与硬件微架构攻击面审视，传统的 SPI NOR Flash 芯片通过串行外设接口总线（SPI Bus）与主板南桥或平台控制器集线器（PCH）相连。在系统复位早期阶段，内部硬件安全防护引擎尚未完全初始化，如果固件未能在最底层建立起抗量子篡改的度量与验签闭环，物理接触式攻击者便能通过逻辑分析仪监听 SPI 时钟、主入从出（MISO）与主出从入（MOSI）引脚信号，实施故障注入（Fault Injection）或篡改固件镜像。在直接内存访问（DMA）防护机制（如 IOMMU / VT-d）建立之前，未经强密码学验签的第三方 Option ROM 甚至能够通过总线主控特权直接越权覆写主板只读内存中的特权调度表。因此，构建基于后量子密码的原生固件信任根，是捍卫现代算力基础设施底层安全的必然选择。

为此，国际标准化组织与计算联盟迅速展开了固件底层信任根的后量子迁移规划。美国国家标准与技术研究院（NIST）于 2024 年正式发布了包括 FIPS 204（ML-DSA 模块格数字签名）在内的后量子密码标准体系。统一可扩展固件接口论坛（UEFI Forum）随后在 UEFI 2.12 规范中正式推出了针对后量子密码体系的全面升级草案，确立了以基于模块格的数字签名（ML-DSA-65 / ML-DSA-44）与基于无状态哈希的签名（SLH-DSA）为核心的下一代安全启动架构，系统性重构了密钥层次、多签名判定策略与存储压缩机制。

2. UEFI 2.12 规范后量子架构演进与全局密钥层次体系

UEFI 安全启动的信任传递依赖于一套严密的分层公钥管理体系。在 UEFI 2.12 规范中，为了在引入后量子公钥体系的同时保持向后兼容性与密码敏捷性（Crypto Agility），该分层体系在物理结构与逻辑语义上均进行了针对性演进。

2.1 平台密钥（PK, Platform Key）与密钥交换密钥（KEK）

平台密钥（PK）是整台计算平台安全启动信任链的根实体，代表了平台的物理所有者或原始设备制造商（OEM）。PK 负责控制平台安全模式的开启与关闭，并直接对密钥交换密钥（KEK）的更新操作提供签名背书。在 UEFI 2.12 规范中，PK 的推荐密码学算法从原有的 RSA-2048/3072 全面升级为基于模块格的 ML-DSA-65（对应 NIST 安全等级 3，提供等效于 AES-192 的抗量子安全强度）或基于无状态哈希的 SLH-DSA-SHAKE-192f。

密钥交换密钥（KEK）由平台所有者授权的一个或多个操作系统发行商（OSV）或第三方硬件厂商持有。KEK 主要用于对下游签名数据库（db）与撤销数据库（dbx）的增量更新与变量写操作（SetVariable()）进行 PKCS#7 / CMS 格式的身份认证。UEFI 2.12 规范明确要求，KEK 数据库支持混合算法注册，允许同时并存传统的 RSA/ECDSA 证书与后量子 ML-DSA 证书，以确保操作系统厂商能够在不破坏存量硬件固件兼容性的前提下，平滑下发后量子签名授权。

2.2 授权数据库（db）、撤销数据库（dbx）与时间戳/恢复数据库（dbt/dbr）

下游的数据库集合直接参与引导期每一个 PE/COFF 二进制镜像的合法性判定：

1. 授权数据库（db）：包含了被平台信任的证书列表（X.509 格式）或二进制镜像本身的抗碰撞密码学散列值（SHA-256/384/512）。在 UEFI 2.12 中，db 新增了对 ML-DSA 公钥证书（RFC 9881）与待签证书哈希（TBSCertificate Hash）的原生解析支持；
2. 撤销数据库（dbx）：包含了已知存在安全漏洞、私钥泄露或被恶意利用的二进制镜像散列值与证书签名散列值。dbx 拥有绝对的最高阻断优先级；
3. 时间戳签名数据库（dbt）：用于验证携带 RFC 3161 权威时间戳的可执行镜像，防止过期已撤销证书被利用进行时间回溯攻击；
4. 恢复数据库（dbr）：用于系统在发生严重固件损坏或安全启动配置故障时，在安全恢复模式（Recovery Mode）下对备份固件镜像进行单向验签。

在数据结构层面，UEFI 固件中的所有密钥数据库均序列化为连续的 EFI_SIGNATURE_LIST 链表。每一个 EFI_SIGNATURE_LIST 包含一个声明签名类型的 SignatureType GUID、头部大小、单个签名元素大小以及紧随其后的 EFI_SIGNATURE_DATA 数组。在传统固件中，SignatureType 通常为 EFI_CERT_X509_GUID 或 EFI_CERT_SHA256_GUID；而在 UEFI 2.12 规范中，新增了针对后量子哈希的 EFI_CERT_X509_SHA384_GUID 与 EFI_CERT_X509_SHA512_GUID。

2.3 基于 X.509 v3 的后量子证书链拓展与 RFC 9881 编码规范

在经典公钥基础设施中，X.509 证书的公钥封装依赖于 SubjectPublicKeyInfo 结构体。IETF 在 RFC 9881 规范中正式为模块格算法 ML-DSA 分配了标准对象标识符（OID）：

• id-ml-dsa-44：2.16.840.1.101.3.4.3.17，公钥物理长度为 1,312 字节；
• id-ml-dsa-65：2.16.840.1.101.3.4.3.18，公钥物理长度为 1,952 字节；
• id-ml-dsa-87：2.16.840.1.101.3.4.3.19，公钥物理长度为 2,592 字节。

RFC 9881 明确规定，在 AlgorithmIdentifier 中引用上述 OID 时，其算法参数（Parameters）字段必须被物理省略（ABSENT），严禁编码为 ASN.1 NULL。公钥位串（BIT STRING）直接承载原始的种子 $\rho$ 与多项式高位向量 $\mathbf{t}_1$ 的紧凑二进制编码，没有任何额外的 ASN.1 嵌套，从而在保持国际标准通用性的同时大幅降低了 BIOS 内置轻量级 ASN.1 解析器的内存开销与解析漏洞风险。

