2. 后量子密码学基础与威胁模型
要编制一份可信的后量子安全迁移路线图，第一步不是选算法，而是把威胁算清楚：量子计算究竟会破坏哪些密码原语、以什么方式破坏、破坏的代价有多大、什么时候可能发生。只有把威胁模型建立起来，迁移的优先级、时间窗口和投入规模才有依据。本节围绕两条主线展开——Shor算法对公钥密码的“结构性摧毁”，以及Grover算法对对称密码的“平方根级削弱”，并据此建立迁移紧迫性的判断框架。
一、两类量子算法，两种威胁性质
量子计算对密码学的威胁并非笼统的“全部失效”，而是高度分化的。Shor算法解决的是整数分解与离散对数问题，这两类问题正是RSA、Diffie-Hellman、DSA、ECDSA、ECDH等主流公钥算法的数学基石。一旦存在足够规模、足够容错的量子计算机，这些算法的安全基础将整体崩塌——不是密钥长度不够，而是问题本身变“容易”了。Grover算法则是通用的搜索加速，对对称密钥搜索和哈希原像搜索给出平方根级加速，属于“削弱”而非“摧毁”。
这一区分直接决定了迁移策略：公钥密码必须替换算法族，对称密码则主要通过增加密钥长度来对冲。把两者混为一谈，是路线图编制中最常见的起点错误。
二、Shor算法：为什么公钥密码“无处可躲”
Shor算法的核心是量子傅里叶变换配合模幂运算的周期查找，把大整数分解和离散对数从亚指数复杂度降到多项式复杂度。对路线图编制者而言，不需要复现算法细节，但必须理解三个工程含义。
第一，密钥加长无效。RSA从2048位加到4096位，只是把经典攻击的代价提高，而Shor算法的复杂度随位数多项式增长，加长密钥无法改变“可解”这一性质。第二，影响面覆盖全部公钥用途：密钥交换（建立会话密钥）、数字签名（身份认证与固件签名）、密钥封装，全部依赖同一类数学难题，因此不存在“只换一部分”的侥幸。第三，迁移涉及协议栈而非单点：TLS握手、证书链、代码签名、SSH、VPN、HSM固件，都要同步支持新算法，这也是迁移周期以年计的根本原因。
一个常见的教学示例参数：假设某机构评估其量子攻击者需约4000个逻辑量子比特、数小时运行时间即可分解2048位RSA模数（此为公开研究中的量级估计，用于说明趋势，非实测结论）。这个数字的意义不在于精确，而在于它落在“工程可及”而非“理论幻想”的区间内，足以支撑“必须规划”的判断。
三、Grover算法：对称密码的“减半效应”
Grover算法对无结构搜索给出平方根加速：在N个候选中找到目标，经典需约N次尝试，量子约需√N次。映射到对称密钥搜索，n位密钥的有效安全强度降为约n/2位。于是AES-128的有效强度约相当于64位，AES-256约相当于128位；SHA-256的原像安全强度约降至128位，SHA-384/512则仍有充足余量。
这里有两个容易被忽略的细节。其一，Grover的加速是串行深度上的，实际攻击还需考虑量子电路的并行化限制，因此“精确减半”是保守上界，工程上常按此保守估计做规划。其二，Grover不影响哈希的抗碰撞性到同样程度，碰撞攻击有BHT类算法的独立分析，路线图中对哈希的评估应区分“原像”与“碰撞”两种用途，不能一概而论。
四、威胁模型：把“什么时候”算进来
仅知道“会被攻破”不足以排优先级，路线图需要的是时间维度。这里引入两个关键量：数据保密期限（信息需要保密多少年）与迁移实施周期（从立项到全量切换需要多久）。真正决定紧迫性的是“先存后解”攻击：攻击者今天截获密文并长期存储，等量子能力成熟后再解密。因此，对于保密期限超过“量子威胁可能到来时间”的数据，今天传输的密文就已经处于风险之中。
据此可以形成一个可操作的判断式：若“数据保密期限 + 系统生命周期”大于“预计量子威胁时间窗口”，则该资产应进入高优先级迁移清单。例如，某政务系统档案需保密30年，即使按最保守估计量子威胁在15年后出现，其今天产生的数据也已暴露在“先存后解”风险下，必须优先迁移；而一个会话密钥仅保护数分钟的视频通话，紧迫性则低得多。
| 资产类型 | 典型保密期限 | 受威胁算法 | 迁移优先级判断 |
|---|---|---|---|
| 身份根证书 / 代码签名根 | 10～20年 | RSA、ECDSA | 高：信任锚一旦被伪造，影响全局 |
| 长期档案与个人隐私数据 | 20～50年 | RSA、ECDH（传输加密） | 高：先存后解直接命中 |
| 固件与设备签名 | 设备全生命周期 | RSA、ECDSA | 高：需与硬件迭代节奏对齐 |
| 短时会话密钥 | 分钟～小时 | ECDH、DH | 中：随协议升级同步替换 |
| 对称加密与哈希 | 视数据而定 | AES-128、SHA-256 | 中低：加长密钥即可，成本可控 |
五、从威胁模型到迁移紧迫性
把上述分析收敛成路线图可用的结论，需要完成三步映射。第一步，资产盘点：列出所有使用公钥密码的系统、协议、证书与硬件模块，标注其数据保密期限与生命周期。第二步，威胁定级：对每项资产判断其受Shor影响（必须换算法）还是受Grover影响（加长即可），并结合“先存后解”判断是否已处于暴露状态。第三步，时间倒推：以“预计量子威胁时间窗口”为终点，倒推迁移实施周期，得出最晚启动时间。
需要强调的是，量子威胁的时间估计存在显著不确定性，公开讨论中从“十年以上”到“更早”都有观点。路线图的正确做法不是押注某个具体年份，而是采用密码敏捷性（crypto-agility）原则：让系统具备快速替换密码算法的能力，把“何时发生”的不确定性转化为“随时可切换”的工程能力。这既是应对量子威胁的策略，也是应对任何未来密码学进展的通用架构原则。
至此，威胁模型的基本框架已经建立：Shor算法决定了公钥密码必须整体替换，Grover算法决定了对称密码以加长应对，而“先存后解”与长生命周期资产共同决定了迁移的优先级排序。后续的路线图编制工作——算法选型、试点验证、分阶段推广——都将建立在这一威胁判断之上。