先收集，后解密：为什么长寿命产品今天就要规划后量子迁移

关于后量子密码，我最常听到的问题是：“量子计算机什么时候能真正破解 RSA？”

这是个合理的问题，但不是正确的起点。

对许多组织来说，风险并不是从足够强大的量子计算机出现那天开始的，而是从有人记录下那些在量子计算机到来时仍有价值的数据那天开始的。

“先收集，后解密”是什么意思

道理很简单。攻击者今天截获并保存加密流量。他们暂时无法读取，但也不需要。存储很便宜，他们可以等待。

一旦具备密码学意义的量子计算机出现，由今天的公钥算法（如 RSA 和椭圆曲线密码）保护的密钥交换就可能被破解。Shor 算法在 1994 年就证明了这在原理上是可行的。几年前记录的数据将变得可读。

这会在十年后还是二十年后发生，尚不确定。真正重要的是一个简单得多的比较。

决定风险的三个数字

有一种广为人知的思考方式，通常归功于 Michele Mosca。比较三个时长：

• 数据需要保密多久（x）；
• 将系统迁移到抗量子密码需要多久（y）；
• 量子计算机能够破解今天的公钥密码还要多久（z）。

如果 x + y 大于 z，你就有问题了，而且问题从今天就存在。

这个公式的妙处在于你不需要精确知道 z，只需要对 x 和 y 诚实。根据我的经验，y 是最容易被低估的数字。

为什么联网产品不同

对于 Web 服务来说，迁移虽然困难，但范围有限。你控制服务器，可以部署新库，可以轮换证书。

联网产品则不同。

• 它们在现场运行十年、十五年，有时二十年。
• 它们的密码学往往与多年前选定的硬件、引导程序和安全元件绑定。
• 它们的更新链可能涉及多个供应商。
• 有些产品根本无法更新。

因此，对于今天设计的设备，x 和 y 几乎必然与 z 重叠。你现在正在定义的产品，很可能在迁移全面展开时仍在运行。

不仅仅是机密性

“先收集，后解密”关乎机密性。对于联网产品，还有第二种风险，我认为更加重要：真实性。

固件更新是经过签名的，设备通过证书证明自己的身份。如果这些机制背后的签名方案变得可破解，攻击者就不需要读取你的数据。他们可以冒充你：为恶意固件签名，或克隆一台受信任的设备。

这种风险不是从数据被收集时开始的，而是从攻击变得可行时开始的。但必须抵御它的信任根，早在设计硬件和启动链时就已经决定了。

时间表已经确定

你不需要押注量子硬件，也已经有了期限。

• NIST 于 2024 年 8 月发布了首批后量子标准 FIPS 203、204 和 205。
• NIST 已提出计划：2030 年后弃用易受量子攻击的公钥算法，2035 年后禁止使用。
• 欧盟的协调路线图要求在 2026 年底前启动迁移，2030 年前保护高风险用例，2035 年前尽可能多地完成系统迁移。

无论量子实验室里发生什么，监管机构和大客户都会遵循这些日期。

现在该做什么

你不必在今年替换所有算法，但必须停止让问题变得更大。

1. 按生命周期对数据分类。 哪些数据需要保密十年以上？这类流量应该最先受到关注。
2. 找出使用公钥密码的地方。 密钥交换、签名、设备身份、更新签名。你无法规划一场看不见的迁移。
3. 不要再发布无法改变的新产品。 确保新设计具备采用新算法所需的存储空间、性能余量和更新路径。我称之为密码敏捷性。
4. 诚实地估算 y。 问问你的团队：更换仍在支持的最老产品的签名方案需要多久？答案通常比路线图假设的更长。

量子计算机不是起点。起点是你今天正在创造的数据和产品。