后量子密码迁移：遗留基础设施的三大准备策略

后量子密码学的准备工作，本质上是一场企业资产盘点战，而非单纯的数学算法升级。你无法迁移你找不到的密码系统。在大多数生产环境中，自动化资产发现与生命周期分类所花费的时间，远超替换底层算法本身。

后量子就绪通常被当作密码学问题来讨论，这正是它常常停滞不前的原因。算法已经标准化并可供使用。但在几乎任何大型组织中，都无法可靠地回答一个更简单的问题：密码学用在哪里？由哪些系统使用？涉及哪些密钥材料？每个实例的负责人是谁？

这个问题是可以回答的。它并不光鲜，主要是一项发现与资产管理工作，但它决定了实际迁移需要几个季度还是几年。Logic42 创始人兼 CEO Asif Muhammad Iqbal 在其架构简报中，系统梳理了这一问题的解决路径。

已经发生的威胁

大多数密码学风险是预期性的——当攻击变得可行时才会显现。但“先收集、后解密”（Harvest-Now-Decrypt-Later, HNDL）颠覆了这一逻辑。攻击者今天捕获加密流量，将其存储，等到具备能力的硬件出现时再进行解密。

这意味着任何具有长期保密需求的数据，其暴露窗口已经打开。今年记录的、需要保密十年的流量，正面临一种尚不存在的能力的威胁，因为密文已经躺在某人的档案库里。

这也意味着紧迫性并非统一。保密生命周期短的数据（如会话令牌或临时 API 响应）基本不受影响。而保密生命周期长的数据（患者记录、合同条款、凭证、源代码，或任何有监管保留要求的数据）才是真正的问题所在。任何将所有加密流量视为同等紧迫的计划，都无法有效排定工作顺序。

先收集、后解密（Harvest-Now-Decrypt-Later, HNDL） 是量子威胁中一个特殊类别：它不需要攻击者现在就拥有量子计算机。攻击者只需在今天被动截获并存储加密流量，等到未来密码学相关量子计算机（CRQC）成熟后，再回头用 Shor 算法破解当时使用的 RSA 或 ECC 密钥。这之所以成立，是因为现代公钥密码体制的安全性依赖于大数分解和离散对数问题，而 Shor 算法在足够规模的量子计算机上可以多项式时间内解决这些问题。其战略含义在于：威胁的时间点不是量子计算机出现之日，而是敏感数据被截获之日。对于保密周期长的数据，风险窗口实际上已经开启，且无法通过未来的算法升级追溯弥补——已经泄露的密文永远无法收回。

用 Mosca 不等式判定优先级

有一种清晰的推理方式，通常被称为 Mosca 不等式。涉及三个量：

• X：数据需要保持机密的时间（保密生命周期）
• Y：迁移实际需要的时间
• Z：密码学相关量子计算机出现所需的时间

如果 X + Y > Z，那么对于该数据类别，你已经迟了。

这个工具的有用之处在于，它使论证变得具体，而无需任何人精确预测 Z。你不需要确切日期，你只需要注意到：一个持有 15 年保密数据（X = 15）、迁移需要三年（Y = 3）的系统，需要 Z 在 18 年以上才能安全，而几乎没有人能为此假设辩护。

按数据类别而非对整个资产组合运行这个计算。输出结果是一个可辩护的排序，这才是董事会真正需要的东西。

标准已经足够成熟

NIST 已于 2024 年 8 月最终确定了首批后量子标准：

• FIPS 203 (ML-KEM)（源自 CRYSTALS-Kyber），用于密钥封装，替代当前由 ECDH 和 RSA 承担的密钥交换角色。
• FIPS 204 (ML-DSA)（源自 CRYSTALS-Dilithium），用于数字签名。
• FIPS 205 (SLH-DSA)（源自 SPHINCS+），一种基于哈希的签名方案，具有不同的权衡，可作为应对格假设结构性弱点的对冲。

