后量子密码迁移

• Shor 算法破大整数分解与离散对数
• 对 RSA/ECC/DH 的威胁
• harvest now decrypt later 的紧迫性

Shor 算法能在多项式时间内解决大整数分解与离散对数问题，直接破解 RSA（基于分解）、ECC 与 DH（基于离散对数/椭圆曲线离散对数）。一旦大规模容错量子计算机可用，这些公钥密码的密钥可被快速提取，密钥安全性归零。迁移紧迫性在于"harvest now, decrypt later（HNDL）"：攻击者现在可截获并长期保存加密流量，等量子计算机成熟后解密，因此长生命周期数据（金融、政府、医疗）需现在就用后量子密码（PQC）加密，否则未来将泄露。同时密码算法升级周期长（证书、基础设施、协议），必须提前规划迁移。

紧迫性不是"量子计算机明天就绪"，而是"数据现在被截获、未来可解密"。PQC 迁移是长周期工程，需在量子威胁成熟前完成，尤其保护长生命周期数据与现有基础设施。

• 各算法类型与数学基础
• 密钥/签名尺寸与性能
• 适用场景

NIST 已标准化三个 PQC 算法：ML-KEM（原 CRYSTALS-Kyber，FIPS 203）是公钥加密/密钥封装（KEM），基于格（MLWE），密文小、性能好，用于密钥交换。ML-DSA（原 CRYSTALS-Dilithium，FIPS 204）是数字签名，基于格（MLWE/LLWE），签名与密钥尺寸适中、性能好，是通用签名主力。SLH-DSA（原 SPHINCS+，FIPS 205）是无状态哈希签名，安全性只依赖哈希函数、最保守，但签名大（几 KB~几十 KB）、较慢，用于高安全信任根。适用：ML-KEM 用于 TLS 密钥交换、ML-DSA 用于证书与通用签名、SLH-DSA 用于信任根等高安全低频场景。

三个算法覆盖"密钥交换 + 签名"：ML-KEM 保底 KEM、ML-DSA 常规签名、SLH-DSA 保守高安全。基于格的算法性能好但安全性依赖格假设，哈希签名更保守但尺寸大。

• 各参数集的安全级别
• 与经典算法对标
• 工程选型依据

ML-KEM 有 512/768/1024 三个参数集，ML-DSA 有 44/65/87 三个，SLH-DSA 有多个哈希参数。它们分别对应 NIST 安全级别：级别 1（约等于 AES-128/256 位 ECC）、级别 2、级别 3（约等于 AES-192）、级别 5（约等于 AES-256）。ML-KEM-512 对应级别 1，ML-DSA-44 对应级别 2；ML-KEM-768/ML-DSA-65 对应级别 3，ML-KEM-1024/ML-DSA-87 对应级别 5。工程选型依据：所需安全级别（对标经典算法）、传输/带宽成本（密钥与签名尺寸）、算力与性能、以及兼容性（如 TLS 标准推荐 ML-KEM-768）。级别 3 是常见默认，级别 5 用于更高安全需求。

参数集提供"安全级别-性能"的梯度。选型需平衡安全强度与带宽/性能，多数场景用 ML-KEM-768（级别 3）作为默认，高风险场景用 1024（级别 5）。

• 双签双验的混合策略
• 安全性取两者取强
• 兼容性挑战

混合 PQC 将经典算法与后量子算法结合：密钥交换用 X25519 + ML-KEM 联合派生会话密钥，签名用经典 ECDSA/RSA + 后量子 ML-DSA 双签名，验证时两者都验，安全性取两者取强（只要一方未破就安全）。兼容性挑战：需要同时支持两个算法与两种格式，证书需携带两套公钥/签名（复合证书或并行链），增加复杂度；旧中间件与 TLS 库可能无法解析双算法格式；带宽与握手报文增大（PQC 签名/密文大）；实现需保证两套都正确、无降级到单算法的风险。缓解需渐进部署、回退机制与协议协商。