下面的架构图展示了 UEFI 2.12 后量子安全启动信任链条的完整分层结构与双重判定机制：

3. 多签名验证策略重构与 DBX 撤销机制革新

在将后量子签名引入现实工程系统的过程中，遇到的最大系统级矛盾在于过渡时期的双签名（Dual-Signing / Composite Signature）兼容性与撤销判定逻辑的冲突。

3.1 经典规范中的“单点撤销悖论”

在 UEFI 2.10 及更早期的规范中，关于安全启动镜像验签的判定规则存在一条致命的模糊条款：规范规定“若镜像本身或其携带的任何一个签名出现在 dbx 中，则该镜像不得通过验证”。这一策略在单一签名时代能够有效工作，但在后量子迁移过渡期却引发了严重的“单点撤销悖论”。

在实际迁移过程中，操作系统发行商（如 Linux 发行版或 Windows）为了确保同一套安装介质既能在支持 UEFI 2.12 后量子安全启动的新硬件上引导，又能在仅支持经典 RSA 的老旧存量主板上运行，通常会在 PE/COFF 镜像的 Authenticode 签名块中同时附带一个经典 RSA-2048 签名和一个后量子 ML-DSA-65 签名。如果在未来某个时间点，由于经典 RSA 算法被量子计算攻破或其历史私钥被列入全局 dbx 撤销列表，按照旧版规范的判定逻辑，即使用户的主板固件已经完全支持后量子密码，且镜像上的 ML-DSA-65 签名绝对合法，该镜像仍会因为携带了已被列入 dbx 的 RSA 签名而遭到固件的整机拒绝（False Positive Rejection），导致整个操作系统无法启动。

3.2 UEFI 2.12 规范严格自顶向下判定流水线

为了彻底根除上述悖论，UEFI 2.12 规范重新制定了严格的自顶向下（Top-Down）镜像多签名验证与撤销判定顺序逻辑，其标准化执行流严格定义如下：

// UEFI 2.12 标准镜像验证与 DBX 撤销判定核心状态机
EFI_STATUS
Uefi212VerifyImageMultiSignature(
    IN EFI_IMAGE_LOAD_CONTEXT *Context,
    IN EFI_SIGNATURE_DATABASE *Db,
    IN EFI_SIGNATURE_DATABASE *Dbx
)
{
    // 步骤 1: 绝对阻断检查 — 镜像本身的完整哈希是否存在于 dbx 中
    if (IsImageHashInDatabase(Context->ImageDigest, Context->DigestType, Dbx)) {
        return EFI_SECURITY_VIOLATION; // 二进制哈希被明确撤销，绝对拒绝
    }

    // 步骤 2: 白名单直通检查 — 镜像本身的完整哈希是否存在于 db 中
    if (IsImageHashInDatabase(Context->ImageDigest, Context->DigestType, Db)) {
        return EFI_SUCCESS; // 二进制哈希直接被信任，免去签名验签，直接放行
    }

    // 步骤 3: 遍历 PE/COFF 中携带的所有 Authenticode 签名 (自顶向下)
    BOOLEAN HasValidAuthorizedSignature = FALSE;

    for (UINTN Index = 0; Index < Context->SignatureCount; Index++) {
        WIN_CERTIFICATE_EFI_PKCS *Sig = Context->Signatures[Index];
        
        // 提取该签名所绑定的证书指纹或 TBS 证书哈希
        EFI_GUID CertHashType;
        UINT8 CertHash[64];
        ExtractTbsCertificateHash(Sig, &CertHashType, CertHash);

        // 步骤 3.1: 检查当前签名或证书是否被 dbx 撤销
        if (IsCertHashInDatabase(CertHash, &CertHashType, Dbx)) {
            continue; // 该签名已被撤销，跳过此签名，继续尝试下一组候选签名
        }

        // 步骤 3.2: 检查当前签名是否在 db 中获得授权，并在密码学上完成验签
        if (IsCertHashInDatabase(CertHash, &CertHashType, Db)) {
            EFI_STATUS Status = CryptVerifyPqcAuthenticodeSignature(
                                    Context->ImageDigest,
                                    Context->DigestLength,
                                    Sig
                                );
            if (Status == EFI_SUCCESS) {
                HasValidAuthorizedSignature = TRUE;
                break; // 找到至少一个合法且未被撤销的后量子/经典有效签名，判定通过
            }
        }
    }

    if (HasValidAuthorizedSignature) {
        return EFI_SUCCESS;
    }

    return EFI_SECURITY_VIOLATION; // 无任何合法签名通过，拒绝执行
}

3.3 撤销数据库（dbx）空间防爆炸约束与预启动撤销机制

在固件预启动环境中（SEC、PEI 与 DXE 早期阶段），系统尚未加载网络协议栈与网卡驱动，完全不具备通过在线证书状态协议（OCSP）或证书撤销列表分发点（CRL Distribution Points）进行在线证书实时校验的能力。因此，主板非易失存储中的本地 dbx 数据库是固件判定证书与镜像撤销状态的唯一权威物理信任源。

后量子数字证书（如 ML-DSA-65 X.509 证书）的物理尺寸通常在 6KB 以上。如果在 dbx 撤销数据库中直接存储全量 X.509 证书，只需撤销十几个泄露证书便会将主板物理 NVRAM 存储空间彻底撑爆。为此，UEFI 2.12 规范做出了重大变更：

1. 废弃全量证书存储：在 Chapter 32 规范中明确将 EFI_CERT_X509_GUID 在 dbx 中的使用标记为过时（DEPRECATED）；
2. 强制使用待签证书哈希（TBSCertificate Hash）：在 dbx 中仅允许写入待签证书的密码学散列值（如 EFI_CERT_X509_SHA384_GUID 或 EFI_CERT_X509_SHA512_GUID），将单条撤销记录的物理占用从 6,000+ 字节直接压缩至 48~64 字节，空间利用率提升两个数量级。

