密码学史上从没出现过这样的局面：一种尚不存在的机器，正在迫使全世界更换正在使用的锁。
1994 年 Shor 证明，一台足够大的量子计算机可以在多项式时间内分解大整数、求解离散对数。今天保护网上银行、TLS 握手、代码签名与国家机密的公钥体系——RSA、椭圆曲线——全部建立在这两个问题之上。它们不是被削弱，而是被归零。
而能运行 Shor 算法分解 2048 位 RSA 的机器，需要约数百万个高质量物理量子比特，各方估计的时间线从 2030 年代延伸到 2040 年代，且都建立在技术轨迹能延续的假设上。
按常理，还没造出来的攻击不该现在应对。后量子密码之所以是个真问题，全部来自一个不对称：加密的迁移比破解的到来慢得多，而今天的密文可以留到未来再解。
破除误解：这不是"等量子计算机来了再说"的事
三个误解需要先拆掉。
第一，量子威胁对称与非对称密码完全不同。 Grover 算法对无结构搜索只给出二次方加速，对 AES 意味着 256 位密钥的有效强度降到约 128 位——把密钥长度翻倍就足够，AES-256 与 SHA-384 在后量子世界里照常可用。真正被摧毁的只有基于分解与离散对数的公钥部分：密钥交换、数字签名、证书体系。这也解释了迁移的形状：不是重写所有加密，而是换掉握手与签名。
第二，"先收割后解密"（Harvest Now, Decrypt Later）不是修辞。 攻击者今天就可以大规模截获并存储加密流量，等到有能力时再解。因此决定紧迫性的不是量子计算机什么时候出现，而是三个量的关系——加拿大密码学家 Mosca 把它写成一条不等式：设 $x$ 为数据需要保密的年限，$y$ 为完成迁移所需年限，$z$ 为量子计算机到来所需年限，若 $x + y > z$，你已经晚了。对需要保密三十年的医疗档案、身份底档与国家机密，这个不等式在今天就成立。
第三，后量子不等于量子。 后量子密码（PQC）跑在普通计算机上，只是换成了量子算法目前无法有效攻破的数学难题——格、纠错码、哈希、多变量方程、同源。它与量子密钥分发（QKD）是两条完全不同的路：QKD 需要专用光纤与硬件、不解决认证问题、无法软件升级，多国安全机构明确表示不把它作为主线；PQC 是纯软件替换，才是全球基础设施实际走的路。
标准落地：从竞赛到 FIPS
NIST 在 2016 年启动后量子密码标准征集，收到 82 份提案，历经三轮公开分析与攻击。2024 年 8 月 13 日发布首批三项标准：
- FIPS 203 / ML-KEM（源自 CRYSTALS-Kyber）——基于模格的密钥封装机制，通用加密的主力；
- FIPS 204 / ML-DSA（源自 CRYSTALS-Dilithium）——基于模格的数字签名主力；
- FIPS 205 / SLH-DSA（源自 SPHINCS+）——无状态哈希签名，只依赖哈希函数的安全性，作为格密码万一失守时的保险。
2025 年 3 月，NIST 又选定 HQC 作为第二套密钥封装机制进入标准化——它基于纠错码而非格，数学基础与 ML-KEM 完全不同。这不是冗余，而是刻意的数学多样性：如果某天格问题出现突破性攻击，整个体系不至于同时崩塌。
这条"要备份"的教训是用血换来的。2022 年 7 月，Castryck 与 Decru 用一个基于 Kani 定理的经典攻击，在单核 CPU 上约一小时内恢复了 SIKE 的密钥——SIKE 当时已经进入 NIST 第四轮，是同源密码的旗舰方案。同年 Beullens 攻破了多变量签名方案 Rainbow。摧毁它们的不是量子计算机，是数学家。 这提醒了所有人：新方案的"安全"来自被攻击的年头，而 PQC 方案被认真攻击的年头，比 RSA 少得多。
工程代价：尺寸才是真正的痛点
后量子迁移在实验室里是换算法，在生产系统里是换尺寸。