混合策略是"安全兜底 + 平滑过渡"。挑战在"格式兼容与带宽成本"，需在不破坏现有系统的前提下引入双算法，并防止攻击者利用降级只保留单算法。

• 证书链的 PQC 签名迁移
• 根 CA 到叶子证书的迁移顺序
• 浏览器支持现状

TLS 1.3 的 PQC 迁移包括密钥交换（ML-KEM 混合）与证书签名（ML-DSA）两部分。证书链迁移路径：通常先迁移叶子证书（实体证书）使用 ML-DSA 或混合签名，中间 CA 与根 CA 相对稳定，可先用混合签名或保持经典证书，逐步下推。根 CA 用高安全签名（如 SLH-DSA 用于信任根）但迁移慢。浏览器支持现状：主流浏览器（Chrome、Firefox、Safari）已支持或逐步支持 ML-KEM 密钥交换，但对 ML-DSA 证书签名的支持仍在推进，需同时支持经典签名与混合证书以保证兼容。签名的 PQC 迁移比密钥交换更慢，因涉及证书链与信任根。

密钥交换的 PQC 迁移（ML-KEM）进展快，证书签名迁移（ML-DSA）因证书链与浏览器支持较慢。迁移路径是"先叶子、后中间、根最后"，并保持与经典算法的兼容。

• 迁移优先级的评估维度
• 各系统迁移优先级
• 理由（数据生命周期、影响范围）

PQC 迁移优先级应从"数据生命周期与安全影响"评估：长生命周期数据（需长期保护）、高影响系统（被攻破损失大）、依赖公钥密码的基础设施优先。优先级排序：TLS（保护海量长生命周期流量，且受 HNDL 威胁）与代码签名（保护软件供应链，签名长期有效）应优先；VPN（远程安全通道）其次；IoT 因设备算力受限、固件更新难，需专门设计可后置换算。理由：TLS 直接暴露于 HNDL，代码签名签名的长期可信性依赖抗量子，VPN 是访问入口，IoT 升级成本高需提前规划。评估还需考虑迁移成本、兼容性与量子威胁时间线。

优先级 = 暴露风险 × 数据生命周期 × 影响范围。TLS 与代码签名受 HNDL 与长期信任影响最大，优先于 IoT（虽重要但升级难，需提前设计）。迁移按"风险最高、成本可接受"者先做。

• 混合 KEM 的协商
• 安全性取两者取强
• 降级攻击风险

X25519MLKEM768 是 TLS 1.3 的混合 KEM：客户端与服务器同时协商 X25519 与 ML-KEM-768 的共享密钥，用 HKDF 把两者结合派生会话密钥，安全性取两者取强（只要一方未破就安全）。握手协商通过 supported_groups 扩展表示混合组，客户端发送混合组，服务器选择支持。降级风险：若攻击者强制降级到纯 X25519（或纯 ML-KEM），则失去其中一方保护；TLS 1.3 的降级检测（服务器签名绑定 transcript，含版本与组）与"禁止纯经典降级"策略可缓解。需确保混合组被正确协商且不被剥离，避免攻击者移除 PQC 部分。

混合 KEM 的安全关键在于"强制绑定"：必须保证双方确实协商了混合组，且密钥派生同时包含两部分。TLS 1.3 的 transcript 绑定与组协商能防降级到单算法。

• 各算法的用途
• 选型依据（安全、尺寸、性能）
• 平衡取舍

ML-KEM（FIPS 203）用于密钥封装/密钥交换，ML-DSA（FIPS 204）用于数字签名，SLH-DSA（FIPS 205）用于高安全签名。选型依据：用途（KEM vs 签名）、安全级别（对标 AES-128/192/256）、密钥/签名尺寸、性能与兼容性。通用场景选 ML-KEM（密钥交换）与 ML-DSA（签名），因为尺寸适中、性能好；高安全低频场景（信任根、代码签名）可考虑 SLH-DSA（哈希签名、最保守但尺寸大）。结合混合模式（X25519MLKEM768、ECDSA+ML-DSA）实现平滑过渡。选型需按"安全需求 + 带宽/性能预算 + 生态兼容"综合决定。

