加载失败
这篇 PDF 是关于 lattice-based cryptography（基于格的密码学）的入门材料，而这条路线正是 post-quantum cryptography（PQC，后量子密码学）的重要基础。评论把它和 NIST 标准的 ML-KEM（由 Kyber 演化而来、用于密钥封装）联系起来，还提到 Chrome 和 Firefox 已默认启用 X25519MLKEM768（X25519 与 ML-KEM-768 的混合密钥交换）。不少人补充说，理解这类内容至少需要 algebra、linear algebra 和 number theory，而 NTT（Number Theoretic Transform，数论变换）更多是实现层面的加速技巧。讨论同时围绕 CRQC（cryptographically relevant quantum computer，足以破坏现有公钥密码的量子计算机）是否会很快到来，以及是否应为 harvest-now-decrypt-later（先收集后解密）风险提前部署防护展开。
评论里不少人把这篇 PDF 当作 ML-KEM（基于 Kyber 的后量子密钥封装）入门起点，并补充了更容易消化的学习材料。有人推荐了 Chalk Talk 的短视频，也有人贴出自己按规范实现 ML-KEM 的项目，以及几篇分别讲多项式/线性代数、格密码基础和 NTT 的参考文档。后续讨论指出，NTT 更像是性能优化，类似 RSA 里的 Montgomery form：理论上可以不靠它理解和实现 ML-KEM，但速度会慢很多，而且实际互操作还牵涉到 NTT 形式的 wire format。
有读者直言这篇内容已经超出自己的基础，想知道至少该从哪里补课。回复给出的答案很直接：需要先掌握 algebra、linear algebra 和 number theory。这个回应也侧面说明，即使标题写着“Gentle Introduction”，格密码仍然建立在相当扎实的数学底座之上。
有人从“大学时代回忆”切入，指出 lattice-based cryptography 是 post-quantum crypto 的基础，因此现在学习正合适。评论还提出一个猜想：lattices 和 error-correcting codes 可能非常接近，甚至未来会看到它们之间的 reductions。另一组评论则把话题拉到量子威胁上，强调如果 cryptographically relevant quantum computers（CRQC）真的出现，现有公钥密码就可能面临风险。
讨论中有人提醒，lattice-based crypto 并不是只存在于论文里：Chrome 和 Firefox 已经默认支持 X25519MLKEM768 这种 hybrid key agreement。围绕这点，回复解释说，之所以现在就部署 PQC，更像是出于谨慎和对时间线不确定性的应对，而不是因为大家都确信量子计算机很快就会到来。还有人明确提到 harvest-now-decrypt-later 风险：即便“CRQC 何时出现”存在争议，“CRQC 终会出现”本身仍足够让人提前加固。
除了技术内容，还有人单纯夸这版 LaTeX 排版更愿意读。紧接着也有人吐槽页面四周的 whitespace 太大，影响版面利用率。这个小分支说明，哪怕是密码学论文，呈现方式也会直接影响读者是否愿意啃下去。
ML-KEM: NIST 标准化的密钥封装机制，源自 Kyber，是后量子密码中非常重要的公钥交换方案。
NTT（Number Theoretic Transform）: 数论变换，用来加速多项式乘法；在 ML-KEM 里更偏实现优化而非核心概念。
X25519MLKEM768: 把经典的 X25519 和后量子 ML-KEM-768 结合起来的 hybrid key agreement，兼顾兼容性与抗量子能力。
CRQC: cryptographically relevant quantum computer，指一旦出现就足以威胁现有公钥密码体系的量子计算机。
harvest-now-decrypt-later: 先收集今天加密的通信，等未来量子能力足够时再解密的攻击模型。
PQC: post-quantum cryptography，专门设计来抵抗量子计算攻击的密码算法体系。