ECDSA 的签名是 64 字节，ML-DSA-65 的签名约 3.3 KB；X25519 的公钥 32 字节，ML-KEM-768 的封装密钥 1184 字节、密文 1088 字节。SLH-DSA 更极端——安全性最保守，但签名可达数 KB 到数十 KB。
这些数字看起来只是"大了几十倍"，落到协议里却会撞上硬边界：
- TLS 握手的首个飞行包曾被设计成能塞进极少的往返；证书链里每份证书带一个后量子签名，很容易撑破初始拥塞窗口，多出一个 RTT。
- QUIC 的首包放大限制（防反射攻击）会因为握手变大而触发额外往返。
- DNSSEC 的 UDP 响应尺寸约束尤其难受，签名膨胀直接把响应推向 TCP 回退。
- 嵌入式与智能卡面临的是内存与代码尺寸，不是往返数。
因此现实的迁移顺序是：先换密钥交换，再换签名。密钥交换关系到"先收割后解密"，最紧急，且只需要通信双方升级；签名影响的是认证，威胁在量子计算机真正出现之前不成立，而它牵动整个 PKI——根证书、中间证书、代码签名、固件签名，换代周期以十年计。
混合模式：一场关于信任谁的分歧
一个尚未消解的分歧是：应该只用后量子算法，还是把它与经典算法混合（同时做 X25519 和 ML-KEM，把两个共享密钥拼起来，只有两者都被攻破才失效）？
支持混合的理由是 PQC 方案太年轻，SIKE 与 Rainbow 的前车之鉴太近；混合的代价只是多几百字节，换来的是"新算法失守时不至于裸奔"。德国 BSI 与法国 ANSSI 明确推荐混合。反对方——以美国 NSA 的 CNSA 2.0 为代表——认为混合增加实现复杂度，而复杂度本身就是漏洞来源，主张直接采用纯后量子方案。
实践先于争论落地：X25519MLKEM768 这一混合组合已成为浏览器默认，Chrome 自 131 版、Firefox 自 132 版起默认启用，OpenSSL 3.5（2025 年 4 月）原生支持 ML-KEM。消息应用走得更早：Signal 的 PQXDH 在 2023 年上线，Apple 的 iMessage PQ3 在 2024 年初部署。互联网上流量最大的那一层握手，事实上已经完成了后量子化。
时间表：监管把不确定性变成了确定的日期
工程界最不喜欢"某天可能会发生"的威胁，而监管把它翻译成了日期：
- 美国 NSA 的 CNSA 2.0 要求国家安全系统的新采购自 2027 年 1 月 1 日起符合后量子要求，多数系统类型的全面合规期限设在 2033 年；
- NIST 的迁移指南草案提出，RSA、ECDSA、EdDSA、ECDH 与有限域 Diffie–Hellman 在 2030 年后弃用、2035 年后禁止；
- 欧盟与多国监管随后给出各自的路线图，普遍落在同一时间带内。
这套日期的作用不在于精确——没人知道量子计算机什么时候到——而在于把一件无法定价的风险变成了可排期的工程任务。
代价与争议
"密码末日"被反复夸大。 安全产品营销长期渲染"Q-Day 迫近"，而严肃的资源估算一直在把时间线往后推。夸大的代价是真实的：它诱导组织购买不成熟的方案，或过早锁定在某一套实现上。
迁移的真正瓶颈是清点，不是算法。 多数大型组织根本不知道自己在哪里用了什么密码——嵌在固件里的、供应商黑盒里的、十年前写死在协议里的。行业因此提出密码资产清单（CBOM）与密码敏捷性（crypto-agility）：把算法做成可替换的部件，而不是焊死在协议里。这一课其实与量子无关——从 MD5 到 SHA-1 的两次淘汰已经教过一遍，只是没人学会。
长期签名与不可变账本的困境。 已经写入区块链、长期归档或固化在硬件信任根里的经典签名，无法追溯更换。这类系统需要的不是迁移方案，而是退役方案。
谁来验证实现。 标准发布只是起点；侧信道抗性、常数时间实现、随机数质量，历史上造成的实际破解远多于数学上的破解。格密码的采样步骤对时序攻击尤其敏感，而能审计这些实现的人极少。
未知的边界
- 格问题（LWE / SIS）的困难性在多大程度上被真正理解？现有的安全归约是否覆盖了实际参数区间？