选型是"安全级别 × 性能带宽 × 兼容性"的权衡。ML-KEM/ML-DSA 是性能与安全平衡的默认选择，SLH-DSA 是安全保守但尺寸大的备选，混合模式是过渡首选。

• 密钥/签名尺寸对比
• 性能对比
• 安全基础对比

与经典算法对比：ML-KEM（对应 ECDH/RSA 加密）的密文与密钥尺寸比 ECDH 大（如 ML-KEM-768 密文约 1088 字节、密钥 1184 字节，而 X25519 仅 32 字节），但比 RSA 大得多；ML-DSA（对应 ECDSA/RSA 签名）的签名更大（ML-DSA-65 签名约 3309 字节，ECDSA 约 64 字节），公钥也更大；SLH-DSA 签名最大（可达几十 KB）。性能上，格基算法（ML-KEM/ML-DSA）在软件上较 ECDH/ECDSA 慢，但硬件加速可用，整体仍在可接受范围；SLH-DSA 最慢。安全基础：ML-KEM/ML-DSA 基于格假设（MLWE），SLH-DSA 基于哈希函数（最保守）。对比结论：PQC 换取抗量子安全，代价是更大的尺寸与较慢的性能。

核心 trade-off 是"用尺寸与性能换抗量子安全"。PQC 密钥/签名显著大于经典 ECC，给握手带宽、证书链与存储带来压力，需在工程中优化（如混合、权衡参数）。

• 混合证书的形式
• 签名算法迁移
• 兼容性影响

PQC 对 TLS 的影响体现在密钥交换（ML-KEM 取代/混合 ECDH）与证书签名（ML-DSA 取代/混合 ECDSA/RSA）两部分。混合证书是迁移桥梁：一张证书同时携带经典与 PQC 公钥/签名（复合证书），或并行证书链，验证时两者都验，兼容旧系统。签名算法迁移路径：先叶子证书用混合签名，中间 CA 与根 CA 逐步引入，根 CA 保持稳定。影响：证书与签名尺寸增大（PQC 公钥/签名大），导致握手报文变大、MTU 与拥塞窗口压力；旧中间件与库可能无法解析新格式，需回退与兼容策略。主流浏览器已支持 ML-KEM 密钥交换，对 ML-DSA 证书支持逐步推进。

证书迁移是 PQC 迁移中最慢的部分，因涉及信任链与生态。混合证书+渐进式迁移（先叶子后根）能在保持兼容的同时引入 PQC，缓解尺寸与兼容压力。

• SLH-DSA 的哈希签名原理
• 签名体积大的原因
• 与 ML-DSA 的尺寸取舍

SLH-DSA（原 SPHINCS+）基于哈希树（FORS + HORST + WOTS+）构造，安全性只依赖哈希函数的抗碰撞性，无需格等结构化假设，因此安全性最保守（对抗量子且实现简单）。代价是签名体积大（约 7~49KB，随参数变化），因为它要包含大量认证路径与哈希值。与之对比，ML-DSA（Dilithium）签名约 2~4KB（ML-DSA-65 约 3309 字节），公钥也更小，速度快得多，但安全性依赖格假设（MLWE）。取舍：SLH-DSA 换取"保守安全 + 小哈希"但体积大、慢，适合信任根/低频；ML-DSA 尺寸性能好但依赖格假设，适合通用签名。工程上常以 ML-DSA 为主、SLH-DSA 用于高安全信任根（如根 CA）。

取舍本质是"安全保守性 vs 尺寸性能"。SLH-DSA 用哈希原理换最保守安全，但体积大；ML-DSA 用格假设换体积与速度。两者互补，按场景选用。

• PQC 也面临经典侧信道
• 格运算的侧信道面
• constant-time 实现的异同

PQC 算法虽然抗量子计算，但其实现仍运行在经典硬件上，因此同样面临时序、功耗、缓存、故障注入等经典侧信道。格基算法（ML-KEM/ML-DSA）涉及大量模运算、多项式乘法、采样与 NTT，其运算时间与功耗可能依赖密钥/秘密数据，若实现不当会泄露信息（如常数时间不足导致密钥提取）。constant-time 实现与经典密码相同：要求所有分支、查表、运算路径不依赖秘密数据，使用恒定时间比较、避免秘密索引，并利用硬件加速（如 AES-NI 式优化）保证吞吐。异同：原则相同（秘密不驱动时间/功耗差异），但 PQC 的算法结构更复杂（多项式运算、采样），实现难度更大，需专门审计。

