📚 课程目录第1章 PQC时代来临

1、PQC时代来临：为什么传统密钥轮换策略失效了？量子威胁下的密码学范式转移

各位好，我是老张。做了十几年密码工程，从 RSA 到 ECC，从 PKCS#11 到 TPM，自认为对密钥生命周期管理还算熟悉。但这两年，我越来越觉得不对劲——量子计算的脚步声，比我们想象中要近得多。

今天这第一课，咱们不急着讲代码。先聊聊一个根本问题：为什么我们用了十几年的密钥轮换策略，在 PQC 时代突然就不灵了？

先回顾一下，传统密钥轮换到底在解决什么问题？说白了就三个：

我早期做金融加密机项目时，客户要求每 90 天轮换一次传输密钥。那时候觉得挺合理——密钥生命周期短一点，安全一点。但后来发现，这套逻辑完全建立在“经典计算安全假设”之上。

核心假设：攻击者需要指数级时间才能破解密钥。只要轮换周期远小于破解时间，策略就是安全的。

量子计算机的出现，直接动摇了这个根基。为什么？

你看，Shor 算法能在多项式时间内分解大整数和计算离散对数。这意味着什么？

我去年参加一个密码学会议，有位研究员展示了一台 1000+ 逻辑量子比特的模拟器。虽然离真正商用还有距离，但趋势已经很明显了。你想想看，如果密钥在轮换周期内就能被破解，那轮换还有什么意义？

注意：量子威胁不是“未来时”，而是“现在进行时”。攻击者可以现在收集你的加密数据，等量子计算机成熟后再解密——这就是“先存储，后解密”攻击。你的密钥轮换策略，必须考虑这个时间差。

传统密码学依赖的是“计算困难问题”——比如大整数分解、离散对数。量子计算机让这些问题不再困难。所以，我们必须转向另一类问题：

安全范式	传统算法	PQC 算法	量子威胁
计算安全	RSA, ECDH, DSA	CRYSTALS-Kyber, Dilithium	Shor 算法可破解
信息论安全	一次性密码本	部分基于格的方案	量子无法降低复杂度

PQC（后量子密码）算法，比如基于格的 CRYSTALS-Kyber、基于哈希的 SPHINCS+，它们依赖的问题（如最短向量问题、带错误学习问题）目前被认为对量子计算也是困难的。但这里有个坑——

密钥尺寸变了。 我举个例子：

密钥大了 6~10 倍。你原来的轮换策略里，密钥存储、传输、缓存的设计，可能全都要重做。

结合我自己的项目经验，我总结了三个最直接的失效场景：

轮换频率失效——传统策略假设“破解时间 > 轮换周期”。量子时代，破解时间可能从年变成天。你按季度轮换？攻击者按小时破解。
密钥量级失效——PQC 密钥体积大，轮换时产生的网络开销、存储开销、计算开销都翻倍。我见过一个 IoT 项目，原本 1KB 的密钥交换包，换成 Kyber 后变成 10KB，设备直接超时。
混合兼容失效——迁移期必须同时支持传统算法和 PQC 算法。轮换策略里要处理“双密钥共存”、“算法协商”、“降级攻击防护”等问题。这些在传统策略里根本没考虑过。

我的建议：不要等到 NIST 最终标准全部落地再动手。现在就开始做“密钥轮换策略的 PQC 适配评估”。至少把现有系统的密钥生命周期画出来，标出哪些环节会受量子威胁影响。

下面这张图，是我自己画的一个框架。它展示了从经典密码到 PQC 的转移路径，以及密钥轮换策略需要重新设计的核心环节。

去年我帮一家金融机构做 PQC 迁移预研。他们现有的密钥轮换系统，每 30 天自动生成新的 RSA-2048 密钥对，通过 HSM 分发到各节点。一切看起来都很完美。

但当我们尝试加入 Kyber 密钥时，问题来了：

嗯，这里要注意——密钥轮换策略不是孤立的。它和密钥存储、分发、审计、HSM 固件深度绑定。PQC 迁移，不是换个算法库那么简单。

避坑指南：我曾经以为“先换算法，再调策略”就行。结果发现，密钥轮换策略的“轮换触发条件”、“密钥标识方案”、“存储格式”全都要改。建议你在做 PQC 适配时，先把“密钥生命周期”的每个环节列出来，逐个检查是否与 PQC 算法兼容。

好了，第一课的内容就这些。我不喜欢做总结，但有几个点你得记住：