1. 课程导入与工程全景

在传统公钥密码体系中，RSA 与 ECDSA 的安全性分别建立在“大整数分解”和“椭圆曲线离散对数”的困难性之上。这两类数学问题在经典计算机模型下至今没有多项式时间解法，但 Shor 算法证明：一旦拥有足够规模、足够容错的量子计算机，这两类问题都可以在多项式时间内被求解。这意味着当前部署在 TLS 证书、代码签名、固件验签、电子合同、身份认证令牌中的绝大多数数字签名，都会在量子计算成熟后失去安全性。更严峻的是“先存储、后解密/后伪造”的威胁模型——攻击者今天就可以截获并保存签名与公钥数据，等待未来量子算力可用时再发起伪造或密钥恢复攻击。因此，后量子迁移不是“未来某天要做的事”，而是需要从现在开始规划、验证并逐步落地的工程任务。

ML-DSA（Module-Lattice-Based Digital Signature Algorithm）正是这一背景下由 NIST 后量子密码标准化项目选定的签名标准，其算法基础来自 CRYSTALS-Dilithium，并在 FIPS 204 中被正式规范。它属于格密码家族，安全性依赖于 MLWE（Module Learning With Errors）与 MSIS（Module Short Integer Solution）问题的困难性。与 RSA/ECDSA 相比，ML-DSA 的核心工程特征可以概括为三点：密钥与签名体积显著增大、签名与验签的计算模式不同、以及参数集按安全等级划分为 ML-DSA-44、ML-DSA-65、ML-DSA-87 三档。理解这些特征，是后续所有工程决策的起点。

从工程视角看，ML-DSA 的迁移并不是“换一个算法库”那么简单。它牵涉到密钥生命周期管理、证书编码、协议握手消息长度、硬件安全模块（HSM）支持、固件更新包体积、以及现有 PKI 体系的兼容性。以 TLS 1.3 为例，ML-DSA 公钥和签名远大于 ECDSA，会导致 Certificate 消息显著膨胀，可能触发 TCP 分片或 QUIC 的放大限制。因此，实际部署中常采用“混合模式”：在过渡期同时携带经典签名与后量子签名，既保证与旧客户端的兼容，又提前获得后量子安全性。这种混合策略在 Chrome、Cloudflare 等早期试验中已被验证可行，但也带来了双倍签名计算与传输开销，需要根据业务场景权衡。

本课程围绕“可落地”的目标组织，最终交付物包括四类：一份可运行的 ML-DSA 签名/验签参考实现（覆盖 KeyGen、Sign、Verify 三个核心接口）、一张参数选型决策表（根据安全等级、性能预算、带宽约束选择 ML-DSA-44/65/87）、一份集成检查清单（覆盖证书、协议、存储、HSM 等关键接触点）、以及一份性能基准报告模板（记录签名耗时、验签耗时、密钥与签名尺寸、内存占用等指标）。这些交付物不是纸面文档，而是可以在真实项目中直接复用的工程资产。

学习路径上，建议按“先理解、再实现、后集成、终验证”的顺序推进。第一阶段建立算法与参数认知，重点理解 ML-DSA 与 Dilithium 的关系、NIST 安全等级的含义、以及不同参数集在尺寸与速度上的取舍。第二阶段进入实现层，掌握密钥生成中的矩阵采样与拒绝采样、签名中的挑战值计算与响应生成、验签中的范数检查与哈希比对。第三阶段处理系统集成，包括证书扩展、协议消息适配、混合签名编排、以及密钥存储格式设计。第四阶段聚焦验证，涵盖功能测试、性能基准、侧信道评估与错误注入测试。每个阶段都配有可操作的示例参数与判断依据，确保读者不仅“知道”，而且“做得出、验得了”。

需要特别强调的是，ML-DSA 的安全性并不只取决于算法本身。实现层面的侧信道防护、随机数质量、内存清零、错误处理路径，都会直接影响实际安全强度。例如，签名过程中如果拒绝采样循环的时序泄露了中间状态，攻击者可能通过统计时序恢复私钥信息。因此，本课程在实现与验证阶段会专门讨论恒定时间实现、掩码防护与故障注入检测。这些内容在传统 RSA/ECDSA 工程中同样重要，但在格密码中由于涉及大量向量运算与采样操作，防护策略需要重新设计。

最后，后量子迁移是一个持续数年的过程，而不是一次性的版本升级。标准仍在演进（如 NIST 后续可能发布更多参数集或修订版本），硬件支持正在逐步完善，协议扩展也在不断讨论中。本课程的目标不是给出一个“永远正确”的答案，而是帮助你建立一套可复用的工程方法：如何评估风险、如何选择参数、如何实现与集成、如何验证与运维。掌握这套方法后，无论标准如何变化，你都能快速定位影响范围并做出合理决策。