1. 课程导入与全景认知

如果把今天的互联网信任体系比作一座城市，那么PKI（公钥基础设施）就是这座城市的户籍与印章系统：证书证明“你是谁”，私钥证明“你确实是你”，CA机构则是签发与背书这些身份的权威。TLS握手、代码签名、文档签名、VPN接入、物联网设备认证，几乎每一次“可信交互”背后都站着一张X.509证书和一条证书链。问题在于，这套体系的数学地基——RSA与ECC——正在被量子计算动摇。

一、紧迫性来自哪里：不是“明天就破”，而是“今天已被记录”

量子计算对公钥密码的威胁有两条清晰的路径。第一条是Shor算法：一旦出现足够规模、足够容错的量子计算机，它可以在多项式时间内求解大整数分解与离散对数问题，RSA-2048、ECC P-256这类当前主流算法将直接失效。第二条更隐蔽，是Grover算法带来的对称密钥安全强度“平方根折半”——AES-128的量子安全强度约降为64位，因此迁移目标通常要求对称算法至少AES-256、哈希至少SHA-384级别。

真正让迁移变得紧迫的，是“先收集、后解密”（Harvest Now, Decrypt Later）攻击模式。攻击者今天就可以把加密流量、签名文档、归档邮件批量保存下来，等量子能力成熟后再解密。这意味着：数据的保密寿命越长，迁移的截止时间就越早。一份需要保密20年的医疗档案或政务数据，其风险窗口在今天就已经打开。业界普遍引用的判断是：若量子威胁在2030—2035年间变得现实，那么长周期敏感数据的迁移工作必须在2020年代末之前启动，而PKI这类“根信任”组件的替换周期往往以5—10年计，留给规划的时间远比直觉更紧。

需要强调的是，迁移不是“换一个算法”这么简单。NIST在后量子标准化进程中选出了以ML-KEM（FIPS 203，基于格的密钥封装）、ML-DSA（FIPS 204，基于格的数字签名）、SLH-DSA（FIPS 205，基于哈希的签名）为代表的新一代算法，它们带来了全新的密钥尺寸、签名尺寸与性能特征，而这些特征会沿着证书链、协议握手、硬件模块一路传导。

二、PKI改造的核心挑战：尺寸、兼容与信任锚

后量子算法最直观的冲击是“变大”。以常见参数估算：ML-KEM-768的公钥约1184字节、密文约1088字节；ML-DSA-65的公钥约1952字节、签名约3309字节。对比ECC P-256公钥仅65字节、签名约64字节，量级差异达到数十倍。这个变化会引发连锁反应：

• 证书与握手膨胀：一张含后量子公钥与签名的证书可能从约1KB增长到4—6KB；TLS握手中若证书链含多级PQ签名，ClientHello/ServerHello与Certificate消息可能突破单条TCP段的常见MTU边界，触发分片，增加丢包敏感性与握手时延。
• 硬件与固件约束：HSM、智能卡、TEE、车规MCU的存储与RAM预算往往按ECC尺寸设计，PQ密钥与签名可能放不下，或运算时间超出实时性要求。
• 协议与生态兼容：老客户端不认识新算法OID，中间设备可能按尺寸做假设，CA/B论坛与各根计划对算法、有效期、签发策略有独立规则，迁移必须“协商式”推进。
• 信任锚的平滑替换：根证书不能“一夜切换”，需要交叉签名、双证书并行、分阶段信任列表更新，任何一步出错都会造成大面积验证失败。

因此，工程上普遍采用混合模式（Hybrid）作为过渡：在密钥交换中同时执行X25519与ML-KEM，在签名中同时使用ECDSA与ML-DSA，只要任一成分安全即整体安全。这既降低了“新算法被攻破”的风险，也让不支持PQ的旧端点仍能降级工作。

三、课程学习地图：从认知到落地的四段式

本课程共30章，围绕“认知—算法—改造—实战”四条主线展开，上图下半部分即为总体路线。第一阶段建立全景认知与威胁模型，明确迁移的优先级判断方法；第二阶段深入后量子算法本身，理解ML-KEM、ML-DSA、SLH-DSA的密钥结构、封装/签名流程与参数选择，并掌握混合模式的组合方式；第三阶段聚焦PKI体系改造，包括CA签发链路、证书与CRL/OCSP结构、根信任锚替换、HSM与固件适配、TLS/QUIC握手改造；第四阶段以实战项目贯穿，完成一次可复现的迁移演练。

学习过程中建议始终带着三个问题：我的资产里哪些数据保密寿命最长？哪些组件位于信任链的关键路径上？每一步改造后用什么指标判断“真的成功了”？这三个问题会反复出现在后续章节的评估表、测试用例与验收标准中。

四、实战项目总览：一条可复现的迁移演练线

贯穿全课程的实战项目设定为：为一个模拟的企业内网PKI完成“ECC → 混合后量子”的迁移。项目包含以下可交付物，后续章节会逐步展开具体做法：