3. 后量子密码的定义与标准化进程
后量子密码（Post-Quantum Cryptography，PQC）是指能够在经典计算机与未来大规模量子计算机共同存在的威胁模型下，仍然保持安全性的公钥密码体制。理解这个定义要抓住两个关键词：一是“公钥密码”，它主要替换的是密钥交换与数字签名这两类依赖大整数分解、离散对数难题的算法；二是“量子威胁模型”，即攻击者可能同时使用经典算力和量子算力。需要强调的是，PQC 并不是“用量子技术实现的密码”，而是“能抵抗量子攻击的经典密码算法”，它们依然运行在现有计算机和网络设备上，这一点常被初学者混淆。
为什么必须替换现有公钥算法？Shor 算法可以在多项式时间内求解大整数分解与离散对数问题，这意味着 RSA、Diffie-Hellman、ECDH、ECDSA 等主流算法在足够规模的量子计算机面前将失去安全性。对称密码（如 AES）和哈希函数受 Grover 算法影响相对温和，通常只需增大密钥或输出长度即可维持安全强度，因此 PQC 的主战场集中在公钥领域。企业需要建立的基本判断是：凡是在协议中承担密钥协商或身份认证的公钥算法，都属于需要评估迁移的对象。
NIST PQC 标准化项目的历程
美国国家标准与技术研究院（NIST）于 2016 年启动后量子密码标准化征集，2017 年正式接收候选算法，此后经历了多轮公开评估与筛选。整个过程大致可分为几个阶段：第一轮从众多提交算法中筛选出进入第二轮的候选；第二轮重点考察安全性与性能；第三轮进一步聚焦并确定首批标准算法；随后 NIST 又启动了第四轮，用于遴选额外的密钥封装机制作为备份，并持续征集新的数字签名方案。2024 年，NIST 正式发布了首批三项标准：FIPS 203（ML-KEM，基于格的密钥封装）、FIPS 204（ML-DSA，基于格的数字签名）、FIPS 205（SLH-DSA，基于哈希的数字签名）。这一时间线对企业意味着：标准已从“研究候选”进入“可工程落地”的阶段，迁移规划不再是前瞻性讨论，而是现实任务。
主要候选算法家族
进入标准化的算法主要来自几个数学家族，各自的安全假设与工程特性差异明显，企业选型时必须理解这些差异。
- 格密码（Lattice-based）：基于格上最短向量、最近向量等困难问题，是当前最主流的家族。ML-KEM 与 ML-DSA 均属此类，特点是密钥与密文尺寸适中、运算速度较快，适合大多数网络协议。其工程风险在于实现需防范侧信道攻击，参数选择必须严格遵循标准。
- 哈希签名（Hash-based）：安全性仅依赖哈希函数的抗碰撞性，假设最保守，SLH-DSA 即属此类。代价是签名和公钥体积较大、签名速度相对慢，适合固件签名、根证书等对体积不敏感但要求长期高保障的场景。
- 编码密码（Code-based）：基于纠错码译码难题，历史上研究时间长，部分方案进入后续轮次评估，密钥体积通常较大。
- 多变量密码（Multivariate）：基于多变量二次方程组求解困难，签名较短，但历史上多次被攻破，评估更为谨慎。
选择标准与企业落地视角
NIST 的评估并非只看“能不能抗量子”，而是多维度的综合权衡。核心标准包括：安全性（是否有清晰的安全归约、能否抵御经典与量子攻击）、性能（密钥生成、封装、签名验签的速度）、尺寸（公钥、私钥、密文、签名的字节数，直接影响协议报文与存储）、实现安全性（抗侧信道、常数时间实现难度）以及工程成熟度与专利情况。这些标准之间存在取舍：例如哈希签名安全性保守但尺寸大，格密码性能好但实现细节敏感。
对企业而言，落地时应把握几条实际原则。第一，优先采用已发布 FIPS 标准的算法，避免在生产环境使用仍处于评估阶段的候选方案。第二，采用混合模式过渡，即在 TLS 等协议中同时使用经典算法与 PQC 算法，任一被攻破仍能保持安全，这也是当前业界主流的迁移策略。第三，先盘点再迁移：梳理系统中所有使用 RSA/ECC 的位置，包括证书、固件签名、VPN、代码签名等，按“长期保密需求”排序，优先迁移需要长期保密的密钥交换场景。第四，关注尺寸带来的连锁影响，例如 ML-KEM 密文与公钥比 ECC 大，可能影响握手报文分片、证书链长度和嵌入式设备存储，需要在测试环境中实测验证。
综上，后量子密码的目标是用经典可运行的算法抵御量子威胁，NIST 标准化进程已把这一目标推进到可落地的标准阶段，而格密码与哈希签名构成了当前的主力家族。理解算法家族的特性与选择标准，是企业制定迁移路线图的第一步。