3. PKI体系与证书生命周期回顾

在讨论PQC迁移之前，必须先把传统PKI的骨架和证书生命周期重新梳理清楚。原因很直接：后量子迁移不是简单地把RSA换成ML-KEM或ML-DSA，而是会同时触动信任锚、签发链、吊销机制、验证路径以及各类协议接口。只有明确“哪些组件在什么阶段参与、哪些接口承载信任传递”，才能判断迁移的爆炸半径。

一、CA层级与信任锚

典型PKI是一棵以根CA为信任锚的树。根CA自签名，其证书预置在操作系统、浏览器、设备固件或应用信任库中。中间CA由根CA签发，用于隔离不同业务域（如TLS服务器、客户端认证、代码签名、IoT设备），避免根私钥频繁在线使用。终端实体证书由中间CA签发，绑定公钥与身份属性。

验证方并不直接信任终端证书，而是从终端证书出发，逐级向上构建到本地信任库中某个根CA的路径。这条路径上的每个签名、有效期、基本约束、密钥用法、吊销状态都必须通过检查。因此，迁移影响的第一层就是：信任锚是否支持PQC算法、中间CA是否具备PQC签发能力、终端证书是否携带PQC公钥。

二、证书生命周期的六个阶段

证书生命周期通常分为六个阶段，每个阶段都有明确的输入、输出和迁移影响点。

1. 密钥生成。终端实体在本地或HSM中生成密钥对。传统算法以RSA-2048/3072或ECDSA P-256为主。PQC迁移后，密钥生成需要支持ML-KEM（用于KEM）和ML-DSA（用于签名），密钥尺寸和生成时间都会显著变化。例如ML-DSA-65公钥约1952字节，私钥约4032字节，签名约3309字节，远大于ECDSA P-256的64字节签名。这意味着存储、传输和协议分片策略都需要重新评估。

2. 签发。终端实体生成CSR（证书签名请求），其中包含公钥和身份信息，并用私钥签名证明持有权。CA验证身份后，用中间CA私钥对证书签名。迁移影响在于：CA的签名算法需要从RSA/ECDSA切换到ML-DSA或混合模式；CSR中的签名算法OID、证书扩展、密钥用法都需要同步更新。

3. 分发与部署。证书通过ACME、EST、SCEP或手动方式部署到服务器、客户端、设备。迁移影响在于：协议栈是否支持PQC证书链、TLS握手时Certificate消息是否超出记录层分片限制、设备固件是否支持新算法。

4. 验证。验证方构建从终端证书到信任锚的路径，检查签名、有效期、基本约束、密钥用法、吊销状态。迁移影响在于：验证库是否支持ML-DSA/ML-KEM、是否支持混合证书链、路径构建时是否因算法不识别而中断。

5. 吊销。当私钥泄露或证书不再需要时，CA通过CRL或OCSP发布吊销状态。迁移影响在于：CRL和OCSP响应本身也需要签名，签名算法同样需要迁移；OCSP响应体积可能因PQC签名而增大，影响实时性。

6. 续期与轮换。证书到期前需要续期，密钥需要定期轮换。迁移影响在于：轮换周期、自动化工具、HSM密钥槽位、信任库更新策略都需要适配PQC算法。

三、迁移影响的关键组件与接口

把上述生命周期映射到系统组件，可以识别出迁移的关键影响面：

四、验证路径的构建与迁移判断

验证路径构建是PKI中最容易被忽视但迁移影响最直接的环节。验证方从终端证书出发，沿着签发关系向上查找，直到找到本地信任库中的根CA。每一步都需要验证签名、检查有效期、确认基本约束和密钥用法。

迁移期间，路径上可能同时存在传统算法和PQC算法的证书。例如：根CA仍是RSA，中间CA已升级为ML-DSA，终端证书使用ML-DSA。此时验证方必须能够处理混合链。如果验证库不支持ML-DSA，路径构建会在中间CA处中断，导致验证失败。

另一个关键点是算法协商与降级。在TLS握手时，客户端和服务器需要协商签名算法和密钥交换算法。如果一方只支持传统算法，另一方只支持PQC算法，握手会失败。因此，迁移期通常采用混合模式：同时提供传统和PQC两套密钥/证书，或使用混合密钥交换（如X25519+ML-KEM）。

判断迁移是否完成，可以观察以下信号：信任库中PQC根证书已预置；CA签发系统已能签发ML-DSA证书；协议栈已支持PQC算法协商；验证库已能构建PQC路径；吊销服务已能发布PQC签名的CRL/OCSP响应。这些信号全部满足时，PKI层面的PQC迁移才算基本就绪。

总结来看，PKI迁移的核心不是替换某个算法，而是沿着信任链和生命周期逐段确认：信任锚是否支持、签发是否支持、分发是否支持、验证是否支持、吊销是否支持。只有把这些关键组件和接口逐一梳理清楚，后续的PQC迁移工程才有可靠的基线。