2. 量子计算对密码算法的威胁建模
量子安全迁移评估的第一步，不是急着换算法，而是把“威胁”本身建模清楚：哪些密码算法会被哪类量子算法削弱、削弱到什么程度、在什么时间尺度上可能变成现实。只有把威胁模型建立起来，后续的资产盘点、优先级排序和迁移路线才有依据。本节围绕 Shor 算法、Grover 算法的原理要点，分析对称与非对称密码受影响程度的差异，并给出量子攻击时间线的假设方法与不确定性处理思路。
Shor 算法：击穿非对称密码的“结构性”威胁
Shor 算法解决的是整数分解与离散对数问题。它的核心机制是量子傅里叶变换与周期查找：把“分解大整数”转化为“求某个模幂函数的周期”，再用量子并行性在多项式时间内找到该周期，最后通过经典后处理得到因子。这一过程的关键在于，量子态可以同时承载大量候选周期信息，而量子傅里叶变换能把周期信息“聚焦”到可测量的频率上。
这对密码学的意义是结构性的：RSA 的安全性建立在“大整数分解困难”上，DH 与 ECDH 建立在“离散对数困难”上，ECDSA、EdDSA 等签名算法建立在椭圆曲线离散对数困难上。Shor 算法一旦在足够规模、足够容错的量子计算机上运行，这些困难问题将不再困难。需要强调的是，威胁并非来自“算得更快”，而是来自“问题结构被量子算法直接绕过”。因此，非对称密码受 Shor 算法的影响是根本性、整体性的，不能靠增加密钥长度来缓解——把 RSA-2048 换成 RSA-8192 只是把所需量子比特数抬高，并不改变多项式时间可解的本质。
Grover 算法：对对称密码的“平方根级”削弱
Grover 算法解决的是无序搜索问题。给定一个搜索空间大小为 N 的目标，经典暴力搜索平均需要 N/2 次尝试，而 Grover 算法通过振幅放大，把查询次数降到约 √N 量级。它不利用密码算法的代数结构，而是一种通用的搜索加速。
对对称密码而言，这意味着暴力破解的复杂度从 2k 降到约 2k/2。例如 AES-128 的密钥空间为 2128，Grover 搜索约需 264 次量子查询；AES-256 则约需 2128 次。表面上看 AES-128 被削弱到 64 位安全强度，但实际攻击还受限于量子电路深度、并行化效率、错误纠正开销等因素。Grover 算法无法像 Shor 那样“一击致命”，它只是把安全边界向下平移了一半。因此，对称密码的应对策略相对清晰：把密钥长度加倍，例如从 AES-128 迁移到 AES-256，即可恢复足够的安全裕度。哈希函数同理，SHA-256 在 Grover 下约相当于 128 位抗碰撞强度，通常仍可接受，必要时可升级到 SHA-384/SHA-512。
受影响程度对比：结构性击穿 vs 平方根削弱
把两类算法放在一起看，差异非常明显。非对称密码面临的是“算法层面被破解”，对称密码面临的是“搜索空间被压缩”。前者需要更换数学难题，后者只需调整参数。这一判断直接决定了迁移的优先级：先处理非对称密码，再评估对称密码的密钥长度是否足够。同时要注意，实际协议中往往混合使用两类算法，例如 TLS 握手用 ECDHE 做密钥交换、用 AES-GCM 做数据加密、用 ECDSA 做身份认证。Shor 算法攻击的是握手阶段的密钥交换与签名，Grover 算法攻击的是会话数据的对称加密。因此威胁建模必须落到具体协议与数据流上，而不是停留在算法清单。
量子攻击时间线假设与不确定性处理
威胁建模中最难的不是算法原理，而是时间线。当前没有任何公开证据表明存在能运行 Shor 算法破解 RSA-2048 的容错量子计算机。要破解 RSA-2048，粗略估计需要数千个逻辑量子比特、数百万个物理量子比特，以及极低的逻辑错误率。工程上还面临量子比特相干时间、门保真度、纠错码开销、量子比特互联等瓶颈。因此，时间线假设必须建立在“技术里程碑”而非“愿望”之上。
一种可操作的做法是采用情景假设法，把不确定性显式化。例如设定三个情景：保守情景假设 15–20 年内出现密码相关量子计算机（CRQC）；中性情景假设 10–15 年；激进情景假设 5–10 年。每个情景对应不同的迁移启动时间。由于迁移本身需要 3–7 年（含盘点、试点、改造、验证），可以反推出“最晚启动时间”。如果采用激进情景，那么现在就必须启动；如果采用保守情景，也应在 3–5 年内完成关键系统的迁移准备。
不确定性处理的关键原则是“不赌时间，赌准备度”。具体做法包括：第一，把“先收集后解密”（Harvest Now, Decrypt Later）纳入威胁模型——攻击者今天截获的加密数据，可能在十年后被量子计算机解密，因此长期保密数据（如身份信息、医疗记录、国家秘密）的迁移优先级应高于短期会话数据。第二，对时间线假设设置触发条件与复核周期，例如每年复核一次量子比特数量、纠错进展、算法标准化状态，一旦触发条件满足就升级迁移节奏。第三，避免“全有或全无”的迁移策略，采用混合模式（经典算法 + PQC 算法并行）作为过渡，既保留兼容性，又逐步积累 PQC 运行经验。