PQC 只解决"抗量子计算"问题，不解决"经典侧信道"。因此 PQC 实现仍需 constant-time 与安全审计，且因格运算复杂度更高，侧信道防护更考验工程。

• FN-DSA 的 FFT 与短签名
• 与 ML-DSA 的尺寸/性能对比
• 实现复杂度

FN-DSA（原 Falcon，FIPS 206）是基于 FFT 的格签名，特点是签名非常短（FN-DSA-512 约 666 字节，是格签名中尺寸最优之一），但公钥生成与验签较复杂，且其实现依赖浮点 FFT，对常数时间与数值稳定性要求高，实现难度大。ML-DSA（Dilithium）签名较大（约 2~4KB）但实现简单、不需要浮点、稳健，公钥也小，工程上更易部署。取舍：网络带宽关键（如某些高流量场景）可用 FN-DSA（签名短），一般场景用 ML-DSA（实现简单、稳健、生态好）。相同安全级别下两者都可用，但 ML-DSA 是当前主流默认。

取舍是"签名尺寸 vs 实现复杂度/稳健性"。FN-DSA 签名短但浮点 FFT 实现难、需谨慎，ML-DSA 简单稳健但签名大。工程多数选 ML-DSA，FN-DSA 用于带宽敏感场景。

• NIST IR 8547 的时间表
• 分阶段禁止经典算法的节点
• 最终 PQC-only

NIST IR 8547（《Transition to Post-Quantum Cryptography Standards》）给出迁移时间表：第一阶段（约 2024-2030）允许/鼓励混合与逐步引入 PQC，与经典算法共存；第二阶段（约 2030 之后）逐步禁止在安全等级要求下使用 RSA/ECC 等经典算法用于新数据的保护，仅保留对称加密（AES）与哈希；最终阶段（约 2035 及以后）全面过渡到 PQC-only，仅支持 PQC 算法保护数据。关键节点是"2030 年禁止经典公钥用于新数据"与"2035 年全面 PQC-only"。这些时间表为系统规划迁移提供里程碑，但非强制合规截止，商用系统需按此规划。

IR 8547 是"目标时间表"而非强制标准，它把迁移分为"混合期→禁经典新数据→纯 PQC"三阶段，引导系统在 2030/2035 前完成迁移。对称加密（AES）与哈希不受 Shor 威胁，可保留。

• HNDL 攻击原理
• 长生命周期数据的风险
• 提前加密策略

HNDL（先收集后解密）攻击指攻击者现在截获并存储加密流量，等未来量子计算机成熟后解密取证。对长生命周期数据（医疗记录、政府档案、金融交易，需保密数十年）风险极高，因为即使现在用 RSA/ECC 加密，未来量子计算可解密历史数据。工程风险是"数据现在被保护但未来被泄露"。应对策略：对长生命周期数据提前使用 PQC 或混合加密（如 X25519MLKEM768），并采用前向保密（ECDHE）让会话密钥不绑定长期密钥（即使长期密钥量子破解，历史会话也无法解）。同时评估数据生命周期，对需长期保护的数据优先迁移、缩短证书/密钥有效期、定期轮换。

HNDL 的核心是"保密期长于当前算法安全期"。应对是"提前用抗量子加密 + 前向保密"，并依据数据生命周期给迁移定优先级。这是 PQC 迁移紧迫性的根本原因。

• 国密算法家族
• 与国际算法的对标
• 信创场景的并行与替代

国密算法由我国密码管理局制定：SM2（椭圆曲线公钥加密/签名/密钥交换，对标 ECC/RSA）、SM3（哈希，对标 SHA-256）、SM4（分组加密，对标 AES）、SM9（基于标识的密码，IBE）。在信创（信息技术应用创新）场景，国密算法与开放国际算法（AES、RSA、ECC、SHA-256）并行并存，按合规要求可在 TLS 等协议中协商使用国密套件（如 SM2-SM3-SM4 套件）。工程边界：国密算法需在合规/监管场景（政务、金融、信创）使用；生态与实现成熟度、性能、互操作性需评估；实现上应遵循 GM/T 标准、使用经过认证的国密库（如 GmSSL），并注意 SM2 与 ECDSA 的签名格式差异、SM4 与 AES 的块差异。合理方案是"双算法并行、按场景选择"。

