1. 课程导入与迁移评估总览

企业密码系统正面临一次不可回避的底层安全假设变更。过去三十年，绝大多数企业密码体系的安全性建立在“某些数学问题在现实时间内无法求解”这一前提之上：RSA依赖大整数分解困难，ECC依赖椭圆曲线离散对数困难，DH密钥交换依赖有限域离散对数困难。Shor算法在理论上证明，一台足够规模、足够容错的量子计算机可以在多项式时间内求解上述问题，这意味着这些算法的安全基础不是被“削弱”，而是被“移除”。

需要区分两类量子威胁。第一类是追溯性威胁：攻击者今天截获并存储加密流量，等待未来量子计算机可用后再解密。这对长期保密数据（如身份证件、医疗档案、并购资料、源代码、密钥备份）构成现实风险，因为数据的保密期可能长达10至30年。第二类是实时性威胁：一旦量子计算机可用，攻击者可实时破解当前正在使用的密钥协商，直接冒充、解密或篡改通信。前者要求我们尽快完成“先收集后解密”场景下的算法替换，后者要求完成整个密码体系的迁移。

迁移评估不是“换一个算法”这么简单。企业密码系统通常包含算法、协议、密钥管理、证书体系、硬件模块、业务应用和运维流程等多个层次。一次迁移会牵动证书链、密钥生命周期、HSM固件、TLS配置、代码签名、数据加密、身份认证等大量环节。因此，迁移评估的定义是：在明确业务与合规约束的前提下，对企业现有密码资产进行清点、风险分级、量子脆弱性判定、迁移优先级排序，并形成可执行的迁移路线图与验证方案的系统性工作。

评估的边界需要明确。它包含：密码算法与协议清单、密钥与证书生命周期、依赖密码的硬件与软件组件、数据保密期限、迁移成本与风险、迁移后的验证方法。它不包含：直接实施迁移、采购决策、具体产品选型、业务系统重构。评估的产出是决策依据，而不是迁移本身。

整体流程可以概括为五个阶段：资产清点、脆弱性判定、风险分级、路线图设计、验证与交付。资产清点回答“我们用了什么”；脆弱性判定回答“哪些会被量子计算攻破”；风险分级回答“先做什么”；路线图设计回答“怎么做、分几步”；验证与交付回答“怎么证明迁移有效”。这五个阶段不是一次性线性执行，而是随业务变化持续迭代。

在资产清点阶段，需要建立一份可追踪的密码资产清单。清单的最小字段应包括：资产标识、所属业务系统、密码算法、密钥长度、协议版本、使用位置（传输/存储/签名/认证）、密钥生命周期、数据保密期限、依赖组件（如HSM型号、OpenSSL版本）、负责人。例如，某企业VPN网关使用IKEv2+DH Group 14（2048位）+AES-256-GCM，证书为RSA-2048，HSM为Thales Luna 7。这条记录就构成一个可评估的资产条目。

脆弱性判定阶段，核心是区分“量子可破”与“抗量子”。RSA、ECC、DH、DSA、ECDSA均属于量子可破；AES-256、SHA-384、SHA-3属于量子相对安全（Grover算法仅将对称密钥强度减半，AES-256仍保持128位安全强度）。需要特别关注混合模式：TLS 1.3中若使用X25519+ML-KEM-768混合密钥交换，则密钥协商部分已具备抗量子能力，但证书签名仍可能为RSA，需分别判定。

风险分级阶段，建议采用“数据保密期×业务影响度”二维矩阵。数据保密期超过10年且业务中断影响高的资产，优先级最高；数据保密期短且可快速替换的资产，优先级最低。例如，代码签名证书虽然不涉及数据保密，但一旦被伪造将导致供应链攻击，应列为高优先级；而短期会话密钥可随协议升级自然替换，优先级较低。

路线图设计阶段，需要给出分阶段迁移计划。典型做法是：第一阶段完成混合密钥交换部署（如TLS 1.3中启用X25519+ML-KEM-768），第二阶段替换签名算法（如RSA→ML-DSA或SLH-DSA），第三阶段更新证书链与HSM固件，第四阶段完成全量验证与旧算法下线。每个阶段都应定义进入条件、退出条件、回滚方案和验证指标。

验证与交付阶段，需要产出可执行的测试用例和评估报告。测试用例应覆盖：混合密钥交换握手成功率、证书链验证、HSM密钥生成与导入、性能影响（握手延迟、吞吐量）、互操作性（与旧客户端兼容）。评估报告应包含资产清单、脆弱性判定结果、风险分级、路线图、验证结果和遗留风险。例如，某企业评估后发现其对外门户的TLS证书为RSA-2048，但已启用X25519+ML-KEM-768混合密钥交换，因此判定为“部分抗量子”，建议优先替换证书签名算法。

最后需要强调，迁移评估不是一次性项目，而是一个持续迭代的过程。随着NIST后量子密码标准的更新、量子计算进展、企业业务变化，评估结论需要定期复审。建议每6至12个月更新一次资产清单和风险分级，确保迁移路线图始终与最新威胁和业务需求保持一致。