3.4 复杂异构硬件与多外设 Option ROM 协同安全启动

在数据中心高密度服务器与工控自动化计算节点中，除了主板内置的核心固件与操作系统引导加载程序外，插入 PCIe 扩展插槽的高性能万兆网卡、硬件 RAID 控制器以及专用加速卡往往自带独立的 Option ROM 固件代码。Option ROM 代码在 DXE 阶段由 PCI 总线驱动进行统一枚举与调用。

在后量子迁移过渡期，不同硬件厂商的固件更新周期存在客观差异。UEFI 2.12 规范定义了细粒度的策略控制域：系统管理员可以在 BIOS 设置中配置安全启动为“严格模式”（Strict PQC Only）或“密码敏捷兼容模式”（Agile Hybrid Mode）。在严格模式下，所有 Option ROM 必须具备合法的 ML-DSA-65 签名方可执行；而在兼容模式下，若某块关键外设的 Option ROM 仅具备经典签名，管理员可以通过将其二进制 SHA-384 散列值显式登记至 db 数据库的方式进行白名单放行，既保障了业务平滑上线，又杜绝了恶意未知驱动在预启动环境中的执行风险。

4. EFI 密码指示表（ECIT）结构与动态能力发现

在后量子迁移初期，计算平台固件的升级进度与操作系统引导加载程序（OS Loader）的演进往往呈现非同步状态。有些老旧固件仅支持经典 RSA/ECDSA，部分先行固件支持 ML-DSA-44/65，而高安全级平台则可能支持 SLH-DSA。在缺乏标准协商机制的情况下，操作系统加载程序无法预先知晓底层固件的密码学支持能力，往往导致调用 SetVariable() 注册后量子证书时引发静默失败或未定义行为。

为了彻底解决密码敏捷性发现问题，UEFI 2.12 在 Chapter 37（Secure Technologies）中正式引入了全新的 EFI 密码指示表（EFI Crypto Indicator Table, ECIT）。

4.1 ECIT 数据结构与 ACPI 发布机制

ECIT 采用统一的紧凑二进制结构体设计，固件在启动早期的 DXE 阶段将其构建完成，并同时通过 EFI_CONFIGURATION_TABLE（GUID: gEfiCryptoIndicatorTableGuid）与标准 ACPI 物理系统描述表对外发布（表头标识符固定为 ASCII 字符串 'ECIT'）。

ECIT 的核心二进制结构定义如下：

// UEFI 2.12 EFI 密码指示表 (ECIT) 标准结构体定义
#pragma pack(1)

typedef struct {
    EFI_ACPI_DESCRIPTION_HEADER Header; // 标准 ACPI 描述头: Signature = 'ECIT'
    UINT32                      EntryCount; // 指示表条目总数
    // EFI_CRYPTO_INDICATOR_ENTRY Entries[EntryCount]; // 变长条目数组
} EFI_CRYPTO_INDICATOR_TABLE;

typedef struct {
    EFI_GUID FeatureGuid;   // 功能分类 GUID (指明应用场景)
    UINT32   DataLength;    // EntryData 字节长度
    // UINT8 EntryData[DataLength]; // 包含支持的算法 OID 列表或 SignatureType GUID 列表
} EFI_CRYPTO_INDICATOR_ENTRY;

#pragma pack()

在操作系统内核完成启动后，系统管理软件与安全守护进程可以通过 Linux 虚拟文件系统 /sys/firmware/acpi/tables/ECIT 直接读取并解析该表，从而获知底层主板固件在固件升级、变量认证与安全启动方面所支持的后量子算法集合，实现操作系统与主板固件之间的透明密码学协同。

4.2 ECIT 六大核心功能分类与 OID 映射

ECIT 将平台固件内部的所有密码学应用场景严格划分为六大标准功能域（Feature Identifiers），并通过各自的 GUID 进行精准隔离：

操作系统或 Shim 引导程序在尝试注册新证书或更新数据库前，首先通过 ACPI 或系统配置表查询 ECIT。若发现当前固件明确支持 id-ml-dsa-65，则直接下发 ML-DSA-65 签名的更新包；若固件仅支持经典算法，则平滑回退至兼容流水线。

下图展示了 ECIT 在固件内部的发现、解析与 4:1 多路选择微架构：

5. 有限 NVRAM 存储预算与 TBS 证书哈希压缩工程

将后量子密码全面引入主板固件所面临的物理硬约束之一，是极为严苛的物理 NVRAM 存储容量。

5.1 物理 SPI NOR Flash 的存储分区与空间预算

现代计算主板通常搭载 16MB 至 32MB 的 SPI NOR Flash 芯片，但绝大部分空间被 BIOS 引导代码、微码补丁（Microcode）、系统管理模式代码（SMM Core）、芯片组管理引擎固件以及只读资源分区所占据。分配给非易失性变量存储（NVRAM）的物理 Flash 扇区通常仅有 64KB 至 128KB。在这有限的空间内，还需要容纳硬件设置参数、ACPI 状态变量、启动引导项（BootOrder / Boot0001）以及全套安全启动密钥数据库（PK、KEK、db、dbx、dbt）。

在经典密码学时代，一个标准的 RSA-2048 X.509 证书的物理大小约为 1,200 字节，即使安装 3 至 5 个厂商根证书，整体 db 占用通常也不超过 6KB。然而，后量子模块格算法 ML-DSA-65 的单张 X.509 证书尺寸即剧增至约 6,200 字节（包含 1,952 字节公钥、多项式参数与 ASN.1 扩展结构）。若在 db 中存储 4 张不同操作系统的后量子全量根证书，物理体积将达到近 25KB，瞬间耗尽 NVRAM 的可用裕量，极易导致系统因 Flash 垃圾回收（Garbage Collection）失败而发生“变砖”故障。

同时，SPI NOR Flash 具有物理扇区擦除（Sector Erase）寿命限制（通常为 100,000 次擦写周期）。频繁写入大体积后量子证书不仅会显著加剧闪存磨损，还会在系统写变量时引发数十毫秒的 Flash 块擦除停顿，严重拖慢固件启动时效。

