3. 量子脆弱性评估方法
量子脆弱性评估不是简单地问“这个算法会不会被量子计算机攻破”，而是要回答三个更具体的问题：哪些算法在什么条件下会失效、失效后影响哪些数据、这些数据需要保密多久。只有把算法风险、数据寿命和迁移成本放在同一张图上，才能排出真正可执行的迁移优先级。
一、算法层面的量子风险评级
当前主流的公钥算法中，RSA、ECC、DH（含ECDH、ECDSA）都依赖经典计算机难以求解的数学问题：大整数分解、椭圆曲线离散对数、有限域离散对数。Shor算法在具备足够规模与纠错能力的量子计算机上，可以在多项式时间内求解这些问题，因此这三类算法被统称为“量子脆弱算法”。
评级时不能只写“高危”，而要给出可比较的量化依据。工程上常用等效量子资源需求来区分脆弱程度：
- RSA-2048：Shor算法需要约4000个逻辑量子比特、数十亿次门操作，资源需求最高，但一旦实现即可直接分解模数，风险等级为极高。
- ECC P-256：所需逻辑量子比特约2300个，门操作量比RSA低一个数量级，攻击门槛更低，风险等级同样为极高，且因密钥短、部署广，实际暴露面更大。
- DH / ECDH：与RSA、ECC同属离散对数族，Shor算法可直接求解共享密钥，风险等级为极高；其中静态DH若长期不更换参数，风险进一步放大。
- AES-128 / SHA-256：Grover算法仅提供平方根加速，AES-128等效安全强度降至64位，属于中危，可通过升级到AES-256缓解；SHA-256在碰撞与抗原像场景下仍属低危。
需要特别指出：“现在采集、以后解密”（Harvest Now, Decrypt Later）使风险提前到来。攻击者今天截获的RSA加密流量，可以在量子计算机成熟后再解密。因此，评估必须把“数据保密期限”作为核心变量，而不是只看算法本身。
二、数据保密期限与迁移紧迫性
算法风险等级只说明“会不会被攻破”，数据保密期限才决定“什么时候必须完成迁移”。工程上把数据分为三类：
- 短期数据（<1年）：会话票据、临时令牌、短期日志。即使被量子计算机解密，价值已过期，迁移紧迫性低。
- 中期数据（1～5年）：合同、订单、一般业务记录。需要在量子计算机实用化之前完成迁移，紧迫性中等。
- 长期数据（5～20年及以上）：身份档案、医疗记录、知识产权、根证书与长期签名密钥。这类数据今天被截获、未来被解密的风险最高，属于立即迁移对象。
迁移紧迫性可以用一个简化公式估算：紧迫性 = 算法风险等级 × 数据保密期限 × 暴露面系数。例如，一个使用RSA-2048的根CA证书，保密期限20年、暴露面覆盖全组织，其紧迫性远高于一个使用ECDH的短期会话密钥。实际评估时，建议对每个密码资产记录以下字段：资产名称、算法与密钥长度、用途（加密/签名/密钥交换）、数据保密期限、部署位置、依赖系统数量、迁移难度、目标PQC算法。
三、风险矩阵的制定与使用
风险矩阵的横轴是数据保密期限，纵轴是算法量子风险等级，每个密码资产作为一个气泡落在矩阵中。气泡大小表示暴露面，颜色表示风险等级。矩阵的作用不是“画得好看”，而是直接回答三个决策问题：
- 哪些资产必须立即迁移？落在右上角“立即迁移区”的资产，通常是长期数据 + RSA/ECC/DH，应优先纳入迁移计划。
- 哪些资产可以规划迁移？落在中间“规划迁移区”的资产，可在1～3年内随系统升级逐步替换。
- 哪些资产可以持续观察？落在左下角“持续观察区”的资产，如短期对称密钥，可维持现状但需定期复评。
制定矩阵时，建议采用以下可执行步骤：
步骤1：资产盘点
列出所有使用公钥算法的系统：TLS证书、VPN、SSH、代码签名、数据库TDE、HSM密钥等。
记录：算法、密钥长度、用途、数据保密期限、依赖系统数。
步骤2：算法风险打分
RSA/ECC/DH（含ECDH/ECDSA）→ 5分（极高）
AES-128 → 3分（中）
AES-256/SHA-256 → 1分（低）
步骤3：数据期限打分
<1年 → 1分；1～5年 → 3分；5～20年 → 4分；20年以上 → 5分
步骤4：计算紧迫性指数
紧迫性 = 算法风险分 × 数据期限分 × 暴露面系数（1～3）
步骤5：落入矩阵并排序
紧迫性 ≥ 60 → 立即迁移；30～59 → 规划迁移；<30 → 持续观察
完成矩阵后，应把结果转化为可执行的迁移路线图：立即迁移区资产在6～12个月内完成PQC替换或混合模式部署；规划迁移区资产在1～3年内随系统升级完成；持续观察区资产每年复评一次。同时，所有长期数据在迁移完成前，应优先采用“先加密、后迁移”的策略，避免在过渡期被“先存后解”。
量子脆弱性评估的最终产出不是一张静态图，而是一份可更新、可排序、可决策的风险矩阵。它把算法风险、数据寿命和迁移成本统一到同一坐标系中，使团队能够用有限的工程资源，优先消除最紧迫的量子暴露面。