标准	主要算法	功能	经典前身	密钥/签名大小
FIPS 203	ML-KEM	密钥封装	RSA-2048, ECDH	1,184 字节公钥 / 1,568 字节密文
FIPS 204	ML-DSA	数字签名	RSA-PSS, ECDSA	1,312 字节公钥 / 2,420 字节签名
FIPS 205	SLH-DSA	无状态哈希签名	RSA, Ed25519	32 字节公钥 / 约 17KB 签名

实际影响是，“等待标准”已不再是推迟的合理理由。尤其是密钥建立方面，已经有了清晰、标准化、广泛实现的答案。

CRYSTALS-Kyber 与 CRYSTALS-Dilithium 是后量子密码标准化竞赛中的胜出方案，均基于格密码学（lattice-based cryptography）。格密码的安全性建立在带误差学习（LWE）及其环变体（Ring-LWE）等问题的计算困难性之上，这些问题目前尚无已知的经典或量子多项式时间算法。Kyber 用于密钥封装机制（KEM），在 TLS 握手等场景中替代 ECDH 的角色；Dilithium 用于数字签名，替代 ECDSA 和 RSA-PSS。SPHINCS+ 则走了另一条路线，基于哈希函数的抗碰撞性构造签名，安全性假设更保守，但代价是签名体积巨大（约 17KB）。NIST 将它们分别标准化为 FIPS 203、204、205，标志着后量子迁移从研究阶段进入工程部署阶段。

密钥交换：混合模式优先

对于传输中的数据，已确立的迁移模式是混合密钥建立：同时执行经典交换（ECDH）和后量子交换（ML-KEM），并从两者派生会话密钥。

这种保守策略在双向都有保障：如果后量子算法存在实现或分析缺陷，经典交换仍然保护你；如果经典算法被量子攻击攻破，后量子算法顶上。只有两者同时失败，你才会被突破。

混合密钥交换已在主要浏览器和 CDN 的 TLS 中大规模部署，这意味着互操作性路径已被踩实，而非理论上的。对大多数组织而言，在面向外部的 TLS 上启用混合密钥交换是价值最高的早期举措：它直接关闭了传输中流量的 HNDL 窗口，且通常可以在负载均衡器或 CDN 边缘完成，无需触碰应用代码。

签名才是更难的半场

密钥建立是可处理的。签名才是遗留基础设施真正抵制的领域，原因在于结构性问题而非组织问题。

尺寸问题。 后量子签名和公钥比椭圆曲线等价物大得多。这在证书链有大小预算的地方很重要：TLS 握手、固定签名字段的固件镜像、智能卡、受限协议帧。其中一些对签名长度有着早于当前任何在职员工入职时间的硬编码假设。

信任锚点。 根 CA 和中间 CA 的迁移是一项多方、多年的工作，涉及你无法控制的各方。你无法单方面决定你的信任链是后量子的。

长寿命签名产物。 需要数十年保持可验证性的代码签名、文档签名和审计证明，需要一条能在迁移中存活的验证路径。这与加密不同，且常在审计师提出之前被遗忘。

硬件限制。 HSM 固件、TPM、安全元件和 OT 设备可能需要尚不存在的供应商更新，或需要更换那些永远不会再收到固件更新的设备。工业和嵌入式资产应预期发现某些设备的密码学永远不会改变，并计划围绕它们进行网络层面的补偿性控制。

信任锚点（Trust Anchor） 是公钥基础设施中最终被信任的根证书或根密钥，整个信任链的验证都追溯到它。在后量子迁移中，信任锚点的更换远比密钥交换复杂：它涉及根 CA、中间 CA、操作系统信任库、浏览器信任库以及各行业专用信任体系（如金融、政府、物联网）的多方协调。任何一个环节的迁移都需要跨组织协商和多年规划，且许多信任锚点的生命周期本身就以十年计。更棘手的是，长寿命签名产物（如代码签名证书、文档签名、时间戳和审计证明）需要在未来数十年内保持可验证性，这意味着签名验证路径必须能够同时处理后量子签名和传统签名，并在过渡期内维持向后兼容。这与加密场景的根本区别在于：加密只需保护当前数据，而签名需要保护历史的可验证性。

