1. 课程导入与后量子密码迁移全景

后量子密码（Post-Quantum Cryptography, PQC）迁移不是一次简单的算法替换，而是一场涉及密码算法、协议栈、硬件信任根、证书体系与运维流程的系统性改造。本课程的目标，是让学习者能够从“知道量子威胁存在”，走到“能在真实系统中规划并落地一次可验证的 PQC 迁移”。本章作为导入，先建立三件事：威胁模型、整体框架、迁移路线图。

一、学习目标：从认知到可交付

完成本课程后，学习者应能独立完成以下任务：识别系统中依赖公钥密码的关键资产与信任链；依据数据保密期限与系统生命周期判断迁移优先级；在 TLS、SSH、IPsec、代码签名、固件更新等典型协议中定位需要改造的密码调用点；设计混合密钥交换与双证书并行的过渡方案；并通过抓包、日志与性能指标验证迁移是否真正生效。换言之，本课程考核的不是“记住算法名字”，而是“能否交付一份可执行的迁移方案并验证它”。

二、后量子密码威胁模型

量子计算对当前公钥密码的威胁并非均匀分布。Shor 算法在足够规模的容错量子计算机上可多项式时间求解大整数分解与离散对数，直接击穿 RSA、DH、ECDH、ECDSA、EdDSA 等主流算法；Grover 算法则对对称密码与哈希函数带来平方级加速，使 AES-128 的有效安全强度降至约 64 位，因此对称侧通常只需将密钥长度提升到 256 位即可获得充足余量。

更值得警惕的是“先存储、后解密”（Harvest Now, Decrypt Later, HNDL）攻击：攻击者今天截获并存储加密流量，等待未来量子计算机成熟后再解密。这意味着威胁时间线不等于量子计算机可用时间，而等于“数据保密期 + 迁移耗时”。若某份数据需要保密 10 年，而迁移预计还需 5 年，那么今天就必须开始迁移。下图给出威胁模型与迁移决策之间的对应关系。

三、协议集成与系统改造的整体框架

上图把迁移工作拆成四层，实际项目中这四层是相互约束的。算法层决定可用原语与密钥/签名尺寸；协议层决定握手报文如何承载这些原语；系统层决定证书、信任根与硬件是否支持；运维层决定能否安全地灰度、回滚与审计。一个常见误区是只改协议层：在 TLS 中启用 ML-KEM 混合密钥交换，却仍使用 RSA 证书签名，结果是密钥交换抗量子、身份认证仍可被量子伪造，整体安全性并未真正提升。

因此，判断一次迁移是否“完整”，应检查三条链是否同时抗量子：密钥交换链（会话密钥建立）、身份认证链（证书与签名）、信任根链（CA、固件签名、安全启动）。任何一条链仍依赖 RSA/ECC，迁移就只是部分完成。

四、典型迁移路线图

业界普遍采用“先混合、后纯 PQC”的渐进路线。以 TLS 服务为例，一个可参考的示例路线如下（参数为教学示例，非实测结果）：

阶段 0  密码清单：扫描所有 TLS/SSH/IPsec 端点，记录算法、证书、密钥长度、到期时间
阶段 1  混合密钥交换：TLS 1.3 启用 X25519MLKEM768，客户端与服务端同时支持经典+PQC
阶段 2  双证书并行：服务端同时部署 ECDSA 证书与 ML-DSA 证书，按客户端能力协商
阶段 3  信任根升级：CA 签发 PQC 根证书，中间证书逐步替换，保留经典根做交叉签名
阶段 4  纯 PQC 模式：关闭经典密钥交换与签名，仅保留 AES-256/SHA-384 对称加固
阶段 5  验证与固化：抓包确认协商结果、压测握手延迟与包尺寸、更新 CBOM 与回滚预案

每个阶段都应设置可观测的验收点。例如阶段 1 的验收点是：用 openssl s_client -groups X25519MLKEM768 连接后，握手日志中出现该混合组，且抓包可见 ClientHello 的 key_share 扩展同时携带 X25519 与 ML-KEM 公钥。阶段 2 的验收点是证书链中同时存在经典与 PQC 签名，且旧客户端仍能正常握手。阶段 4 的验收点是协商结果中不再出现任何 RSA/ECC 密钥交换或签名算法。

五、本课程的组织方式

后续章节将沿着上述四层框架展开：先讲算法与参数选择，再讲 TLS、SSH、IPsec 等协议的集成细节，然后进入证书体系、HSM 与固件签名的系统改造，最后落到密码敏捷性、灰度发布、性能验证与合规审计。每一章都会给出可操作的配置片段、判断依据与验证方法，帮助你把“迁移”从概念变成可交付的工程结果。