3. 后量子密码标准化进展与算法选型
后量子密码（PQC）迁移的起点不是“换一个算法”，而是“选对算法族”。NIST 自 2016 年启动 PQC 标准化征集以来，经过多轮筛选与攻击分析，于 2022 年公布首批入选算法，2024 年发布 FIPS 203、FIPS 204、FIPS 205 三项正式标准，并持续推进备用算法与签名方案的评估。理解这一进程，是编制迁移路线图时确定“先迁什么、用什么迁、何时迁”的前提。
一、NIST 标准化进程的三个阶段
NIST 的 PQC 标准化可以概括为三个阶段。第一阶段是征集与初筛（2016—2019）：收到 82 份提交，经形式审查与初步攻击分析后保留 26 个候选（17 个公钥加密/KEM、9 个签名）。第二阶段是多轮淘汰（2019—2022）：围绕安全性证明、实现性能、侧信道抗性、密钥与密文尺寸等维度反复评估，2022 年 7 月公布首批入选：用于 KEM 的 CRYSTALS-Kyber，用于签名的 CRYSTALS-Dilithium、FALCON 与 SPHINCS+。第三阶段是标准化与补充征集（2022 至今）：2023 年 8 月发布三项草案标准，2024 年 8 月正式发布 FIPS 203（ML-KEM，源自 Kyber）、FIPS 204（ML-DSA，源自 Dilithium）、FIPS 205（SLH-DSA，源自 SPHINCS+）；FALCON 对应的 FN-DSA 草案仍在推进。同时 NIST 启动额外数字签名征集，以扩充签名算法多样性，HQC 被选为备用 KEM 方案。
二、主要算法族的特性对比
PQC 算法按数学困难问题分为格基、编码基、多变量、哈希基、同源等几大族。它们在密钥尺寸、计算开销、安全假设成熟度上差异显著，直接决定迁移的工程代价。
从图中可以看出，格基算法在性能与尺寸之间取得了较好平衡，是当前通用迁移的主力；编码基算法公钥极大但密文小、历史攻击分析充分，适合作为 KEM 的多样性备选；哈希基签名尺寸大、签名慢，但安全假设最保守，适合固件签名、根证书等长周期高保障场景；多变量方案签名短、验签快，但部分早期方案已被攻破，需谨慎评估具体方案而非整族否定。
三、从标准到选型：可执行的判断方法
算法选型不能只看“哪个最安全”，而应结合迁移对象的约束做匹配。实践中可按以下顺序推进：
- 明确迁移对象类别：是密钥交换/传输加密，还是数字签名/身份认证，抑或两者兼有。KEM 与签名算法的候选集不同，不能混用。
- 量化尺寸约束：统计现有协议报文、证书链、固件分区、智能卡存储的上限。例如 TLS 握手若引入 ML-KEM-768，公钥与密文各约 1.2 KB，需评估是否触发 TCP 分片或超出某些设备的缓冲区。
- 评估计算与能耗：在目标硬件（服务器、IoT 模组、安全芯片）上实测密钥生成、封装/解封装、签名/验签的耗时与内存占用，而非仅参考论文数据。
- 确定过渡策略：多数场景应采用“经典算法 + PQC”的混合模式，既保留现有安全基线，又提前获得抗量子能力，待生态成熟后再逐步切换为纯 PQC。
- 保留备选路径：对 FN-DSA、HQC 等尚在草案或备用状态的方案建立跟踪机制，避免单一算法被攻破时无路可退。
四、示例：一次 TLS 服务端的选型记录
假设某企业需为一组对外 HTTPS 服务编制迁移方案，目标是在不破坏现有客户端兼容性的前提下引入 PQC。可形成如下选型记录（参数为示例假设，非实测结果）：
| 评估项 | 现状（经典） | 候选方案 | 判断依据 |
|---|---|---|---|
| 密钥交换 | X25519 | X25519 + ML-KEM-768 混合 | 握手包增加约 1.2 KB，需确认负载均衡器缓冲区 ≥ 4 KB |
| 服务器签名 | ECDSA P-256 | ML-DSA-65 | 签名约 3.3 KB，证书链需评估 OCSP 与缓存策略 |
| 兼容性 | — | 混合模式优先 | 旧客户端仍可走经典分支，新客户端协商 PQC |
| 性能 | — | 需在目标 CPU 实测 | 关注每秒握手数与 P99 延迟变化 |
该记录的价值在于把“选算法”转化为可核对的约束清单：尺寸是否超限、兼容性是否保留、性能是否可接受、备选是否明确。路线图编制时，这类记录应作为每个迁移批次的输入，而不是停留在“采用 NIST 推荐算法”的笼统表述。
综上，NIST PQC 标准化已从“选秀”进入“落地”阶段，格基算法承担主力、哈希基提供兜底、编码基补充多样性。编制迁移路线图时，应以标准状态为基线、以尺寸与性能约束为筛子、以混合过渡为策略、以备选跟踪为保险，把算法选型做成有依据、可复核、能随生态演进而调整的工程决策。