一、PQC迁移背景与驱动力：量子计算威胁、NIST标准化进程、行业合规要求
各位好，我是老周。今天咱们开始聊PQC迁移，第一件事得先搞清楚——我们为什么要折腾这件事？说白了，就是现在的密码体系快要扛不住了。
我入行做密码工程那会儿，RSA还是绝对的王者。谁要敢说RSA会过时，大家会觉得你疯了。但现在不一样了。量子计算这玩意儿，不再是实验室里的玩具，它正在变成一把能砸碎现代密码体系的锤子。
1.1 量子计算威胁：不是狼来了，是狼已经在门口
先讲个我亲身经历的事。2019年，我给一家金融机构做安全评估。对方CTO问我：“量子计算机真能破解RSA？那得等到猴年马月吧？”我当时给他算了一笔账：2048位RSA，用经典计算机破解需要10亿年；但用Shor算法跑在足够大的量子计算机上，可能只需要几个小时。
他沉默了。嗯，那之后他们启动了密码资产盘点。
量子计算对密码学的威胁，主要来自两个算法：
- Shor算法：能高效分解大整数和计算离散对数。这意味着RSA、DSA、ECDH、ECDSA全部沦陷。
- Grover算法：能将对称密码的密钥搜索复杂度从O(2^n)降到O(2^(n/2))。AES-128的有效强度会被降到64位，虽然还能扛一阵子，但已经不够安全了。
核心结论：公钥密码体系在量子计算面前几乎是裸奔的。对称密码和哈希函数受影响较小，但密钥长度需要翻倍。
你可能会问：“那量子计算机到底什么时候能造出来？”说实话，没人能给出确切时间。但IBM、Google、中国的量子计算团队都在快速推进。我个人判断，10到15年内，能破解RSA-2048的量子计算机就会出现。对于需要长期保护的数据（比如政府机密、金融交易记录），现在就得开始准备。
注意：“先存储，后破解”攻击已经存在。攻击者现在就在收集加密数据，等量子计算机成熟后再解密。你的数据如果现在被截获，10年后可能就变成明文了。
1.2 NIST标准化进程：一场全球密码学的“奥运会”
说到PQC标准化，NIST（美国国家标准与技术研究院）是绕不开的主角。2016年，NIST启动了后量子密码标准化项目，向全球征集候选算法。我当时就在关注这个项目，说实话，一开始觉得就是走个过场。但后来发现，这真是一场硬仗。
整个流程分了几轮：
- 第一轮（2017年）：收到69个完整提交，涵盖格密码、编码、多变量、哈希签名、同源密码等各个流派。
- 第二轮（2019年）：筛选出26个算法进入第二轮，开始深入分析安全性和性能。
- 第三轮（2020年）：缩减到7个决赛选手，外加8个备选。
- 第四轮（2022年）：最终选定4个算法进入标准化。
2024年，NIST正式发布了第一批PQC标准：
| 算法 | 类型 | 用途 | 密钥大小 | 签名/密文大小 |
|---|---|---|---|---|
| ML-KEM (Kyber) | 格密码（MLWE） | 密钥封装 | 小 | 小 |
| ML-DSA (Dilithium) | 格密码（MLWE） | 数字签名 | 中等 | 中等 |
| FN-DSA (Falcon) | 格密码（NTRU） | 数字签名 | 小 | 极小 |
| SLH-DSA (SPHINCS+) | 哈希签名 | 数字签名 | 小 | 大 |
我个人的建议是：优先关注ML-KEM和ML-DSA。这两个算法在安全性和性能之间取得了很好的平衡，而且NIST已经明确把它们作为主力推荐。Falcon适合带宽极度受限的场景，SPHINCS+则适合需要保守安全假设的场景。
经验之谈：我在做PQC选型时，通常会先跑一遍基准测试。不同算法在不同硬件上的表现差异很大。比如Kyber在ARM Cortex-M4上比在x86上慢很多，但Falcon的签名验证在ARM上反而更快。别只看纸面数据，一定要实测。
1.3 行业合规要求：不迁移，可能连门都进不去
技术威胁是一回事，合规压力是另一回事。我见过不少公司，技术团队早就想动，但管理层觉得“没必要”。直到合规部门拿着文件找上门，才慌了。
目前主要的合规驱动来自几个方向：
- 美国：NIST SP 800-208、CNSA 2.0（商业国家安全算法套件2.0）。美国国家安全局（NSA）已经明确要求，2025年后所有国家安全系统必须支持PQC。
- 欧洲：ETSI、ENISA都在推动PQC迁移指南。德国BSI已经发布了PQC推荐算法列表。
- 中国：国家密码管理局也在积极研究后量子密码标准。SM系列算法未来可能会推出PQC版本。
- 金融行业：PCI DSS、SWIFT等标准组织已经开始讨论PQC要求。
举个例子，我去年帮一家银行做合规审计。他们还在用RSA-2048做TLS证书。审计报告直接写了一条“高风险：未规划PQC迁移路径”。银行CTO当场就急了，因为这意味着他们可能无法通过下一轮监管检查。
关键时间节点：
- 2024年：NIST发布首批PQC标准
- 2025-2027年：主流浏览器、操作系统开始默认启用PQC
- 2028-2030年：金融、政府等行业强制要求PQC
- 2030年后：量子计算机可能开始威胁RSA-2048
说白了，现在不开始规划，到时候就是被动挨打。迁移PQC不是换个算法那么简单，它涉及协议栈、硬件、证书体系、密钥管理、性能调优……一整套东西。我见过一个团队，光是把TLS 1.3的密码套件从ECDHE换成ML-KEM，就花了三个月。因为中间件不兼容，硬件加速器不支持，测试环境跑不起来。
避坑指南：我曾经帮一家公司做PQC试点，他们直接在生产环境上改密码套件，结果导致30%的客户端连接失败。原因是旧版OpenSSL不支持新算法。记住：先做兼容性测试，再谈迁移。
1.4 知识体系总览：一张图看懂PQC迁移全景
讲了这么多，咱们用一张图把核心逻辑串起来。下面这张SVG图展示了PQC迁移的三大驱动力、标准化进程和关键时间线。
这张图把咱们刚才聊的三条线串起来了。左边是威胁，中间是标准，右边是合规。三者汇聚到中间，指向同一个结论：PQC迁移不是选择题，而是必答题。