《Frontiers in Digital Health》：PQ-FundusChain: a postquantum blockchain framework for secure and privacy-preserving retinal fundus image sharing in teleophthalmology
编辑推荐：
摘要：引言：远程眼科依赖于初级保健筛查地点与转诊中心之间视网膜眼底图像的安全交换。当前的图像共享系统仍然容易受到针对公钥密码学的量子攻击，也容易受到审计能力有限的集中式存储故障的影响。方法：本文提出了PQ-FundusChain，一个用于抗量子眼底图像共
3. 摘要：引言：远程眼科依赖于初级保健筛查地点与转诊中心之间视网膜眼底图像的安全交换。当前的图像共享系统仍然容易受到针对公钥密码学的量子攻击，也容易受到审计能力有限的集中式存储故障的影响。方法：本文提出了PQ-FundusChain，一个用于抗量子眼底图像共享的联盟区块链框架。每张图像使用AES-256-GCM会话密钥加密，该会话密钥通过ML-KEM（FIPS 203）进行封装。ML-DSA（FIPS 204）对区块链交易进行认证。加密图像存储在去中心化的链下存储中，而内容哈希、元数据和访问策略记录在链上。访问请求通过结合信任、访问历史和位置评分以及基于视网膜解剖学和糖尿病视网膜病变严重程度的眼底敏感性评分的风险感知策略进行评估。结果：在公开的Messidor-2数据集上的实验评估显示，共享侧密码学和哈希处理成本约为每张图像4.02毫秒，访问侧成本约为3.48毫秒，AccessGrant和PolicyUpdate的智能合约执行时间均约为0.25毫秒，每张图像的链上记录约为4.83 KB，且与图像分辨率无关。后量子机制引入的额外延迟在图像共享中保持在1毫秒以下。讨论：结果表明，后量子保护可以以适度的计算开销纳入远程眼科工作流程，安全分析确认了机密性、完整性、认证、不可否认性、细粒度访问控制以及对“先收集、后解密”（harvest-now, decrypt-later）攻击的抵抗能力。
4. 论文解读：
**研究背景与问题**：糖尿病视网膜病变（Diabetic Retinopathy, DR）是可预防性失明的主要原因，全球成年DR患者数量预计将从2020年约1.03亿上升至2045年约1.6亿，人群规模筛查日益依赖远程眼科（teleophthalmology）。眼底图像属于具有生物识别性质且可与患者记录关联的受保护健康信息，需遵守HIPAA安全规则和通用数据保护条例（GDPR）。当前系统依赖RSA和椭圆曲线密码（Elliptic Curve Cryptography, ECC）建立密钥，Shor算法在足够大的量子计算机上可同时破解两者，导致加密医疗数据面临“先收集、后解密”（harvest-now, decrypt-later）攻击威胁。此外，现有集中式云服务或可信第三方架构存在单点故障、透明度不足和跨机构审计能力有限等问题。2024年8月美国国家标准与技术研究院（NIST）发布了首批后量子密码学标准FIPS 203、FIPS 204和FIPS 205，并敦促立即迁移。因此，面向长期临床部署的眼底图像共享框架必须在设计阶段内置后量子密码机制。
**研究内容与贡献**：研究人员提出了PQ-FundusChain，一个集后量子密码学、联盟区块链、去中心化存储和风险感知访问控制于一体的统一框架。该架构分为三个平面：数据平面在采集端使用每图像独立的AES-256-GCM密钥加密后存入星际文件系统（InterPlanetary File System, IPFS）；控制平面在联盟账本上记录内容哈希、加密元数据、访问策略和封装密钥材料，通过锚定合约、风险感知访问合约和审计合约实现授权、密钥交付与撤销；身份平面由注册机构颁发绑定参与者ML-KEM和ML-DSA公钥的后量子证书。该框架实现了长期密码韧性、安全数据共享、细粒度授权与临床数据敏感性的统一。论文发表在《Frontiers in Digital Health》。
**关键技术方法**：采用混合加密方案，以AES-256-GCM对称加密保护图像载荷，通过ML-KEM（FIPS 203）封装会话密钥，以ML-DSA（FIPS 204）认证区块链交易；链上仅存SHA3-256内容哈希、内容标识符、封装密钥材料和策略参数。访问控制结合属性基访问控制（Attribute-Based Access Control, ABAC）与风险感知决策模型，综合信任评分、访问历史评分和位置评分计算风险分数R
u，并结合眼底敏感性评分S
f自适应调整授权阈值。实验使用公开的Messidor-2数据集（1,748张图像，来自874次检查，左右眼配对），在Hyperledger Fabric 2.5.10、liboqs 0.12.0及Intel Xeon 2.80 GHz平台上实现。
**研究结果**：
**密码学性能**：基准测试显示，ML-KEM-768密钥生成耗时0.068毫秒，远低于RSA-3072的176.6毫秒；ML-KEM解封装耗时0.095毫秒，远低于RSA-OAEP解封的1.974毫秒；ML-DSA-65签名耗时0.760毫秒，验证耗时0.200毫秒；AES-256-GCM对1 MB图像加密约0.257毫秒，SHA3-256哈希约2.93毫秒。
**7.1 链上存储（On-chain storage）**：由于图像数据本身保存在链下，每张图像单接收者的链上记录约4.83 KB（经典基线0.94 KB），与图像分辨率无关；每个额外接收者增加约1,128字节。约5倍的开销主要由ML-DSA签名（3,309字节）和ML-KEM密文（1,088字节）贡献。
**端到端性能**：共享侧密码学与哈希成本约4.02毫秒/图像（经典基线3.27毫秒），访问侧成本约3.48毫秒（经典基线5.25毫秒），后量子机制引入的额外延迟低于1毫秒；AccessGrant和PolicyUpdate智能合约执行时间均约0.25毫秒（标准差0.04毫秒），单背书节点计算受限验证吞吐量约4,000笔/秒。
**安全分析**：威胁模型覆盖经典与量子对手，系统通过AES-256-GCM加ML-KEM封装保障机密性，ML-DSA签名与不可变账本保障认证、不可否认性和完整性，风险感知规则能够自适应遏制受损凭证的利用，链上信任评分持续降低
