远程证明中的PQC后量子密码迁移 - 第2节
经典密码学回顾：RSA、ECDSA 在远程证明中的应用
聊后量子密码迁移之前，咱们得先搞清楚：现在远程证明里用的那些经典公钥密码，到底是怎么工作的？它们又脆弱在哪里？
我个人习惯把远程证明的核心逻辑总结成一句话：证明方用私钥签名，验证方用公钥验签。就这么简单。但背后支撑这个逻辑的，就是 RSA 和 ECDSA 这两套算法。
RSA：老当益壮，但越来越吃力
RSA 的安全性基于大整数分解的困难性。给你两个大素数 p 和 q，乘起来得到 n 很容易；但给你 n，要反推出 p 和 q，那就难了。
在远程证明场景里，RSA 通常用来做签名。证明方持有私钥 (d, n)，对度量值做哈希后签名；验证方用公钥 (e, n) 验签。
RSA 签名流程（简化版）
- 证明方计算度量值哈希 H = Hash(evidence)
- 签名 S = Hd mod n
- 验证方计算 H' = Se mod n，对比 H' 是否等于 H
我在项目中遇到过不少用 RSA-2048 的 TPM 远程证明方案。说实话，2048 位的 RSA 现在还算安全，但性能开销确实不小。尤其是嵌入式设备，一次签名可能要几十毫秒，验证端还好一点。
避坑指南
我曾经踩过一个坑：RSA 的填充方案。PKCS#1 v1.5 填充有已知的攻击向量，现在业界基本都推荐用 PSS（Probabilistic Signature Scheme）。如果你还在用 v1.5，建议尽快迁移。
ECDSA：短签名，高性能，但依赖曲线
ECDSA（椭圆曲线数字签名算法）是另一种主流选择。它的安全性基于椭圆曲线离散对数问题（ECDLP）。
相比 RSA，ECDSA 最大的优势是：同等安全强度下，签名更短，密钥更小。比如 RSA-3072 和 ECDSA P-256 的安全强度差不多，但 RSA 的公钥是 3072 位，ECDSA 只有 256 位。签名长度也是 ECDSA 更短。
| 算法 | 密钥长度（位） | 签名长度（位） | 安全强度（位） |
|---|---|---|---|
| RSA-2048 | 2048 | 2048 | 112 |
| RSA-3072 | 3072 | 3072 | 128 |
| ECDSA P-256 | 256 | 512 | 128 |
| ECDSA P-384 | 384 | 768 | 192 |
在远程证明里，ECDSA 特别适合带宽受限的场景。比如 IoT 设备上报证明数据，签名短一点，网络开销就小一点。
但 ECDSA 也有坑。我见过有人用不标准的曲线参数，结果签名验签对不上。记住：永远用标准曲线（NIST P-256、P-384 等），别自己造轮子。
Shor 算法：经典公钥密码的终结者
好了，现在说重点。为什么我们要搞后量子密码迁移？因为 Shor 算法。
1994 年，Peter Shor 提出了一个量子算法，可以在多项式时间内解决大整数分解和离散对数问题。这意味着：
- RSA 的大整数分解难题，在量子计算机面前形同虚设
- ECDSA 的椭圆曲线离散对数问题，同样不堪一击
说白了，只要量子计算机发展到足够规模，RSA 和 ECDSA 就全废了。
这不是遥远的威胁
你可能觉得量子计算机还早。但请注意：密码学迁移的周期通常是 10-20 年。你现在不开始规划，等到量子计算机真的来了，你的远程证明系统就是裸奔状态。
Shor 算法的核心思想是利用量子傅里叶变换找到函数的周期。具体到 RSA，它把分解问题转化为求阶问题，然后用量子并行性加速。我不展开讲数学细节，你只需要记住：Shor 算法让 RSA 和 ECDSA 的数学基础彻底失效。
“先存储，后解密”风险：现在就要面对的威胁
你可能觉得：“量子计算机还早，我急什么？”
嗯，这里要注意一个更紧迫的风险：先存储，后解密（Harvest Now, Decrypt Later）。
什么意思？攻击者现在就把你的加密通信数据全部存下来。等未来量子计算机成熟了，再用 Shor 算法破解你的 RSA 或 ECDSA 密钥，然后解密这些历史数据。
想想看：
- 你的远程证明签名数据，被攻击者抓包存下来了
- 你的设备身份证书，被攻击者截获了
- 你的固件更新签名，被攻击者保存了
十年后，量子计算机破解了你的私钥，攻击者就可以：
- 伪造你的设备身份，冒充合法设备
- 篡改你的固件更新，植入恶意代码
- 伪造远程证明报告，欺骗验证方
这不是科幻小说。这是现在正在发生的威胁。
哪些数据面临“先存储，后解密”风险？
- 远程证明的签名值（Attestation Signature）
- 设备身份证书（Device Identity Certificates）
- 固件更新包的签名
- 安全通道的会话密钥（如 TLS 握手中的预主密钥）
- 任何用 RSA/ECDSA 签名的长期凭证
我在做金融级远程证明方案时，客户明确要求：所有签名数据必须考虑 20 年以上的安全性。因为金融设备的生命周期很长，现在部署的设备，可能要到 2040 年才退役。如果现在不迁移到后量子密码，这些设备在未来就是巨大的安全隐患。
我的建议
对于高安全等级的场景（金融、政府、军事），现在就应该开始评估后量子密码迁移方案。至少要做到：
- 识别所有使用 RSA/ECDSA 的远程证明组件
- 评估这些组件的安全生命周期
- 制定混合方案（经典 + 后量子）的迁移路线图
别等到量子计算机来了再动手，那时候就晚了。
本章知识体系
下面这张图总结了本章的核心逻辑：经典密码学在远程证明中的应用、Shor 算法的威胁，以及“先存储，后解密”的风险传导路径。
这张图把本章的知识点串起来了。从上往下看：远程证明依赖 RSA 和 ECDSA 做签名；Shor 算法可以同时破解这两种算法；而“先存储，后解密”让这个威胁从现在就开始生效。受影响的数据包括签名值、证书、固件签名等关键资产。