2. 量子计算对密码学的威胁
要理解后量子密码为什么必须提上企业议程，先要弄清量子计算机究竟“快”在哪里。经典计算机的基本单位是比特，只能处于 0 或 1；量子比特（qubit）可以处于 0 与 1 的叠加态，n 个量子比特能同时表示 2ⁿ 个状态的叠加。更关键的是量子门操作可以让这些叠加态之间发生干涉：对“错误答案”的振幅进行相消，对“正确答案”的振幅进行增强，最后测量时高概率得到想要的结果。量子计算并非对所有问题都指数加速，它只对特定数学结构的问题有优势——而现代公钥密码恰好建立在这类结构之上。
对密码学威胁最大的两个算法是 Shor 算法与 Grover 算法，它们的作用对象完全不同，必须分开评估。
Shor 算法：直接击穿 RSA 与 ECC 的数学根基
Shor 算法解决的是“大整数分解”和“离散对数”问题，而 RSA 的安全性依赖大整数分解困难，ECC（椭圆曲线密码）依赖椭圆曲线离散对数困难，DSA/ DH 依赖有限域离散对数困难。Shor 算法把这些问题转化为量子傅里叶变换可高效求解的周期查找问题，从而实现指数级加速。以 RSA-2048 为例，经典最优算法（数域筛法）分解需要远超宇宙年龄的时间；而按当前公开研究估算，容错量子计算机约需数千个逻辑量子比特、数百万个物理量子比特和数小时到数天的运行时间即可完成分解。ECC-256 的密钥更短，但被攻破所需的量子资源反而更少，因此 ECC 在量子威胁下比 RSA 更“脆弱”。结论很明确：RSA、ECC、DH、DSA 这类公钥算法在足够规模的容错量子计算机面前将不再安全，且没有“加长密钥”的补救空间——加长密钥只能线性增加攻击成本，而 Shor 算法是指数级加速。
Grover 算法：对 AES 等对称密码的“平方根”削弱
Grover 算法解决的是无序搜索问题，对 n 比特密钥的暴力搜索可从 2ⁿ 次降到约 2^(n/2) 次，即“平方根加速”。这听起来可怕，但影响是可控的：AES-128 的安全强度从 128 比特降到约 64 比特，而 AES-256 仍保留约 128 比特安全强度。因此对称密码的应对策略很简单——把密钥长度加倍或直接使用 256 比特密钥。同理，SHA-256 的碰撞安全从 128 比特降到约 85 比特（Grover 对碰撞搜索的加速更弱），SHA-384/512 则足够安全。需要强调的是，Grover 加速是平方根级而非指数级，它不会让 AES 像 RSA 那样“整体失效”，这也是为什么后量子迁移的重点在公钥体系而非对称体系。
“先存储后解密”：比“量子计算机造出来”更早到来的风险
很多企业把量子威胁理解为“等量子计算机成熟再说”，这是最危险的误判。攻击者今天就可以把加密流量、数据库备份、邮件归档、VPN 会话完整抓取并长期保存，等未来量子计算机可用时再解密。这就是“先存储后解密”（Harvest Now, Decrypt Later，HNDL）模型。它的威胁逻辑是：数据保密期 > 迁移窗口期时，风险已经发生。举例来说，一份需要保密 20 年的并购协议、患者病历或源代码，如果今天用 RSA/ECC 保护，而量子计算机在 10～15 年后达到可用规模，那么这份数据在保密期内就会被解密。反之，一份只需保密 3 天的会话令牌，风险就低得多。
因此企业评估时不能只问“量子计算机什么时候来”，而要问三个问题：哪些数据需要长期保密？这些数据当前用什么算法保护？迁移到后量子算法需要多长时间？ 当“数据保密期”大于“迁移所需时间”时，就应立即行动。迁移时间往往被低估——密码资产盘点、协议改造、固件升级、证书体系切换、供应链协同，通常以年为单位。
企业应如何落地评估
第一步是密码资产盘点：梳理 TLS 证书、代码签名、VPN、数据库透明加密、硬件安全模块（HSM）、IoT 设备固件中使用的算法与密钥长度，标注哪些是 RSA/ECC/DH，哪些是 AES/SHA。第二步是数据分类分级：按保密期限给数据打标签，识别“长期敏感”数据。第三步是风险排序：对“长期敏感 + 公钥保护”的组合优先处理。第四步是制定迁移路线：对称算法升级到 AES-256、SHA-384；公钥体系规划向 NIST 已标准化的 ML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）迁移，并关注混合模式（经典算法 + 后量子算法并行）以降低过渡期风险。第五步是建立密码敏捷性（crypto-agility）：让算法可配置、可替换，避免算法硬编码在固件或协议中导致迁移困难。
需要提醒的是，上述量子资源估算（如 RSA-2048 需数百万物理量子比特）来自公开研究文献的合理推算，属于示例性量级判断，具体数值会随纠错方案与硬件进展变化；企业决策应关注“量级”和“趋势”，而非精确数字。真正可执行的动作是：现在就开始盘点密码资产、识别长期敏感数据、建立可迁移的密码架构——这比等待一个确定的“Q-Day”日期更有价值。