3. 过渡风险建模

混合密码体系过渡工程的核心难点，不在于“把新算法加进去”，而在于旧算法、旧密钥、旧协议、旧客户端与合规要求同时存在时，系统会在哪些位置先出问题。风险建模的目标，是把这些分散的隐患转化为可定位、可排序、可验证的风险项，而不是停留在“算法要升级”的笼统判断上。

本节采用“风险源—暴露面—触发条件—影响面—可观测信号”的建模视角，将过渡期风险归纳为五类：算法脆弱性、密钥泄露、协议降级、兼容性断裂与合规风险。它们并非彼此独立，而是通过共享的密钥、协议协商路径和客户端版本形成耦合。

一、算法脆弱性：从“能用”到“可被攻破”的量化判断

算法脆弱性不是二值判断，而是随攻击成本与数据价值动态变化的。以 SHA-1 为例，其碰撞攻击复杂度已降至约 2⁶³ 次哈希运算，对于高价值证书签名已不具备安全边际。RSA-1024 的分解难度在现有算力下也已进入可被国家级对手挑战的区间。建模时，应为每个算法标注三个参数：当前安全强度（比特）、预计失效时间窗口、受影响的数据生命周期。若数据需保密 10 年，而算法预计 5 年内失效，则该算法必须立即进入迁移队列。

实际建模中，可建立如下算法风险评分表（示例参数，非实测）：

评分逻辑为：若“预计失效窗口”小于“数据生命周期”，则风险等级至少为高。该表可直接作为迁移优先级排序的输入。

二、密钥泄露：过渡期最容易被忽视的放大器

过渡期常出现新旧密钥并存、共享密钥复用、临时密钥未及时销毁等情况。密钥泄露的风险建模需要关注三个维度：泄露路径（硬编码、日志打印、内存转储、侧信道）、影响范围（单会话、单设备、全系统）、可检测性（是否有审计日志、异常访问告警）。

一个典型的过渡期反模式是：为兼容旧客户端，服务端同时保留 RSA 密钥交换与 ECDHE 密钥交换，且两者共用同一张证书私钥。一旦该私钥泄露，攻击者不仅可以解密历史 RSA 会话，还能伪造 ECDHE 握手身份。建模时应将“密钥复用”标记为跨风险源的耦合节点，并强制要求新算法使用独立密钥材料。

三、协议降级：协商层的“木桶短板”

协议降级风险的核心在于：客户端与服务端的算法套件列表取交集时，攻击者可通过中间人篡改 ClientHello，迫使双方选择最弱的公共套件。过渡期由于新旧套件并存，降级窗口显著扩大。建模时需绘制“协商路径图”，标出所有可能被回退到的弱套件，并检查服务端是否启用了 TLS_FALLBACK_SCSV 等防降级机制。

以某示例系统为例，服务端支持的套件列表为：

TLS_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

若客户端仅支持最后两项，则协商结果会落在 CBC 或 3DES 上。建模结论：该服务端的降级风险等级为“高”，因为存在可被利用的弱套件回退路径。缓解措施是逐步禁用后两项，并监控握手日志中弱套件的使用比例。

四、兼容性断裂：旧客户端与新算法的碰撞

兼容性断裂通常表现为：旧客户端不识别新证书的签名算法（如 SM2 或 Ed25519）、不支持新密钥交换组、或对证书链长度敏感。建模时应建立“客户端版本—支持算法—断裂点”的映射表。例如，某 Android 7 设备可能不支持 TLS 1.3，若服务端强制仅启用 TLS 1.3，则该设备将完全无法连接。

实际操作中，可通过灰度发布与双栈并行来量化兼容性断裂的影响面：先在小流量中启用新算法，统计握手失败率与失败客户端的版本分布，再决定是否扩大范围。失败率超过预设阈值（如 0.5%）时，应暂停推广并回退到兼容模式。

五、合规风险：算法选择的外部约束

合规风险来自密评、等保 2.0、行业监管对算法种类、密钥长度、证书来源的强制要求。例如，金融行业可能要求使用 SM 系列算法，而国际业务又要求支持 RSA/ECC。过渡期若未提前梳理合规矩阵，可能出现“技术可行但审计不通过”的返工。建模时应将每项算法与适用法规逐条映射，标注“必须替换”“可保留但需审批”“无限制”三种状态。

五类风险并非孤立存在。密钥泄露会放大算法脆弱性的实际影响；协议降级会绕过新算法的保护；兼容性断裂可能迫使团队临时回退到弱算法，从而引入合规风险。因此，风险建模的最终产出不是一张清单，而是一张耦合关系图，帮助团队识别哪些风险节点是“牵一发而动全身”的关键控制点。