1. 课程导入与全景认知
后量子密码（Post-Quantum Cryptography，PQC）迁移常被理解成一次“算法替换”：把 RSA、ECC 换成 ML-KEM、ML-DSA、SLH-DSA 等标准算法即可。但真实工程中，算法只是链条上的一环。一个系统里同时存在长期身份密钥、短期会话密钥、签名密钥、封装密钥、备份密钥、根密钥与派生密钥，它们分布在 HSM、云 KMS、终端固件、证书链、配置文件和备份介质中，各自有不同的生成、分发、使用、轮换、归档与销毁规则。算法换了而生命周期管理没跟上，结果往往是“新算法跑起来了，旧密钥还在用”，迁移等于没有完成。
本课程围绕一条主线展开：把后量子密码迁移视为一次密钥生命周期的整体重构，而不是一次孤立的算法升级。下面先建立全景认知，再说明本课程的学习路径。
一、紧迫性来自三个叠加的时间尺度
后量子迁移的紧迫性并非来自“量子计算机明天就会出现”，而是来自三个时间尺度的叠加：
- 数据保密期：一份需要保密 10 年以上的数据，今天被截获并存储，未来被量子计算机解密，损失已经发生。这类“先存后解”（harvest now, decrypt later）风险对长期密钥尤其致命。
- 系统替换周期：证书链、固件、协议栈、HSM 固件、合作方接口的更新往往以年计，密码敏捷性差的系统甚至需要 3～5 年才能完成一次全链路算法切换。
- 标准与合规节奏：NIST 已发布 FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA），各国监管机构陆续给出迁移时间表。合规窗口一旦开启，留给“边改边试”的空间很小。
三者叠加意味着：迁移的启动时间必须早于风险显现时间，且要覆盖密钥的完整寿命。这正是密钥生命周期管理成为核心的原因。
二、密钥生命周期管理在迁移中的核心地位
传统密钥生命周期通常划分为：生成 → 分发/注入 → 存储 → 使用 → 轮换 → 归档/恢复 → 销毁。PQC 迁移会同时冲击其中多个环节，且冲击方式各不相同：
- 生成：ML-KEM 的公私钥尺寸远大于 ECC（例如 ML-KEM-768 公钥 1184 字节、密文 1088 字节），密钥生成、存储格式、序列化长度都要重新评估。
- 分发与协议：混合密钥交换（如 X25519+ML-KEM-768）需要双方同时支持两套密钥材料，协商流程、报文长度、分片策略都会变化。
- 存储与接口：HSM/KMS 是否支持新算法、密钥句柄与属性如何映射、旧密钥能否导入导出，直接决定迁移能否落地。
- 轮换与共存：迁移期必然出现“新旧算法并存”，需要双证书、双密钥、灰度切换与回滚策略。
- 归档与销毁：历史签名密钥的验证需求、旧密文的解密需求，决定了哪些密钥必须保留、保留多久、以何种保护级别保留。
换句话说，算法决定“用什么算”，生命周期决定“密钥从哪来、到哪去、何时失效”。后者才是迁移工程的主体工作量。
三、一个具体的迁移判断示例
假设某企业内部系统使用 RSA-2048 做 TLS 服务器证书，证书有效期 1 年，私钥存放在软件密钥库中，另有 5 年期的代码签名密钥存放在 HSM 中。迁移时不能“一刀切”：
- TLS 服务器证书属于短期、可快速轮换的密钥，适合优先试点混合密钥交换与 ML-DSA 证书，灰度比例从 1% 逐步放大，观察握手成功率与延迟。
- 代码签名密钥属于长期、验证链长的密钥，迁移时要考虑已发布固件的验证兼容性，通常需要“双签名”过渡：新固件同时携带经典签名与 PQC 签名，验证方按能力选择。
- 历史归档密钥不能直接销毁，需按数据保密期保留，并确保归档格式中记录算法标识与密钥版本，否则未来无法判断该用哪套算法验证。
这个例子说明：迁移策略必须按密钥的用途、寿命、依赖方能力分层制定，而分层依据正是生命周期属性。
四、课程目标与学习路径
本课程的目标是让学习者具备“把 PQC 算法落到密钥生命周期各环节”的工程能力，具体包括：
- 认知层：理解 PQC 标准算法族（ML-KEM、ML-DSA、SLH-DSA）的密钥与密文尺寸、性能特征及其对生命周期环节的影响。
- 设计层：能够为生成、分发、存储、轮换、归档、销毁各环节设计 PQC 适配方案，包括混合模式、双证书、密钥元数据模型。
- 实施层：掌握 HSM/KMS 的算法支持评估、密钥导入导出限制、协议栈改造要点与灰度发布方法。
- 运维层：建立密钥清点、轮换策略、异常监测与回滚机制，保证迁移期新旧共存可控。
学习路径按“先全景、再分层、后落地”组织：先建立迁移全景与生命周期模型，再逐环节深入生成与分发、存储与使用、轮换与归档，最后通过综合案例完成一次端到端的迁移方案设计与评审。每章都会围绕真实对象、参数与判断依据展开，避免停留在概念层面。