密码敏捷性才是真正的交付物

最常见的战略错误是将此视为向特定算法集的迁移。算法还会再次改变。你真正构建的是无需应用重写就能更换算法的能力。

这种能力具有可识别的特征：

• 应用代码中无算法标识符：密码学操作通过服务或库边界进行，原语选择是配置而非字面量。
• 证书和密钥自动配置：具有短生命周期和无需变更请求即可运行的轮换。手动安装多年期证书的环境无法快速迁移，因为没人知道它们都在哪里。
• 算法选择集中协商或配置：使变更成为一次推广而非一次发布。
• 准确、维护良好的密码资产清单：通过扫描生成，而非要求团队自行报告。

具备这些特性的组织能够将下一次过渡作为运营工作来消化。不具备的组织将从头再次运行同样的项目。

密码敏捷性（Cryptographic Agility） 指系统在不修改应用代码的前提下更换底层密码算法的能力，是后量子迁移中被反复强调但常被低估的架构属性。它并非后量子时代的新概念——历史上从 DES 到 AES、从 SHA-1 到 SHA-2 的过渡都曾暴露敏捷性缺失的代价，但后量子迁移的规模和复杂性使这一问题被放大。实现敏捷性的关键设计原则包括：将密码操作抽象为服务接口、使用配置驱动的算法选择、采用短生命周期证书和自动化轮换、以及通过技术手段（而非人工报告）维护密码资产清单。缺乏敏捷性的组织，每次算法过渡都相当于从零开始一个项目；具备敏捷性的组织则可以将算法更换作为常规运维工作消化。

可执行的迁移顺序

1. 发现：扫描 TLS 端点、证书、密钥库、HSM 持有的密钥、数据库和磁盘加密、签名流水线、VPN 和 SSH 配置以及嵌入式凭证。生成清单，不要靠问卷调查。预期结果会与你的 CMDB 不一致。
2. 按保密生命周期分类：为清单涉及的每个数据类别附加一个 X 值。这是业务对话，不是安全对话，也是最常被跳过的步骤。
3. 用 Mosca 排序：根据 X + Y 对你愿意辩护的 Z 进行排名。公布排名。
4. 在边缘启用混合密钥交换：优先面向外部的 TLS。单位努力的风险降低最高，并关闭传输中流量的收集窗口。
5. 在最便宜的地方修复敏捷性：为你因其他原因已经在触碰的系统自动化证书签发和轮换，移除硬编码算法引用。
6. 审慎规划签名：信任锚点、代码签名和长寿命证明走自己的多年轨道，尽早识别供应商依赖。
7. 隔离无法迁移的部分：某些硬件永远不会更新。在网络层进行补偿，并明确记录已接受的风险，而非让其未被记录。

需要避免的反模式

• 将其视为密码学项目：它主要是发现、资产管理和供应商协调。
• 统一紧迫性：按保密生命周期排序是全部要点；没有它，你会把早期精力花在临时数据上。
• 等待关于 Z 的更多确定性：Mosca 不等式就是为了在没有确切日期的情况下做出决策而设计的。
• 只要后量子，不要混合：在新原语最未经实战检验的时期抛弃纵深防御。
• 自报清单：团队不知道他们所有的密钥在哪里。自动化扫描能发现问卷调查遗漏的东西。
• 忽视长寿命签名：加密获得关注；对十年前签名产物的验证才是让人意外的那一个。
• 推倒重来：保证项目在需求再次改变时仍在进行中。

核心结论

没有人能可信地告诉你 Z 何时到来。这并非表面看上去的障碍，因为前三步（清单、分类和边缘混合密钥交换）无论如何都值得做。它们改善证书卫生，暴露未管理的密钥材料，并降低与量子计算无关的当前风险。

能妥善处理此事的组织，不是那些选对算法的，而是那些能按需更换算法、并确切知道需要在哪里更换的组织。