- 是否会出现针对 ML-KEM 或 ML-DSA 的经典攻击，重演 SIKE 的剧本？HQC 这套"数学多样性保险"是否够用？
- 后量子签名的尺寸是否可能有本质性改进，还是必须靠协议层（证书压缩、信任锚删减、KEM 认证握手）来消化？
- "先收割后解密"的实际规模有多大？没有公开证据能量化今天有多少流量正在被存储。
- 大规模容错量子计算的时间线若持续推迟，各国是否会放松已经写入法规的迁移期限？
- 在算力与人才有限的中小组织与发展中国家，这轮迁移是否会造成新一轮的安全鸿沟？
跨域连接
- RSA 公钥密码：RSA 的安全性直接建立在分解困难上，因此它是 Shor 算法的首要目标。理解 RSA 为何可破，才能理解迁移为何不能只换密钥长度——加长 RSA 模数对量子攻击几乎无效，因为 Shor 的复杂度是模长的多项式而非指数。这是"换参数"与"换数学"的分界线。
- 量子算法：Shor 与 Grover 的适用范围差异，决定了迁移的精确边界——公钥全换、对称加倍。量子算法研究罕见地在硬件到位之前就改变了现实，后量子标准化正是这一影响的唯一大规模落地案例，也是判断其他"量子优势"宣称是否可信的参照点。
- 密码学基础：可证明安全的归约思想在此处受到最严苛的检验——PQC 方案的安全归约往往依赖比经典方案更强的假设，且参数选取与归约的紧致性之间存在真实取舍。"有安全证明"与"实践中安全"在后量子语境下的距离，比在 RSA 时代更大。
- 纠错码：HQC 与 Classic McEliece 把纠错码从"对抗噪声"的工具变成了"制造困难"的工具——解码一个随机线性码在最坏情况下是 NP 难的。同一套数学在通信里用于恢复信息，在密码里用于隐藏信息，这种双重身份是理论计算机科学最优雅的复用之一。
- 软件供应链安全：迁移的实际阻力大多在供应链——固件、依赖库、硬件安全模块、第三方 SDK 里的密码实现你既看不见也换不掉。密码资产清单本质上是 SBOM 思想在密码层的复制，而这两件事失败的原因也完全一样：没有人为看不见的东西付钱。
参考文献
- Shor, P. Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer. SIAM J. Comput. 26(5), 1997.
- NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA). 2024 年 8 月 13 日发布。
- NIST. HQC 选定为第二套后量子密钥封装机制，2025 年 3 月。
- Castryck, W. & Decru, T. An Efficient Key Recovery Attack on SIDH. EUROCRYPT 2023.
- Mosca, M. Cybersecurity in an Era with Quantum Computers: Will We Be Ready? IEEE Security & Privacy, 2018.
- NSA. Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) 及其 FAQ（迁移时间表）。
延伸阅读
- Bernstein, D. J. & Lange, T. Post-Quantum Cryptography. Nature 549, 188–194 (2017).
- Cloudflare Research 的后量子部署系列技术博客（握手尺寸与真实流量占比的实测数据）。
- BSI. Quantum-safe cryptography – fundamentals, current developments and recommendations.（混合模式立场）
- Beullens, W. Breaking Rainbow Takes a Weekend on a Laptop. CRYPTO 2022.