5.2 待签证书哈希（TBSCertificate Hash）机制数学推导与空间对比

为了在数学严格性不受影响的前提下将 NVRAM 占用压制到极致，UEFI 2.12 规范全面推行了基于待签证书哈希（To-Be-Signed Certificate Hash, TBS Hash）的存储优化机制。

在 X.509 v3 证书体系中，证书在 ASN.1 DER 编码下由三部分顺序构成：

Certificate ::= SEQUENCE {
    tbsCertificate       TBSCertificate,
    signatureAlgorithm   AlgorithmIdentifier,
    signatureValue       BIT STRING
}

其中，TBSCertificate 包含了证书版本号（Version）、序列号（SerialNumber）、签名算法标识（Signature）、颁发者（Issuer）、有效期限（Validity）、主体名称（Subject）、主体公钥信息（SubjectPublicKeyInfo）以及扩展项（Extensions）。由此可见，决定证书公钥所有权与授权策略的所有关键密码学载荷均完整封装在 TBSCertificate 结构中，而外部的 signatureValue 仅是由颁发机构 CA 对 TBSCertificate 计算的数字签名。

根据密码学散列函数的抗原像攻击（Pre-image Resistance）与抗碰撞性（Collision Resistance），只要选用足够强度的散列算法（如 SHA-384），对 TBSCertificate 的散列值校验与对全量证书的验证在密码学安全性上严格等价：

固件在执行验证时，无需在 NVRAM 中持久化保存庞大的 6KB 全量证书，只需直接读取待加载 PE/COFF 镜像中内嵌的完整 X.509 证书，在内存中现场计算其 TBSCertificate 的 SHA-384 散列值，并将其与存储在 NVRAM db 中的 48 字节哈希值进行常量时间比对。

下表详细对比了在 64KB 典型 NVRAM 分区下，全量 X.509 证书模式与 TBS 证书哈希模式在空间开销与承载能力上的物理指标差异：

通过 TBS 证书哈希技术，UEFI 2.12 成功将后量子证书在固件存储介质中的物理体积压制了两个数量级，为在工业级低成本芯片中全面落地后量子安全启动扫清了物理存储障碍。

6. PE/COFF Authenticode 规范与 ML-DSA 验签流水线

在统一固件接口规范中，所有可执行文件均采用微软可移植可执行文件格式（PE/COFF，涵盖 PE32 与 PE32+ 64 位格式）。为了实现防篡改验证，镜像签名严格遵循 Authenticode 规范。

6.1 PE/COFF 镜像 Authenticode 散列范围与安全目录提取

在对 PE/COFF 镜像进行散列计算时，必须严格排除三个在签名生成后会被动态修改的物理区域：

1. PE 镜像校验和字段：位于 Optional Header 中的 CheckSum（4 字节）；
2. 安全目录表项：位于 Optional Header Data Directories 中的 IMAGE_DIRECTORY_ENTRY_SECURITY 结构体（8 字节，包含指向签名数据的相对虚拟地址 RVA 与尺寸 Size）；
3. 数字签名属性证书表本身：位于文件末尾的 WIN_CERTIFICATE 数据块。

Authenticode 哈希计算流水线将镜像文件划分为三大连续区间进行分段散列：

其中 $\mathrm{Part}_1$ 为从文件起始至 CheckSum 偏移量处；$\mathrm{Part}_2$ 为从 CheckSum + 4 至安全目录表项偏移量处；$\mathrm{Part}_3$ 为从安全目录表项末尾至签名属性证书表起始位置之前的所有节（Sections）对齐数据。

PE/COFF 二进制文件的分段哈希布局如下表所示：

6.2 后量子 PKCS#7 / CMS 载荷结构解析

位于文件末尾的数字签名封装在 WIN_CERTIFICATE_EFI_PKCS 结构中，其本质是一个标准的 ASN.1 CMS（Cryptographic Message Syntax）SignedData 报文（RFC 9882）。在后量子 ML-DSA-65 签名场景下，其核心 ASN.1 语法树布局如下：

ContentInfo {
  contentType: id-signedData (1.2.840.113549.1.7.2),
  content: SignedData {
    version: CMSVersion (v3),
    digestAlgorithms: [ id-sha384 (2.16.840.1.101.3.4.2.2) ],
    encapContentInfo: {
      eContentType: id-spcIndirectDataContext (1.3.6.1.4.1.311.2.1.4),
      eContent: SpcIndirectDataContent {
        data: SpcAttributeTypeAndOptionalValue { ... },
        messageDigest: DigestInfo {
          digestAlgorithm: id-sha384,
          digest: <48-byte PE Authenticode Digest>
        }
      }
    },
    signerInfos: [
      SignerInfo {
        version: SignerInfoVersion (v1),
        sid: SignerIdentifier (issuerAndSerialNumber),
        digestAlgorithm: id-sha384,
        signedAttrs: [ ... SpcSpOpusInfo, MessageDigest ... ],
        signatureAlgorithm: id-ml-dsa-65 (2.16.840.1.101.3.4.3.18),
        signature: <3309-byte raw ML-DSA-65 Signature: (c || z || h)>
      }
    ]
  }
}

固件在 DXE 阶段首先解析 CMS 外层封装，校验 signedAttrs 中内嵌的散列值与现场计算的 PE 镜像散列值是否完全一致，随后提取 signatureAlgorithm 字段确认其 OID 为 2.16.840.1.101.3.4.3.18（ML-DSA-65），并将 3,309 字节的原始签名二进制流送入后量子数学运算核心。

6.3 签名注入工具链与二进制物理对齐工程

在现代操作系统发行与固件构建流水线中，将后量子数字签名注入 PE/COFF 二进制文件需要遵循严格的四字（8 字节）对齐规则。IMAGE_OPTIONAL_HEADER 中的 FileAlignment 通常设置为 512 字节，而安全证书表自身不需要遵循节对齐（SectionAlignment），但必须确保其起始偏移量与总长度为 8 字节的整数倍。

