Há um compromisso nos esquemas de assinatura pós-quântica que se torna óbvio assim que você começa a raciocinar sobre como eles se comportam dentro de sistemas reais. A velocidade, o tamanho da assinatura e quão conservadoras são as suposições de segurança subjacentes tendem a puxar umas contra as outras. Você geralmente consegue fazer um trabalho razoável em dois desses aspectos, mas não consegue todos os três ao mesmo tempo. Estou chamando isso de "O Trilema da Assinatura Pós-Quântica". Pensar sobre assinaturas pós-quânticas como estando dentro de um triângulo torna o espaço de design muito mais fácil de raciocinar. Diferentes esquemas não são melhores ou piores isoladamente. Eles estão fazendo escolhas diferentes sobre quais custos pagar e onde esses custos aparecem. Uma vez que você é explícito sobre isso, torna-se mais fácil combinar um esquema a um sistema, em vez de argumentar de forma abstrata sobre qual é o "melhor". Escrevi isso com mais detalhes abaixo.