1. 课程导入与迁移工程全景

在传统互联网安全体系中，TLS（Transport Layer Security）协议是保护数据传输机密性、完整性与身份真实性的基石。从 HTTPS 网站、移动应用后端、微服务间通信，到 VPN、邮件传输和物联网设备接入，TLS 几乎无处不在。然而，随着量子计算技术的快速发展，当前广泛部署的 TLS 1.2/1.3 所依赖的公钥密码算法——RSA、ECDH、ECDSA——正面临被量子计算机在多项式时间内破解的现实威胁。本课程《TLS后量子密码迁移与兼容工程》正是围绕“如何将现有 TLS 体系安全、平滑、可验证地迁移到后量子密码（PQC）时代”这一核心工程问题展开。

要理解迁移工程的全貌，首先需要看清当前 TLS 协议栈的密码学依赖。一个典型的 TLS 1.3 握手过程包含密钥交换、身份认证和记录层保护三个关键环节。密钥交换通常使用 ECDHE（如 X25519、secp256r1），身份认证依赖 RSA 或 ECDSA 证书，记录层则使用 AES-GCM 或 ChaCha20-Poly1305 等对称算法。其中，对称算法和哈希函数受量子威胁较小（Grover 算法仅将有效安全强度减半，可通过增加密钥长度缓解），而公钥算法则会被 Shor 算法彻底攻破。这意味着迁移的重点在于密钥交换与数字签名两大公钥环节。

从威胁时间线来看，业界普遍认为量子计算机破解 RSA-2048 可能需要数百万个物理量子比特，但“先存储、后解密”（Harvest Now, Decrypt Later）的攻击模式已经现实存在。攻击者可以今天截获并存储加密流量，等待未来量子计算机成熟后再解密。这意味着对于需要长期保密的数据（如医疗记录、政府机密、金融交易），迁移工作不能等到量子计算机真正出现才开始。NIST 已于 2024 年正式发布 ML-KEM（FIPS 203）、ML-DSA（FIPS 204）和 SLH-DSA（FIPS 205）三项后量子密码标准，为迁移提供了明确的算法目标。

迁移工程的核心目标可以概括为四个维度：安全性——确保迁移后的 TLS 连接能够抵抗量子攻击，同时保持前向保密和算法敏捷性；兼容性——在过渡期内支持经典客户端与后量子客户端的共存，避免因算法不匹配导致连接失败；性能——控制后量子算法带来的握手延迟增加、证书体积膨胀和 CPU 开销；可运维性——建立灰度发布、监控告警和快速回滚机制，确保迁移过程可控可观测。

本课程的学习路径遵循“先理解、再动手、后优化”的工程逻辑。第一阶段建立认知基础：理解 TLS 协议栈的密码学依赖、量子威胁模型和 NIST PQC 标准算法族。第二阶段进入实操：在 OpenSSL 3.x / BoringSSL 环境中启用混合密钥交换（X25519+ML-KEM），签发后量子证书，配置双栈协商策略。第三阶段聚焦兼容工程：处理旧客户端降级、证书链体积优化、握手性能调优和线上灰度验证。第四阶段完成综合实战：对一个模拟的 HTTPS 服务完成从经典 TLS 到混合模式再到纯 PQC 模式的完整迁移，并输出迁移报告。

需要特别强调的是，后量子迁移不是简单的“替换算法”，而是一项涉及协议栈、证书体系、客户端兼容、性能调优和运维流程的系统工程。在接下来的章节中，我们将逐一拆解这些环节，从 TLS 1.3 的密钥调度开始，深入到 ML-KEM 的封装机制、混合密钥交换的协商逻辑、后量子证书的编码格式，以及如何在生产环境中安全地完成灰度切换。每一章都会给出可执行的命令、可观察的指标和可判断的结果，帮助读者建立从理论到落地的完整能力。