签名注入工具在完成 ML-DSA-65 签名生成与 CMS 封装后，在数据块末尾填充 0x00 字节至 8 字节边界，并同步将 IMAGE_DIRECTORY_ENTRY_SECURITY 的 VirtualAddress 指向文件末尾偏移量，将 Size 设置为包含填充字节的属性证书表全长。在固件 DXE 阶段，验签引擎根据 dwLength 提取有效的 CMS 报文，并自动剔除末尾对齐填充，确保了二进制镜像在各种底层存储介质中的严格一致性。

7. DXE/BDS 阶段 ML-DSA-65 常量时间验签与数论变换微架构

ML-DSA-65（基于 Crystals-Dilithium）在数学上属于基于模块格上带误差学习问题（Module-LWE）与简短整数解问题（Module-SIS）的 Fiat-Shamir 签名构造体系。在固件引导执行环境（DXE）中实现毫秒级的快速验签，需要深度优化其底层代数结构与多项式乘法流水线。

7.1 ML-DSA-65 核心代数参数与数学空间

ML-DSA-65 运行于多项式商环 $R_q = \mathbb{Z}_q[X]/(X^{256} + 1)$ 之上，其标准参数配置如下：

• 多项式阶数：$n = 256$；
• 素数模数：$q = 8380417 = 2^{23} - 2^{13} + 1$（具备极佳的数论变换性质，满足 $q \equiv 1 \pmod{512}$）；
• 模块矩阵维度：矩阵 $\mathbf{A} \in R_q^{k \times l}$，其中 $k = 6, l = 5$；
• 系数掩码上界：$\gamma_1 = 2^{19} = 524288$；
• 高低位分解因子：$\gamma_2 = (q-1)/32 = 261888$；
• 舍入比特截断：$d = 13$；
• 最大非零系数界：$\beta = 196$；
• 提示向量最大汉明重量：$\omega = 75$。

公钥 $\mathrm{pk} = (\rho, \mathbf{t}_1)$ 包含 32 字节矩阵种子 $\rho$ 与压缩后的多项式向量 $\mathbf{t}_1 \in R_q^6$（共 1,952 字节）。签名 $\sigma = (c, \mathbf{z}, \mathbf{h})$ 包含 32 字节挑战哈希 $c$、响应多项式向量 $\mathbf{z} \in R_q^5$ 以及提示向量 $\mathbf{h} \in \{0,1\}^{6 \times 256}$（共 3,309 字节）。

7.2 常量时间数论变换（NTT）与 Cooley-Tukey 蝶形运算

在 ML-DSA-65 验签算法中，计算量最密集的核心在于矩阵与向量的多项式乘法：

若采用朴素的多项式卷积算法，单次多项式乘法的时间复杂度为 $O(n^2) = 256^2 = 65,536$ 次模乘操作，对于 $(k=6, l=5)$ 的矩阵总共需要执行 30 次多项式乘法，计算开销将高达数百万周期。利用商环多项式 $X^{256}+1$ 在模数 $q$ 下的原生本原根 $\zeta = 1753$（满足 $\zeta^{256} \equiv -1 \pmod q$），可以通过快速数论变换（NTT）将时域多项式映射至频域，将单次多项式乘法复杂度大幅压制到：

次蝶形运算。Cooley-Tukey 蝶形运算单元采用双轨并行计算结构，对于输入多项式系数对 $(u, v)$ 与旋转因子（Twiddle Factor）$\zeta^r$，蝶形输出满足：

为了在固件 C 代码与汇编层实现绝对的常量时间执行（Constant-Time Execution），模乘规约必须采用 Montgomery 快速乘法与 Barrett 规约算法，彻底杜绝任何依赖秘密多项式系数的分支跳转（if-else）与非常量时间除法指令，杜绝计时侧信道泄露。

Montgomery 模乘算法的核心数学常数定义如下：设基数 $R = 2^{32}$，模数 $q = 8380417$，则预先计算的模逆常数满足：

对于任意两个 32 位整型输入乘积 $T = a \cdot b < q \cdot R$，Montgomery 模约减计算公式为：

若 $t \ge q$，则返回 $t - q$；否则返回 $t$。在底层汇编实现中，减法通过无分支条件选择指令（如 ARM CSEL 或 x86 CMOV）完成，确保每一轮模乘的执行周期完全恒定不变。

7.3 高位恢复与范数上界约束校验

在频域计算完成并执行逆数论变换（INTT）获得时域多项式向量后，验签状态机执行以下三大数学判定：

1. 范数上界硬约束：检查响应向量 $\mathbf{z}$ 的每一个多项式系数无穷范数是否严格处于安全界内：

$\|\mathbf{z}\|_\infty < \gamma_1 - \beta = 524,288 - 196 = 524,092$

若任意系数越界，直接判定签名伪造；

2. 高位恢复计算：利用签名中携带的提示向量 $\mathbf{h}$ 与重构向量 $\mathbf{w}'$，调用 $\mathrm{UseHint}$ 算法提取高位多项式 $\mathbf{w}_1'$：

$\mathbf{w}_1' = \mathrm{UseHint}\left(\mathbf{h}, \;\mathbf{A}\mathbf{z} - c\mathbf{t}_1 2^d \pmod q\right)$

其逐系数核心标量运算逻辑定义为：设输入 $r \in \mathbb{Z}_q$，提示比特 $h \in \{0, 1\}$，高位分解函数满足 $r = r_1 \cdot 2\gamma_2 + r_0$（其中 $-\gamma_2 < r_0 \le \gamma_2$），则恢复高位满足：

$\mathrm{UseHint}(h, r) = \begin{cases} (r_1 + 1) \bmod 16, & h = 1, r_0 > 0 \\ (r_1 - 1) \bmod 16, & h = 1, r_0 \le 0 \\ r_1, & h = 0 \end{cases}$

3. 挑战哈希一致性重算：将待签数据摘要 $\mu = \mathrm{SHAKE256}(\mathrm{SHA384}(\mathrm{PE}) \Vert \mathrm{Context})$ 与恢复的高位向量 $\mathbf{w}_1'$ 拼接，通过 SHAKE-256 计算挑战：

