1. 混合部署的动因与目标
在讨论任何具体算法或工程实现之前，必须先回答一个更根本的问题：为什么要在现有经典密码体系仍然“能用”的时候，投入成本去叠加一套后量子密码（PQC）？答案不是“量子计算机已经来了”，而是“迁移窗口正在关闭，而迁移本身需要数年”。本章从量子威胁时间线、经典密码现状、PQC迁移风险三个角度建立动因，再落到混合部署的核心价值与业务驱动。
一、量子威胁时间线：威胁不在“今天”，而在“数据寿命”
理解量子威胁，关键不是问“通用量子计算机何时成熟”，而是问“我的数据需要保密多久”。这引出两个被广泛引用的判断模型。
其一是先存后解（Harvest Now, Decrypt Later, HNDL）。攻击者今天抓取并存储加密流量，等未来量子能力可用时再解密。对于长期敏感数据——身份档案、医疗记录、源代码、长期合同、根密钥——只要“数据保密期 + 迁移耗时”超过“量子能力可用时间”，风险今天就已成立，而不是未来才成立。
其二是迁移时间常数。密码迁移不是替换一个库，而是涉及协议、证书、硬件、固件、第三方接口、合规审计的系统工程。业界普遍认为，一个大型组织的完整密码迁移周期以年计，甚至跨越多个技术代际。因此，启动迁移的时间点应当由“数据寿命”倒推，而不是由“量子计算机出现”触发。
把这两点合起来，就得到一条实用的判断线：若某类数据的保密期较长（例如10年以上），且其所在系统的迁移周期也较长（例如3～5年），那么它的“安全截止点”可能已经进入当前规划周期。这正是混合部署被提前推进的直接原因。
二、经典密码现状：不是“不安全”，而是“安全假设在变”
当前主流公钥体系建立在三类数学难题上：RSA依赖大整数分解，ECDH/ECDSA依赖椭圆曲线离散对数，DH依赖有限域离散对数。对称密码（AES）与哈希（SHA-2/SHA-3）受影响相对较小，但安全强度需重新评估：Grover算法使对称密钥的有效强度约减半，因此AES-128在量子模型下应视为约64位强度，长期系统宜采用AES-256。
需要强调的是，经典密码今天并没有被攻破。问题在于：这些算法的安全性假设，在量子计算模型下不再成立。RSA-2048、ECC-256在足够规模的量子计算机面前将失去意义，而它们正支撑着TLS握手、代码签名、固件验签、VPN、SSH、PKI证书链等几乎所有信任基础设施。
更棘手的是“存量”问题。大量系统使用硬编码算法、固定长度字段、自签证书、老旧固件，甚至无法升级的嵌入式设备。这些系统不会因为标准更新而自动改变，它们构成了迁移的真实阻力。
三、PQC迁移风险：为什么不能“一步切换”
直接把RSA换成ML-KEM（原Kyber）或ML-DSA（原Dilithium）看似简单，实际会引入几类风险：
- 算法成熟度风险：PQC标准仍在演进，部分方案曾被攻破（如SIKE），过早单点依赖存在选型风险。
- 性能与体积风险：PQC公钥、密文、签名普遍更大。ML-KEM公钥约1.2KB、密文约1.1KB；ML-DSA签名约2.4KB。这会挤占TLS握手包、增大证书链、影响MTU与分片。
- 互操作风险：新旧客户端、网关、硬件加速卡、HSM对PQC支持不一致，纯PQC握手可能直接失败。
- 合规与审计风险：监管要求“可证明的密码强度”，而PQC尚未积累与RSA同等的长期分析历史。
- 回滚风险：一旦切换后出现问题，缺乏可回退的兼容路径会导致业务中断。
这些风险共同指向一个结论：迁移不能是“替换”，而应是“叠加与过渡”。
四、混合部署的核心价值：用“双保险”换取迁移时间
混合部署（Hybrid Deployment）指在同一协议会话或同一信任链中，同时使用经典算法与后量子算法，典型形式包括：
- 混合密钥交换：TLS 1.3中同时执行X25519与ML-KEM，两者共享密钥拼接后派生会话密钥。只要任一算法未被攻破，会话即安全。
- 混合签名/证书：证书链中同时携带ECDSA与ML-DSA签名，验证方需两者均通过。
- 双栈并行：新旧端点各自使用其支持的算法，通过协商或网关转换实现互通。
其核心价值可归纳为三点：第一，抗降级——攻击者必须同时攻破经典与PQC两套算法，难度叠加；第二，平滑过渡——保留经典路径作为兼容与回退手段，避免“一刀切”导致业务中断；第三，提前积累——在真实流量中验证PQC的性能、体积与运维表现，为最终纯PQC铺路。
五、业务驱动：从合规到竞争力
推动混合部署的并不只是技术团队。业务侧驱动力同样明确：
- 合规与监管：金融、政务、医疗等行业对长期数据保密有硬性要求，密码敏捷性正成为审计项。
- 客户信任：面向企业的服务在招标与安全评估中，开始询问“是否支持PQC混合握手”。
- 供应链安全：固件签名、软件分发、OTA升级一旦被量子破解，影响的是整条供应链。
- 成本前置：越晚迁移，存量系统越多、兼容包袱越重，单位改造成本越高。
因此，混合部署的定位可以概括为：以可接受的工程成本，把“未来才需要”的量子安全能力，提前嵌入“今天仍在运行”的经典密码体系。它既是风险对冲，也是密码敏捷性（Crypto Agility）建设的起点——而敏捷性本身，才是应对任何未来密码威胁的长期能力。