1. PQC时代来临：为什么IoT设备需要后量子密码？
各位做IoT嵌入式的朋友，咱们今天聊一个看似遥远、实则迫在眉睫的话题——量子计算对现有密码体系的冲击。说实话，五年前我第一次认真研究Shor算法时，后背确实有点发凉。你想想看，我们现在用来保护设备安全的RSA、ECC，在量子计算机面前，可能就像纸糊的一样。
1.1 量子威胁：不是科幻，是倒计时
Shor算法在1994年就被提出来了。它能干什么？能在多项式时间内分解大整数、计算离散对数。这意味着什么？意味着RSA-2048、ECC-256这些我们用了二十多年的"安全基石"，在足够大的量子计算机面前，几秒钟就能被攻破。
我在一个智能门锁项目里遇到过这样的场景：产品经理问"我们的签名算法够安全吗？"我当时拍胸脯说ECDSA P-256没问题。但现在回头看，如果那个产品要服役到2035年，我可能就得重新评估了。嗯，这里要注意——量子威胁不是"明天就发生"，而是"在你产品的生命周期内很可能发生"。
核心威胁清单：
- RSA/ECC全面失效：Shor算法直接破解公钥密码
- 对称密码强度减半：Grover算法将暴力破解复杂度从2^n降到2^(n/2)
- "先存储，后解密"攻击：攻击者现在收集加密数据，等量子计算机成熟后再解密
- 数字签名不可信：固件签名、代码签名的信任链断裂
我曾经帮一家做车联网T-Box的厂商做安全审计。他们的OTA升级签名用的是RSA-2048，我当时就提醒：如果这辆车要跑8-10年，你现在签的固件，到2030年可能就被伪造了。这不是危言耸听，这是"先存储，后解密"的现实威胁。
1.2 NIST标准化进程：从候选到落地
美国国家标准与技术研究院（NIST）从2016年就开始启动后量子密码标准化项目。我一直在跟踪这个进程，说实话，看着那些候选算法一轮轮筛选，就像看一场密码学界的"武林大会"。
| 时间 | 事件 | 关键变化 |
|---|---|---|
| 2016年 | NIST启动PQC标准化项目 | 全球征集候选算法 |
| 2017年 | 第一轮：69个算法入围 | 涵盖格、编码、多变量、哈希、同源等家族 |
| 2019年 | 第二轮：26个算法进入 | 淘汰了性能或安全性不足的方案 |
| 2020年 | 第三轮：7个决赛选手+8个备选 | CRYSTALS-KYBER/DILITHIUM成为热门 |
| 2022年 | NIST宣布首批标准化算法 | KYBER（KEM）、DILITHIUM（签名） |
| 2024年 | FIPS 203/204/205正式发布 | ML-KEM、ML-DSA、SLH-DSA成为标准 |
我个人习惯把PQC算法分成两类：一类是"替代RSA/ECC的"，一类是"替代ECDSA/RSA签名的"。前者以KYBER（现在叫ML-KEM）为代表，后者以DILITHIUM（ML-DSA）为代表。说白了，你原来用RSA做密钥交换，现在换成ML-KEM；原来用ECDSA签名，现在换成ML-DSA。
避坑指南：我曾经在选型时犯过一个错误——只看安全性等级，没看公钥大小。ML-KEM-768的公钥是1184字节，而RSA-2048的公钥只有256字节。在IoT设备上，这个差距意味着内存占用和传输开销的剧增。选型时一定要结合你的硬件资源来评估。
1.3 IoT设备的特殊困境
IoT设备不是服务器。你想想看，一个温度传感器，可能只有几十KB的RAM，几百KB的Flash，主频几十MHz。在这种资源下跑PQC算法，挑战是实实在在的。
我参与过一个智能电表项目，MCU是Cortex-M0+，64KB RAM，256KB Flash。当时想测试KYBER-768，结果光是密钥生成就用了将近2秒，堆栈差点溢出。嗯，这就是现实——PQC算法在资源受限设备上的性能，和PC上跑出来的数据完全是两码事。
IoT设备PQC落地三大痛点：
- 内存瓶颈：ML-KEM公钥1184字节，私钥2400字节，密文1088字节——对KB级RAM的设备是巨大压力
- 计算开销：多项式乘法、哈希运算在无硬件加速的MCU上耗时严重
- 功耗约束：电池供电设备不能承受长时间的高负载计算
你可能会问："那能不能用轻量级版本？"可以，但要注意——NIST标准化的ML-KEM-512提供的是128位安全强度，ML-KEM-768是192位，ML-KEM-1024是256位。对于大多数IoT场景，ML-KEM-512其实够用，但前提是你的威胁模型评估要准确。
1.4 知识体系总览：我们这章要讲什么
下面这张图是我自己梳理的PQC时代IoT安全知识体系。你可以把它当作整个课程的地图——我们后续每一章都会对应到其中的一个模块。
这张图把整个课程分成了五个层次：从底层的量子威胁，到上层的IoT应用场景。我们这一章主要覆盖"量子威胁层"和"标准化层"，让你对为什么要迁移、迁移到什么标准有一个全局认识。后续章节会深入到算法层、评估层和调优层。
1.5 迁移路线图：现在该做什么？
说了这么多，你可能最关心的是：我现在该不该动？怎么动？
我的建议是三步走：
- 盘点资产：梳理你产品中所有使用公钥密码的地方——TLS握手、固件签名、安全启动、设备认证……列个清单
- 评估风险窗口：你的产品生命周期多长？如果超过5年，建议开始规划PQC迁移
- 混合部署试点：在现有协议中同时支持传统密码和PQC，比如TLS 1.3的混合密钥交换
一个小技巧：我在做迁移规划时，会先选一个"非关键"功能做PQC试点。比如先改设备日志的签名算法，不改OTA签名。这样即使出问题，影响面也小。等跑顺了，再逐步推广到核心功能。
好了，这一章的内容就到这里。记住一句话：量子威胁不是明天的事，但也不是遥不可及的事。作为IoT嵌入式工程师，我们现在开始了解、评估、规划，就是最好的时机。