$c' = \mathrm{SHAKE256}\left(\mu \;\Vert\; \mathbf{w}_1'\right) \in \{0,1\}^{256}$

校验 $c' \stackrel{?}{=} c$。仅当所有条件在数学上完全契合时，DXE 驱动才返回 EFI_SUCCESS。

7.4 拒绝采样数学模型与流式展开窗口

在展开矩阵 $\mathbf{A} \in R_q^{6 \times 5}$ 时，算法调用 SHAKE-128 吸收 32 字节公钥种子 $\rho$ 与 2 字节矩阵坐标 $(i, j)$，输出伪随机字节流并进行拒绝采样。由于素数模数 $q = 8380417 < 2^{23}$，采样器每次读取 3 字节数据构造候选整数：

若 $z_{\mathrm{candidate}} < q$，则将该系数填入多项式；否则丢弃。单次采样的数学接受概率高达：

平均仅需 256.25 次尝试即可填满一个 256 阶多项式。在固件工程实现中，设计了 840 字节的定长局部流式窗口，通过单次 SHAKE-128 吸收泵出操作即可确保 99.9999% 以上的单轮填满率，彻底杜绝了动态内存分配与反复重采样开销。

下图展示了 ML-DSA-65 在 UEFI 固件环境下的数论变换、高位重构与范数校验微架构执行流：

8. EDK-II 开源固件栈后量子集成与 CryptoPkg 重构

在行业标准的 TianoCore EDK-II 固件开发框架中，所有密码学功能均由 CryptoPkg 软件包统一封装提供。为了无缝支持 UEFI 2.12 后量子安全启动，必须对 CryptoPkg 的架构进行分层解耦与重构。

8.1 BaseCryptLib 抽象接口扩展与 PqcCryptLib 驱动集成

传统的 BaseCryptLib 直接绑定底层的 OpenSSL 原生 API。在 EDK-II 后量子演进分支中，通过新增 PqcCryptLib 抽象层，向上对 DXE 镜像验证驱动（SecurityPkg/Library/DxeImageVerificationLib）提供标准化的 C 语言接口：

// EDK-II PqcCryptLib 标准后量子签名验证接口
#ifndef __PQC_CRYPT_LIB_H__
#define __PQC_CRYPT_LIB_H__

#include <Uefi.h>

/**
  验证 ML-DSA-65 模块格数字签名
  
  @param[in]  PublicKey         指向 1952 字节 ML-DSA-65 公钥数据
  @param[in]  PublicKeySize     公钥长度 (必须等于 1952)
  @param[in]  MessageDigest     待验证的镜像/数据散列值
  @param[in]  DigestSize        散列值长度 (例如 48 字节 SHA-384)
  @param[in]  Signature         指向 3309 字节 ML-DSA-65 签名数据 (c || z || h)
  @param[in]  SignatureSize     签名长度 (必须等于 3309)

  @retval TRUE   签名验证成功，镜像真实且未被篡改
  @retval FALSE  签名无效、格式损坏或数学验签失败
**/
BOOLEAN
EFIAPI
MlDsa65Verify (
  IN  CONST UINT8  *PublicKey,
  IN  UINTN        PublicKeySize,
  IN  CONST UINT8  *MessageDigest,
  IN  UINTN        DigestSize,
  IN  CONST UINT8  *Signature,
  IN  UINTN        SignatureSize
  );

#endif // __PQC_CRYPT_LIB_H__

8.2 SMM（系统管理模式）隔离环境下的内存与栈安全防护

在 UEFI 架构中，系统管理模式（System Management Mode, SMM）拥有对系统物理硬件与内存的最高执行特权，负责处理安全变量写操作（SetVariable()）与硬件故障中断。由于 SMM 运行于隔离的 SMRAM 物理内存中，其可用的堆栈空间通常被硬编码限制在 16KB 至 32KB 之间。

ML-DSA-65 算法在执行数论变换与矩阵展开时，如果直接在函数局部变量中分配全量多项式矩阵，单次矩阵 $\mathbf{A} \in \mathbb{Z}_q^{6 \times 5 \times 256}$ 就需要消耗：

这将瞬间导致 SMRAM 发生栈溢出崩溃（Stack Overflow），甚至引发 SMM 任意代码执行漏洞。为了在 SMM 严苛的栈限制下安全执行，PqcCryptLib 必须采用在线流式矩阵展开（On-the-Fly Expansion via SHAKE-128）与单行多项式寄存器复用架构：在计算 $\mathbf{A} \cdot \mathbf{z}$ 时，每次仅在栈上分配单行多项式向量（$5 \times 256 \times 4 = 5,120$ 字节），在内积计算完成后立即释放并复用该内存，将运行期峰值栈开销严格压制在 6.8KB 以内，确保 SMM 运行环境的绝对稳健。

此外，在 SMM 中必须严禁使用任何动态堆内存分配函数（如 gBS->AllocatePool()），所有多项式计算工作区必须在 SMM 驱动初始化时在静态 SMRAM 保留区完成预分配，杜绝在系统运行时触发内存碎片化与未定义分配失败。

8.3 固件防物理侧信道与故障注入防御

在针对服务器物理硬件的渗透测试中，高级攻击者能够利用电磁探针（EM Probe）或高精度数字示波器对主板 CPU 供电电感进行旁路能量分析，或者在固件执行 VerifySignature 判定跳转的一瞬间通过纳秒级激光脉冲或电压毛刺（Voltage Glitching）使比较指令发生位翻转（Bit Flip）。

为了抵御此类物理硬件攻击，EDK-II 后量子验证库实施了系统级微架构防御：

1. 双轨冗余判定（Dual-Rail Redundant Execution）：验签逻辑由两个异构状态机独立计算，且在最终放行前校验两次计算的中间多项式哈希；
2. 常量时间布尔掩码（Boolean Masking）：针对公钥高位多项式与挑战哈希进行动态随机掩码变换；
3. 控制流完整性（Control Flow Integrity, CFI）硬校验：在关键跳转指令前后设置全局硬件标记，确保验签流程必须严格顺序经历哈希、NTT、高位重构与范数检查，杜绝跳过核心循环指令。

