1. PQC过渡期背景：量子计算威胁与传统密码的黄昏
各位同学，咱们今天聊一个很现实的问题——你手里的RSA密钥，到底还能撑多久？
我2019年帮一家金融机构做安全审计时，客户还在用2048位的RSA证书，觉得“够用几十年”。我当时没多说什么，只是把Shor算法的论文链接发到了他们技术群里。嗯，后来他们成了国内最早启动PQC迁移的银行之一。
1.1 量子计算威胁：不是“会不会来”，而是“什么时候来”
先别急着恐慌。量子计算机目前还没法破解你的聊天记录。但问题在于——
“现在加密的数据，可以被记录下来，等量子计算机成熟后再解密。”
这就是所谓的“先存储，后解密”攻击。你想想看，如果你的数字签名证书有效期是5年，而量子计算机5年后成熟了……那批证书现在就等于裸奔。
量子计算对密码学的威胁，主要来自两个算法：
- Shor算法：能在多项式时间内分解大整数、计算离散对数。RSA、DSA、ECDH、ECDSA全部阵亡。
- Grover算法：将对称密码的暴力搜索复杂度减半。AES-128变成64位安全性，但把密钥长度翻倍就能扛住。
说白了，对称密码和哈希函数只是“轻伤”，而公钥密码是“直接抬走”。
1.2 传统公钥密码（RSA/ECC）的脆弱性
我经常被问到：“ECC比RSA安全，量子来了是不是能多扛一阵？”
答案是——不能。Shor算法对RSA和ECC是“通杀”。
| 密码体系 | 经典安全强度 | 量子威胁 | 有效对策 |
|---|---|---|---|
| RSA-2048 | 112位 | Shor算法 → 秒破 | CRYSTALS-Kyber / Dilithium |
| ECDSA P-256 | 128位 | Shor算法 → 秒破 | FALCON / SPHINCS+ |
| AES-256 | 256位 | Grover算法 → 128位 | 密钥翻倍即可 |
| SHA-256 | 128位抗碰撞 | Grover算法 → 64位 | 输出长度翻倍 |
注意看，RSA和ECC那一栏写的是“秒破”。这不是危言耸听。4096位RSA在Shor算法面前，和4位RSA没有本质区别——都是多项式时间可解。
1.3 NIST PQC标准化进程：终于有了“官方答案”
2016年，NIST启动了后量子密码标准化项目。说实话，一开始大家都很迷茫——几十种方案，各有各的数学原理，各有各的坑。
2024年，NIST终于发布了首批正式标准：
- FIPS 203 (ML-KEM)：基于格密码的密钥封装机制，前身是CRYSTALS-Kyber
- FIPS 204 (ML-DSA)：基于格密码的数字签名，前身是CRYSTALS-Dilithium
- FIPS 205 (SLH-DSA)：基于哈希的数字签名，前身是SPHINCS+
- FN-DSA (FALCON)：另一种基于格的签名方案，适合资源受限场景
我参与的一个物联网项目，2023年就开始试水Kyber和Dilithium。当时没有正式标准，只能参考草案。现在标准落地了，反而要重新做合规对齐——这就是“先行者”的代价，但值得。
1.4 过渡期的挑战与机遇
过渡期有多长？我个人判断是5到10年。但这不代表你可以等5年再动手。
挑战很明显：
- 性能开销：PQC算法的密钥尺寸和计算量普遍比RSA/ECC大。Kyber-512的公钥是800字节，而ECDH P-256只有32字节。
- 协议兼容性：TLS 1.3、X.509证书、SSH、IPsec……这些协议都假设公钥操作是“轻量级”的。PQC一上来，握手延迟可能翻倍。
- 迁移成本：替换全球数十亿个证书、固件、硬件安全模块——这不是技术问题，这是工程和预算问题。
但机遇同样真实：
- 混合模式（Hybrid）：在过渡期，同时使用传统算法和PQC算法。比如TLS握手时同时发ECDHE和Kyber的密钥交换参数，只要有一个没被攻破，连接就是安全的。
- 算法协商机制：这正是咱们这门课的核心——如何让客户端和服务端在握手时，自动选择“当前最安全的可用算法组合”。
- 先发优势：早迁移的企业，在合规审查、供应链安全、品牌信任上都会领先。
1.5 本章知识体系总览
下面这张图，帮你把这一章的核心逻辑串起来：
你看，整个逻辑链条很清晰：量子威胁是“因”，传统密码脆弱性是“现状”，NIST标准化是“方向”，而过渡期的挑战是“我们必须面对的现实”。
这门课要讲的算法协商机制，就是帮你在这个过渡期里，既能保证安全，又不影响业务连续性。