Kyber解密的失败概率约为2^160。尽量这种大概性不太大概在现实世界中产生，但严格来说，算法中包括的任何非零妨碍概率，意味着用Kyber加密对称密钥会阻止您乐成解密。
决赛入围者是NIST（以及参加NIST决定的大大都暗码学家）认为可当即投入出产并值恰当即尺度化的算法。
SABRE
这意味着您可以在线加密（利用公钥），可是解密需要一个密钥，该密钥保持离线状态，而且仅在需要时才可以会见。
CRYSTALS包括两个算法：Kyber（密钥封装）和Dilithium（签名）。
2.带宽：签名长度是否较量小？
由于没有时机从错误中规复（尽量不太大概），因此很难推荐Kyber举办离线解密协议。
同时，替代候选算法是一种算法，可是出于某种原因，NIST认为在对它布满信心之前，还需要举办几年的暗码阐明和研究。
对付离线公钥加密，所有这三个算法都具有解密失败的风险，只有通过多次加密同一会话密钥并存储多个密文，才气真正缓解这种风险。这种妨碍风险已经可以忽略不计了（更大概是宇宙射线），可是离线协议没有规复机制（而在线协议只能从头启动密钥互换并挪用它）。经典McEliece算法是基于纠错码。
我们将从实际应用的角度评价密钥封装算法(KEM), 而不是从理论上的公钥加密和密钥封装的安详性观念，即：
SABRE是另一种基于格的密钥封装算法。 SABER的安详性是基于与Kyber和NTRU差异的问题。可是，SABRE可以通过挪用其轻型模式LightSABER。
McEliece
与Kyber一样，NTRU提供小的公钥（低端的ntruhps2048509为699字节，高端的ntruhps4096821为1230字节），这使得NTRU合用于要求小尺寸公钥的应用。
与其他基于格的算法一样，解密失败概率也不为零（对付SABRE变种，解密失败概率为2 ^-120到2^-165）。
Kyber公钥的范畴从800字节（对付Kyber-512）到1568字节（对付Kyber-1024），密文的范畴从736字节到1568字节，这意味着Kyber可以轻松用于TLS等协议。
NIST在第三轮算法竞选中做了一些智慧的工作，第三轮分为两组：入围算法和候选算法。 郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
我们将按照以下尺度评价数字签名算法：
NTRU
与Kyber一样，对付所有参数集，NTRU的解密失败率凡是低于2^100中的1。 （确切的妨碍率未在NTRU类型文档中给出。）严格来说，这大概永远不会成为现实问题。可是从技能上讲，仍然可以利用无法解密的NTRU加密某些内容。这使得很难为该用例推荐NTRU。
我相信暗码学规模的每小我私家都对第三轮的选择都有本身的观点，可是这里从一个实践应用角度阐明第三轮的决赛入围者。
SABRE提供小型公钥（672至1312字节）和密文（736至1472字节）。TLS对付SABRE应该没有问题。
经典McEliece具有较大的公钥（在第2轮提交中从261120字节到1357824字节不等），但密文短（128到240字节）。这使得很难在TLS之类的协议中实现Classic McEliece（因为仅要传输公钥，它至少需要4个TCP数据包）。
CRYSTALS
NTRU是另一种基于格的算法，是有史以泉源史最长的后量子格暗码系统之一。（由于太早了，所有专利都已逾期。）
1.与现有传输层协议（TLS，，Noise等）集成的大概性
假如后量子暗码的独一方针是设计可用于在线模式（譬喻TLS）的暗码学基，那么任何基于格的算法（Kyber，NTRU，SABRE）都是不错的选择。
评判尺度
2.在应用层加密中支持离线公钥加密的API（也称为“密封”）。
总结
1.无状态性：该算法可以在回滚的虚拟机中安详利用吗？
Classic McEliece没有解密失败，因此合用于离线公钥加密。可是，庞大的公钥也大概会阻碍此处的回收。