9. 固件更新胶囊（Capsule Update）与 ESRT 后量子迁移

除了系统启动引导阶段的镜像验签，系统 BIOS/UEFI 固件自身的在线升级机制同样是硬件信任链的关键环节。

9.1 固件更新胶囊（Capsule）身份认证机制

UEFI 规范通过 UpdateCapsule() 运行时服务与系统资源表（EFI_SYSTEM_RESOURCE_TABLE, ESRT）实现主板固件与外设 Option ROM 的安全胶囊升级。胶囊二进制文件在头部封装了 EFI_FIRMWARE_MANAGEMENT_PROTOCOL（FMP）认证头与数字签名。

在后量子架构下，胶囊更新必须严格由平台密钥（PK）或专用的固件签名根证书（Firmware Signing Key, FSK）签发。当操作系统向固件传递胶囊更新包后，固件在下次热重启（Warm Boot）的 PEI/DXE 早期阶段，首先在隔离的受信任硬件执行域内对胶囊进行全量 ML-DSA-65 验签。只有签名验证通过，Flash 控制器才会被解除写保护锁，执行物理扇区擦除与烧录。

9.2 抗版本回滚攻击（Anti-Rollback Protection）

量子迁移期极易出现的攻击向量之一是“版本降级/回滚攻击”（Rollback Attack）。攻击者通过向系统强行刷入带有已知安全漏洞的旧版本合法签名固件，利用老旧漏洞绕过现代防护。为此，UEFI 2.12 胶囊更新机制结合主板片上单调硬件计数器（Hardware Monotonic Counter）或 TPM 非易失性索引（NV Index），强制实施版本号单调递增策略：

即便旧版本固件携带合法的后量子数字签名，若其版本计数器低于当前硬件物理熔丝锁定的基线值，固件更新引擎将在物理层直接阻断刷写操作。

10. 与硬件信任根（RoT）、TPM 2.0 与 DICE 架构的协同度量

UEFI 安全启动与底层硬件信任根（Hardware Root of Trust）、可信平台模块（TPM）以及设备标识组合引擎（DICE）紧密协同，构建起软硬件一体化的度量启动（Measured Boot）与远程证明（Remote Attestation）体系。

10.1 TCG TPM 2.0 v185 后量子度量与 PCR 扩展

在可信计算组织（TCG）最新发布的 TPM 2.0 v185 规范中，全面引入了对后量子算法 ML-KEM 与 ML-DSA 的原生支持。在度量启动流水线中，UEFI 固件在加载每一个驱动与操作系统引导程序前，不仅执行安全启动验签，同时将该镜像的 SHA-384 散列值通过 TPM2_PCR_Extend 操作单向累加至 TPM 的平台配置寄存器（PCR）中：

当操作系统需要向远程管理中心出具完整性证明时，TPM 利用内部硬件隔离的后量子证明密钥（Attestation Key, AK，基于 ML-DSA-65 构造），调用 TPM2_Quote 指令对当前所有 PCR 寄存器状态进行不可伪造的后量子数字签名，生成抗量子攻击的平台完整性报告。

在 TPM 2.0 v185 接口规范中，新增了针对任意大载荷签名的序列化指令族：

• TPM2_SignVerifySequenceStart：初始化一个多项式签名或验签序列；
• TPM2_SequenceUpdate：流式泵入大体积待签固件或认证载荷；
• TPM2_SequenceComplete：完成签名生成并返回 ML-DSA 签名凭据。

10.2 TCG DICE 分层设备凭据与 CDI 衍生链

对于资源受限的嵌入式工控板卡或微控制器，TCG DICE（Device Identifier Composition Engine）架构提供了一种极简硬件信任根方案。DICE 基于硅片物理不可克隆函数（PUF）或芯片熔丝中的唯一设备密钥（Unique Device Secret, UDS），在固件每一层启动时结合当前层的度量值（$M_i$）派生出复合设备标识符（Compound Device Identifier, $\mathrm{CDI}_i$）：

利用派生出的 $\mathrm{CDI}_i$，固件在内存中动态生成当前执行层的 ML-DSA-65 别名密钥对（Alias Key Pair），并签发分层 X.509 别名证书。这种链式度量机制保证了一旦任意阶段的固件代码被恶意篡改，其度量值 $M_i$ 发生变化，派生出的后量子私钥将彻底改变，篡改后的恶意代码在数学上绝对无法伪装先前的合法设备身份。

10.3 基于后量子硬件信任根的远程证明协同交互协议

在大型数据中心与云原生计算基础设施中，远程证明（Remote Attestation）是校验裸金属服务器与虚拟化计算节点健康状态的核心手段。当集群控制中心（Control Plane）接纳一台新接入的物理服务器时，双方通过基于后量子算法的协议通道发起证明交互：

1. 挑战发起：验证中心向待测服务器下发 32 字节高熵随机现时挑战（Nonce）；
2. 状态收集与硬件签名：待测节点的安全守护进程调用底层 TPM 2.0 芯片，TPM 将指定的 PCR 寄存器内容（涵盖 SEC、PEI、DXE 阶段对主板固件与驱动的完整度量）与 Nonce 进行哈希绑定，并使用预置的 ML-DSA-65 证明私钥生成 TPM2_Quote 签名；
3. 日志与证据打包：服务器将包含物理签名、TCG 事件度量日志（Event Log）与完整 X.509 设备凭据链的证据包（Attestation Evidence）回传；
4. 黄金基线比对（Golden Measurement Appraisal）：验证中心使用预置的 OEM 厂商根证书验签，并重放事件日志重算 PCR 期望值。若任意驱动或固件二进制被注入后门，PCR 期望值将产生雪崩式差异，控制平面立即阻断该节点加入集群，实现物理层面的零信任硬件准入隔离。

11. 正微光电固件安全工程实践与性能评测

正微光电作为国内深耕抗量子密码与硬件安全领域的专业团队，依托母公司正则量子在量子光学物理与密码工程领域的多年深厚积累，已全面完成基于国产高算力平台与 FPGA 架构的后量子固件信任根系统级工程落地。

