1. 迁移工程导入
在讨论任何具体迁移技术之前，必须先建立一个清醒的判断：PKI 后量子迁移不是一次常规的算法升级，而是一场有明确时间窗口的工程改造。它的特殊性在于，威胁不是"某天突然出现"，而是沿着一条可推演的时间线逐步逼近；而防御动作却必须提前数年完成，因为证书体系、信任锚、协议栈、硬件模块和业务系统的替换周期远长于算法本身的标准化周期。
一、威胁时间线：为什么"现在"就是起点
后量子密码威胁的核心逻辑可以用一句话概括：攻击者今天截获的密文，可以在未来量子计算机成熟后再解密。这就是"先存后破"（Harvest Now, Decrypt Later）攻击模型。它把风险从"未来某天"提前到了"今天正在发生的通信"。
围绕这条主线，可以梳理出一条工程视角的威胁时间线：
- 现在（T0）：量子计算机尚不能破解 RSA-2048 或 ECC P-256，但具备大规模存储能力的对手已可批量留存 TLS 会话、签名证书、密钥交换报文。此时迁移的收益是"阻止未来被解密"。
- 近期（T0+3～5年）：NIST 后量子标准（ML-KEM、ML-DSA、SLH-DSA）已发布，密码库与硬件开始支持，但生态兼容性参差。此时迁移的收益是"抢在依赖固化前完成架构预留"。
- 中期（T0+5～10年）：量子硬件比特数与纠错能力持续提升，部分弱参数算法（如 RSA-1024、ECC P-192）可能率先进入风险区。此时迁移的收益是"避免被迫在压力下做紧急替换"。
- 远期（T0+10年以上）：若容错量子计算机达到破解 RSA-2048 所需规模，未迁移系统的历史通信与长期签名将同时失效。此时迁移的收益已变为"止损"。
需要强调：上述时间点属于工程推演示例，不是精确预测。真正可操作的原则是——迁移周期必须小于威胁到达周期。一个大型 PKI 体系从根 CA 到终端证书的完整轮换，通常需要 3～7 年，这正是紧迫性的来源。
二、PKI 迁移的紧迫性：三个不可回避的约束
紧迫性并非来自恐慌，而是来自三个结构性约束。
第一，信任锚的替换是"自上而下"的。根 CA 一旦更换算法，所有中间 CA、终端证书、OCSP/CRL 响应、时间戳服务都必须同步或兼容。根证书的信任分发依赖操作系统、浏览器、硬件信任库的预置或更新，这个周期以年计。如果等到量子威胁明确再启动，根信任链的更新速度会成为瓶颈。
第二，协议与硬件存在"能力滞后"。许多 TLS 终端、HSM、智能卡、IoT 模组只支持固定算法套件。ML-KEM 的密钥尺寸和 ML-DSA 的签名尺寸都显著大于 ECC，这会直接影响握手报文大小、证书链长度、存储空间和带宽。迁移必须提前验证这些物理约束，而不是在算法切换当天才发现设备放不下证书。
第三，历史数据的"追溯性风险"。对于签名场景，长期有效文档、代码签名、固件签名需要保证未来十年以上仍可验证。如果签名算法被量子破解，历史签名将失去不可否认性。这意味着签名迁移不仅要覆盖新签发，还要考虑重签、时间戳加固和归档策略。
三、课程目标：从认知到可执行工程
本课程的目标不是让读者记住几个算法名字，而是建立一套可落地的迁移工程能力。具体包括：
- 能够绘制本组织的密码资产地图：哪些系统使用 RSA/ECC、哪些是签名、哪些是密钥交换、哪些是长期数据保护。
- 能够判断迁移优先级：先动密钥交换还是先动签名，先动根 CA 还是先动边缘服务。
- 能够设计混合模式过渡方案：经典算法与后量子算法并行，保证兼容性与安全性兼顾。
- 能够规划证书链与信任锚的轮换路径，并处理交叉签名、双证书、回退策略。
- 能够建立验证与回滚机制：迁移后如何确认互操作性、性能与安全属性达标。
四、工程全景图：五个层次与一条主线
把 PKI 后量子迁移拆开看，它横跨五个层次，但由一条主线贯穿：信任链的算法替换与兼容过渡。
| 层次 | 关键对象 | 迁移关注点 |
|---|---|---|
| 算法与标准层 | ML-KEM、ML-DSA、SLH-DSA、混合套件 | 参数选择、安全强度、标准符合性 |
| 密码服务层 | HSM、KMS、CA 软件、密码库 | 算法支持、密钥生成与存储、性能 |
| 证书与信任层 | 根 CA、中间 CA、终端证书、CRL/OCSP | 信任锚轮换、交叉签名、链长度 |
| 协议与应用层 | TLS、IPsec、代码签名、文档签名 | 握手兼容、报文尺寸、回退策略 |
| 运营与治理层 | 资产清点、变更管理、合规审计 | 优先级、时间表、验证与回滚 |
这五个层次不是串行关系，而是需要并行推进。算法层决定"用什么"，密码服务层决定"能不能用"，证书与信任层决定"怎么建立信任"，协议与应用层决定"业务是否无感"，运营与治理层决定"是否可控"。任何一层缺失，迁移都会在某个环节卡住。