1. 量子安全迁移工程导论

量子安全迁移工程，是把现有信息系统从依赖经典公钥密码的信任体系，迁移到能够抵抗量子计算攻击的密码体系的一整套工程活动。它不是简单地“换一个算法”，而是涉及密码资产盘点、协议改造、密钥与证书体系重建、系统联调、业务连续性保障和长期治理的系统工程。理解这门课，首先要建立三个基本认识：威胁不是均匀到来的，密码敏捷性不是可选项，迁移必须按工程方法推进。

一、量子计算威胁时间线：不是“某一天突然失效”

量子计算对密码学的威胁，通常被简化为“Shor算法破解RSA和ECC”。但工程上更值得关注的是威胁到来的节奏。可以把它理解为一条分阶段的时间线：

• 当下（已发生）：“先存后破”（Harvest Now, Decrypt Later）已经现实存在。攻击者今天截获并存储加密流量，等未来量子计算机可用时再解密。这意味着长期保密数据的暴露风险从数据产生那一刻就开始累积，而不是等到量子计算机建成。
• 近期（数年内）：密码分析进展、量子硬件纠错能力提升，会不断压缩对称密钥和公钥算法的安全边际。NIST等机构已启动后量子密码（PQC）标准化，并明确建议逐步停用RSA、ECC、DH等易受量子攻击的算法。
• 中期（迁移窗口期）：这是最关键的阶段。密码迁移的周期通常以年计，涉及大量遗留系统、嵌入式设备、第三方组件和跨组织协议。如果等到“量子威胁迫在眉睫”才开始，迁移窗口将严重不足。
• 远期（CRQC出现）：具备密码学相关能力的量子计算机（CRQC）一旦出现，未迁移的RSA/ECC体系将面临被快速破解的风险，届时被动迁移将变成危机响应。

因此，威胁时间线的工程含义是：迁移的启动时间，必须早于威胁的临界点，且要覆盖“先存后破”的追溯风险。对于保密期限超过10年的数据，今天就应该按“已被截获”来评估风险。

二、密码敏捷性：迁移的前提能力

密码敏捷性（Cryptographic Agility）指系统在不重构核心业务逻辑的前提下，能够较快替换密码算法、密钥长度、证书格式和协议参数的能力。它包含几个可检查的维度：

• 算法可替换：密码算法不硬编码在业务代码或固件中，而是通过配置、抽象层或密码服务接口调用。
• 协议可协商：TLS、IPsec、SSH等协议支持算法套件的动态协商与降级/升级策略。
• 密钥与证书可轮换：密钥生命周期管理、证书签发链、信任锚可以独立于业务系统更新。
• 可观测与可回滚：能监控当前使用的算法分布，出现兼容问题时能快速回退到安全可用的旧套件。

一个常见的反例是：某内部系统把RSA公钥直接写进客户端二进制文件，升级算法需要重新发布所有客户端。这种系统即使选定了PQC算法，也无法在合理时间内完成迁移。因此，密码敏捷性评估应作为迁移工程的第一步，而不是迁移过程中的附带任务。

三、迁移工程的定义与范围

量子安全迁移工程可以定义为：以风险为导向，对组织内密码资产进行识别、分级、改造、验证和持续治理，使其在量子威胁时间线内保持机密性、完整性和可用性的工程活动。它的范围通常包括：

• 密码资产盘点：算法、协议、密钥、证书、硬件安全模块（HSM）、信任根、第三方依赖。
• 风险分级：按数据保密期限、系统暴露面、迁移难度、业务中断代价排序。
• 目标密码体系设计：混合模式（经典+PQC）、纯PQC、对称密钥增强等策略选择。
• 改造与集成：协议升级、证书体系重建、密钥管理改造、性能与兼容性调优。
• 验证与切换：互操作性测试、灰度发布、回滚预案、监控与审计。
• 长期治理：算法生命周期管理、标准跟踪、定期复评。

四、典型迁移场景与角色分工

不同场景的迁移路径差异很大。下面这张图把四类典型场景与关键角色放在同一张关系图中，便于建立整体分工认识。

从图中可以看到，迁移工程不是一条单向流水线，而是“场景—动作—角色”之间的匹配关系。例如，TLS/HTTPS场景的核心动作集中在协议套件协商和证书链重建，主要责任落在系统/网络工程师与密码架构师；而长期数据存储场景的核心动作是加密策略与密钥管理，业务负责人需要更早介入，确定哪些数据必须优先保护。

五、一个可操作的起步检查表

在正式启动迁移项目前，建议先用下面这份检查表完成一次快速摸底。它不追求覆盖全部细节，而是帮助团队判断“我们现在能不能开始迁移”。

这份检查表的价值在于：它把“量子安全迁移”从一个遥远的技术话题，转化为当前可执行的组织动作。如果其中多项不满足，说明迁移工程的第一阶段应是能力建设，而不是直接选算法。反之，如果大部分满足，就可以进入场景化试点，选择一条低风险链路先跑通“盘点—改造—验证—回滚”的完整闭环。