国密是"合规驱动的算法选择"，与国际算法在安全强度上对标（SM2≈ECC 256 位、SM4≈AES-128）。工程边界是"合规要求 vs 生态与性能"，需按场景并行或替代，并保证实现合规。

• PQC 尺寸与握手开销
• 证书链成本
• IoT 场景约束

PQC 的密钥与签名尺寸显著大于经典 ECC：ML-KEM-768 密文约 1088 字节、密钥约 1184 字节，ML-DSA-65 签名约 3309 字节、公钥约 1952 字节（对比 ECDSA 约 64 字节签名、X25519 32 字节公钥）。这导致 TLS 握手报文增大（密钥交换消息 + 证书链），增加握手延迟与 MTU 分片压力。证书链上，若根与中间 CA 都用 PQC 签名，链总尺寸大幅增长，增大传输与存储。IoT 场景更受限：设备内存/算力有限，PQC 大尺寸与较慢运算可能超预算，且内存紧张的嵌入式设备难以承载大证书与签名，需权衡参数（如低安全级别）与传输优化（分片、压缩）。

PQC 的代价是"带宽与存储"。工程需优化握手（分片、会话复用）、权衡参数集、并在 IoT 上做资源预算评估。尺寸与延迟是 PQC 落地的主要现实约束。

• TLS 的混合密钥交换
• X.509 的混合证书与签名
• 渐进迁移路径

混合 PQC 部署分 TLS 与 X.509 两部分：TLS 层用混合密钥交换（X25519MLKEM768 等），把经典与 PQC 密钥派生结合，同时获得前向保密与抗量子，且不破坏现有握手；X.509 层用混合证书（携带经典与 PQC 双公钥/签名）或并行证书链，验证时两者都验。迁移路径：先部署 TLS 混合密钥交换（客户端/服务器支持，投入小、收益大），再逐步迁移证书签名为混合（先叶子后中间/根），最后过渡到纯 PQC。过程中保持与经典算法的兼容、支持回退，并监控中间件兼容性。部署顺序通常"先密钥交换、后证书签名"。

迁移路径是"先易后难"：TLS 混合 KEM 改动集中、收益直接，证书混合涉及信任链与生态，更慢。两者都采用混合模式以平滑过渡并保持兼容。

• X25519MLKEM768 的混合协商
• 兼容性
• 迁移路径

X25519MLKEM768 是 TLS 1.3 的混合 KEM：同时用 X25519（经典 ECDH）与 ML-KEM-768（后量子）协商共享密钥，用 HKDF 结合派生，安全性取两者取强。部署时，客户端与服务器通过 supported_groups 协商混合组，服务器生成两类密钥交换参数，双方合并派生会话密钥。迁移路径：先启用 X25519MLKEM768 作为可选组（与旧 X25519 共存），逐步默认并推荐，最终在纯 PQC 时代替换为 ML-KEM 单组。过程中需保证支持旧客户端（回退到 X25519）、监测降级攻击（TLS 1.3 transcript 绑定防降级），并控制握手报文大小（分片）。

X25519MLKEM768 是"向后兼容 + 向前加固"的过渡通道：旧客户端仍可用 X25519，新客户端获得混合抗量子安全。迁移路径是"可选→默认→纯 PQC"，配合降级防护。