在知识产权与工程标准合规方面，团队已累计获得 13 项授权专利，覆盖后量子算法硬件加速、高精度物理随机数发生器与抗侧信道微架构等核心技术领域。在工业级全覆盖验证体系中，自研后量子密码 IP 核顺利通过了由权威测试套件构建的全部 193/193 KAT 测试（Known Answer Tests，已知回答测试向量），在所有边界参数与极端输入下均保持 100% 的密码学正确性与确定性。

为了全面评估后量子安全启动在真实硬件平台上的性能表现，我们在搭载自研后量子硬件加速协处理器的企业级服务器主板上进行了深度实测。测试对比了纯软件参考实现（C Reference）、通用 CPU 矢量优化实现以及自研硬件加速引擎在 DXE 阶段执行 ML-DSA-65 Authenticode 签名验证的耗时与系统开销：

实测数据表明，借助自研硬件加速引擎与高效常量时间数论变换指令流水线，ML-DSA-65 的验签延迟被压缩至 0.95 毫秒 以内，实现了相比纯软件基准 6.7~8.9× 加速，使整个主板 DXE 启动阶段因后量子签名引入的时延增加几乎完全可以忽略不计。

同时，在固件安全密钥的生命周期管理与根证书初始化生成阶段，系统搭载了自研的高性能量子随机数发生器（QRNG），具备实测高达 1Gbps 物理速率 的量子物理熵源输出能力。结合片上抗侧信道调理逻辑，为 UEFI 平台密钥派生、DICE 设备凭据生成以及防重放随机数挑战注入了不可预测的真随机物理熵保障。

12. 总结与固件后量子迁移路线图

主板固件与安全启动体系的后量子迁移，是一场涉及计算机体系结构、密码学数学算法、主板芯片物理制造与操作系统软件生态的全局性系统工程演进。随着 UEFI 2.12 规范的正式确立与 TCG TPM 2.0 v185 标准的落地，全球计算设备信任链的基础密码学重构已经全面展开。

综合行业标准与硬件演进规律，固件后量子迁移路线图推荐划分为三大标准阶段：

1. 第一阶段：密码敏捷性与 ECIT 能力就绪（2026-2027 年）：固件厂商与 OEM 全面升级 EDK-II 基础代码库，集成 PqcCryptLib 与 ACPI ECIT 指示表支持，在不破坏现有启动流程的前提下具备后量子算法识别与动态多路协商能力；
2. 第二阶段：双签名混合过渡与 TBS 哈希普及（2027-2029 年）：操作系统引导程序（Shim / GRUB / Windows Boot Manager）全面推行 RSA + ML-DSA 双签名机制，固件全面落地 UEFI 2.12 严格自顶向下判定规则与 TBS 证书哈希存储压缩，消除 NVRAM 存储瓶颈与单点撤销误杀风险；
3. 第三阶段：纯后量子硬件信任根全面切换（2030 年及以后）：主板出厂物理熔丝（eFuse）全面烧录 ML-DSA-65 / SLH-DSA 根公钥，全面停用经典 RSA/ECDSA 验签通道，构建从物理硅片第一行重置向量直至上层云端工作负载的端到端纯量子安全防护屏障。

13. 参考文献与权威技术标准

1. National Institute of Standards and Technology. FIPS 204: Module-Lattice-Based Digital Signature Standard (ML-DSA). NIST FIPS, August 2024. Available: https://csrc.nist.gov/pubs/fips/204/final
2. National Institute of Standards and Technology. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM). NIST FIPS, August 2024. Available: https://csrc.nist.gov/pubs/fips/203/final
3. National Institute of Standards and Technology. FIPS 205: Stateless Hash-Based Digital Signature Standard (SLH-DSA). NIST FIPS, August 2024. Available: https://csrc.nist.gov/pubs/fips/205/final
4. Unified Extensible Firmware Interface Forum. UEFI Post-Quantum Cryptography Update Whitepaper. UEFI Forum Technical Committee, 2026. Available: https://uefi.org/sites/default/files/resources/UEFI_PQC_Update_Whitepaper_Final.pdf
5. Internet Engineering Task Force. RFC 9881: Use of the ML-DSA Algorithm in Internet X.509 Public Key Infrastructure Certificates and CRLs. IETF LAMPS Working Group, 2025. Available: https://datatracker.ietf.org/doc/rfc9881/
6. Internet Engineering Task Force. RFC 9882: Use of the ML-DSA Algorithm in the Cryptographic Message Syntax (CMS). IETF LAMPS Working Group, 2025. Available: https://datatracker.ietf.org/doc/rfc9882/
7. Internet Engineering Task Force. RFC 9909: Use of the SLH-DSA Algorithm in Internet X.509 Public Key Infrastructure Certificates and CRLs. IETF LAMPS Working Group, 2025. Available: https://datatracker.ietf.org/doc/rfc9909/
8. Internet Engineering Task Force. RFC 9814: Use of the SLH-DSA Algorithm in the Cryptographic Message Syntax (CMS). IETF LAMPS Working Group, 2025. Available: https://datatracker.ietf.org/doc/rfc9814/
9. National Institute of Standards and Technology. SP 800-208: Recommendation for Stateful Hash-Based Signature Schemes. NIST Special Publication, October 2020. Available: https://csrc.nist.gov/pubs/sp/800/208/final
10. National Institute of Standards and Technology. SP 800-193: Platform Firmware Resiliency Guidelines. NIST Special Publication, May 2018. Available: https://csrc.nist.gov/pubs/sp/800/193/final
11. Trusted Computing Group. DICE Attestation Architecture Specification v1.3. TCG Published Standard, July 2026. Available: https://trustedcomputinggroup.org/wp-content/uploads/DICE-Attestation-Architecture-v1.3-RC-1-23July2026.pdf
12. ACM. A High-Throughput and Efficient Hardware Architecture for SPHINCS+. ACM Transactions on Reconfigurable Technology and Systems, 2026. Available: https://arxiv.org/abs/2609.22343