3. PKI体系现状与量子威胁分析
要判断后量子迁移从哪里下手，先得看清现有PKI体系"长什么样"以及量子计算究竟"打在哪里"。本节围绕三个对象展开：X.509证书的字段结构、以根—中间—终端为核心的信任链模型，以及量子算法对RSA/ECC的具体冲击点，最后给出一个可用于资产盘点的迁移风险矩阵。
一、X.509证书：被签名保护的身份声明
X.509 v3证书本质上是"主体身份信息 + 公钥 + 扩展 + 签发者签名"的结构化数据。与量子迁移最相关的字段有三类：一是签名算法标识（如 sha256WithRSAEncryption、ecdsa-with-SHA256），它决定了验证方用什么算法校验签名；二是主体公钥信息（AlgorithmIdentifier + BIT STRING），RSA公钥是模数与指数，ECC公钥是曲线点；三是扩展字段，如 KeyUsage、ExtendedKeyUsage、SubjectAltName、BasicConstraints，以及承载OCSP、CRL分发点的信息。此外，TBSCertificate 是被签名的部分，签名值单独附在证书尾部。
这里有一个容易被忽视的工程细节：证书的签名算法和公钥算法是两个独立维度。一张证书可以"用RSA签名、内含ECC公钥"，也可以"用ECC签名、内含RSA公钥"。量子迁移时，这两者需要分别评估——签名算法决定证书本身能否被伪造，公钥算法决定该密钥协商或签名用途是否会被攻破。很多团队在盘点时只统计"证书用了RSA还是ECC"，却漏掉了签名算法与密钥用途的交叉组合，导致迁移范围估算偏差。
二、信任链模型：信任是逐级"背书"传递的
PKI的信任不是单点，而是一条链：根CA自签名证书预置在信任库中，根CA签发中间CA证书，中间CA签发终端实体证书。验证方从终端证书出发，逐级向上验证签名，直到命中本地信任锚。链上任何一环的算法被攻破，其下游全部证书的安全性都随之瓦解。这意味着量子威胁具有沿链传导的特性：如果根CA仍用RSA-2048，即便终端证书换成了抗量子算法，攻击者仍可伪造中间CA证书，从而"合法地"签发任意终端证书。
因此迁移不能只改叶子。实际工程中通常采用"交叉签名"或"双证书"过渡：新根CA用抗量子算法自签名，同时由旧根CA交叉签名以维持现有信任库的兼容；终端侧同时部署经典证书与抗量子证书，由对端按能力协商选用。这条路径的关键约束是信任锚的更新周期——根证书预置在操作系统、浏览器、嵌入式设备中，更新往往以年计，这直接决定了迁移时间表的下限。
三、量子计算对RSA/ECC的冲击点
冲击的核心来自Shor算法：它能在多项式时间内求解大整数分解与离散对数问题，而RSA的安全性依赖前者，ECC与DH的安全性依赖后者。按业界普遍引用的资源估算，攻破RSA-2048大致需要数千个逻辑量子比特、数小时量级的运算（不同论文假设差异较大，此处仅作量级参考，并非实测结论）。ECC-256因密钥更短，所需量子资源相对更少，反而可能更早面临风险。这意味着"ECC比RSA更安全"的直觉在量子语境下并不成立。
更需警惕的是先存后解攻击：攻击者今天截获并存储加密流量，等量子计算机成熟后再解密。因此对于长期保密需求的数据（如身份档案、医疗记录、长期合同），迁移的紧迫性不取决于"量子计算机何时造出来"，而取决于"数据需要保密多久"。若数据保密期超过10年，现在就应启动抗量子密钥交换的部署。相比之下，签名类风险的紧迫性稍缓——伪造签名需要实时攻击，但仍需为证书有效期与信任锚更新预留时间。
Grover算法对对称密码的影响则温和得多：它把密钥搜索复杂度从 2^n 降到约 2^(n/2)，AES-128 的有效强度降到约64位，因此把对称算法提升到 AES-256、哈希提升到 SHA-384 即可，不需要替换算法族。这一点常被误解为"所有算法都要换"，实际迁移工作量主要集中在公钥算法上。
四、迁移风险矩阵：把资产放进四个象限
盘点时建议用两个维度定位每类资产：暴露时长（证书有效期、数据保密期、设备服役期）与资产关键度（是否处于信任链关键路径、是否承载高价值数据）。右上象限——长期暴露且高关键度——是首批迁移对象，典型如根CA、长期服务器证书、固件中固化的信任锚；左上象限短期暴露但高关键度，可通过缩短证书有效期、加快轮换来缓解；右下象限长期暴露但低关键度，可随设备自然淘汰；左下象限可最后处理。
落地时可按以下顺序推进：先用扫描工具枚举全部证书的签名算法、公钥算法、有效期与信任链位置，形成资产清单；再按上述矩阵打标；随后对高优先级资产试点混合证书（经典+抗量子双证书），在测试环境验证握手兼容性与证书体积对TLS握手包的影响；最后制定根CA轮换与信任锚分发计划。需要提醒的是，抗量子证书（如基于ML-DSA）的公钥与签名体积显著大于RSA/ECC，可能触及部分老旧设备的握手包上限，这一点必须在试点阶段实测确认，而不能仅凭规范推算。