• 量子威胁时间线的不确定性
• HNDL 使迁移提前
• 数据生命周期与迁移窗口

量子威胁时间线存在不确定性：大规模容错量子计算机难预测何时成熟（可能 10-30 年），但它一旦可用，RSA/ECC 即被 Shor 破解。HNDL（先收集后解密）是促使提前迁移的关键：攻击者现在就能截获并长期保存加密流量，等量子可用时解密。因此迁移的紧迫性不取决于"量子何时来"，而取决于"数据保密期多长"。若某数据需保密 30 年，而量子计算机 15 年后成熟，则现在就该迁移。迁移窗口 = 数据保密期 - 量子威胁时间 - 迁移工程耗时。算法升级、证书、基础设施的迁移周期长，必须提前规划，否则未来数据已泄露。

提前迁移的动机是"数据保密期与量子威胁时间交叉"。HNDL 把威胁从"未来"拉到"现在"，只要数据会被截获且保密期长，就必须现在用 PQC 保护。迁移是长周期工程，需预留时间。

• ML-KEM 的密钥/密文尺寸
• 握手开销
• 优化手段

ML-KEM 的尺寸：ML-KEM-512 密文约 768 字节、密钥约 800 字节；ML-KEM-768 密文约 1088 字节、密钥约 1184 字节；ML-KEM-1024 密文约 1568 字节、密钥约 1568 字节。相比经典 X25519（32 字节公钥），ML-KEM 尺寸大几十倍，因此在 TLS 握手中，密钥交换消息与证书（若用 PQC）显著增大，增加握手延迟与带宽，并可能触发 MTU 分片（KEM 密文 + 证书链超过单包）。优化手段：使用更低安全级别参数（如 768 而非 1024）、会话复用（避免重复握手）、分片处理、压缩、以及混合模式下只传输必要部分。总体来说 ML-KEM 性能可接受，但带宽是主要成本。

ML-KEM 的性能（CPU）可接受，主要成本是带宽——密钥/密文尺寸大导致握手消息增大。优化聚焦于减小通信量、分片与复用，IoT 等受限场景需权衡。

• 各轮候选算法的筛选
• 最终选定的算法
• 标准化的里程碑

NIST PQC 标准化始于 2016 年征集，历经多轮筛选：第一轮（2017）收到 69 个候选算法；第二轮（2019）筛选到 26 个；第三轮（2020）聚焦到 7 个最终候选 + 8 个候补（alternate）；最终（2022-2024）选定/标准化：ML-KEM（Kyber）作为 KEM、ML-DSA（Dilithium）作为签名、SLH-DSA（SPHINCS+）作为备用签名，并另选 Falcon（FN-DSA）作为附加签名（FIPS 206）。关键里程碑：2017 第一轮征集、2019 第二轮、2020 第三轮、2022 公布 ML-KEM/ML-DSA/SLH-DSA 选择、2024 发布 FIPS 203/204/205 正式标准。这些算法成为抗量子迁移的基石。

标准化进程是"广撒网→多轮淘汰→精选"，兼顾安全性、性能、实现复杂度与生态。最终 KEM 选格基 ML-KEM，签名选格基 ML-DSA + 哈希 SLH-DSA + 格基 Falcon，覆盖不同安全与性能需求。

• HSM/TPM 的 PQC 支持
• 各厂商的现状
• 迁移限制

HSM/TPM 是密钥管理与硬件安全的关键，其 PQC 支持是迁移的瓶颈。YubiHSM 2 目前主要支持经典算法（RSA、ECC、Ed25519），对 PQC 算法（ML-KEM/ML-DSA）的支持有限或需通过固件/软件扩展；Thales Luna 等企业级 HSM 已宣布或逐步支持 PQC 算法（如 ML-KEM、ML-DSA、SLH-DSA），但需固件升级与认证（FIPS 140 认证需覆盖 PQC）。TPM 2.0 规范也逐步纳入 PQC 支持。现状：HSM/TPM 的 PQC 支持仍在演进，硬件算力与算法认证（如 FIPS 140-3 + PQC）是主要限制，迁移需评估硬件能力、固件路线与合规认证。

HSM/TPM 是 PQC 迁移的"最后一公里"：密钥生成/存储/签名需在硬件内实现 PQC，且需通过认证。现状是支持逐步落地，企业需按硬件路线图与合规要求规划迁移。