2. 密码算法替换的典型场景与挑战

密码算法替换并不是一个抽象的理论问题，它往往由真实的安全事件、标准演进或技术趋势驱动。理解这些驱动场景，以及每个场景下特有的兼容性、性能与安全风险，是设计敏捷替换机制的前提。本节围绕三类最典型的替换场景展开：算法过时、协议升级与后量子迁移，并分析它们各自的风险结构。

场景一：算法过时——SHA-1 与 RSA-1024 的退场

SHA-1 的碰撞攻击早在 2017 年就被实际演示（SHAttered 攻击），其碰撞复杂度已降至约 2^63 次操作，远低于安全阈值。RSA-1024 则面临因数分解能力的持续提升，NIST 自 2013 年起就不再批准其用于新的密钥生成。这类替换的典型特征是：算法本身已被判定不安全，替换方向明确，但存量系统覆盖面极广。

以 SHA-1 替换为 SHA-256 为例，看似只是换一个哈希函数，实际工程中却涉及多个层面。数字签名场景中，签名值长度从 20 字节变为 32 字节，若协议字段是定长的，就会直接导致解析失败；证书链中若存在 SHA-1 签名的中间 CA，替换时必须考虑旧客户端的验证能力；而内容寻址系统（如 Git 对象、软件包校验和）中，哈希值往往被持久化存储，替换意味着历史数据需要重新计算或双写。

RSA-1024 迁移到 RSA-2048 或 ECC 时，密钥长度和签名长度都会变化。一个常见的兼容性陷阱是：某些嵌入式设备或智能卡固件中，密钥槽位按 128 字节固定分配，RSA-2048 的私钥（含 CRT 参数）可能超出槽位，导致密钥导入失败。这类问题在替换前必须通过密钥容量盘点提前识别。

场景二：协议升级——TLS 1.3 带来的算法套件重构

TLS 1.3 是一次典型的“协议升级倒逼算法替换”。它移除了 RSA 密钥传输、静态 DH、CBC 模式密码套件和 SHA-1，只保留前向安全的 (EC)DHE 密钥交换与 AEAD 加密。这意味着一个原本运行 TLS 1.2 + RSA 密钥交换 + AES-CBC-SHA 的系统，升级到 TLS 1.3 后，密钥交换机制、加密模式和哈希算法同时发生变化。

这里的挑战具有明显的协商与降级特征。TLS 1.3 将密钥交换参数放入扩展中，并引入了 HelloRetryRequest 机制。如果客户端与服务器支持的组不一致，握手会多一次往返。更隐蔽的风险在于中间设备：许多企业防火墙、负载均衡器或 DPI 设备对 TLS 1.3 的 EncryptedExtensions 和证书消息结构解析不完整，可能误判为异常流量而阻断。实际升级中，常见做法是先在服务端开启 TLS 1.3 并保留 TLS 1.2 回退，通过灰度流量观察握手失败率，再逐步收紧。

性能方面，TLS 1.3 减少了握手往返，理论上更快，但 AEAD 加密（如 AES-GCM）在某些缺乏 AES-NI 指令的旧 CPU 上可能比 CBC 更慢，需要实测而非假设。安全方面则要警惕“伪升级”：仅把协议版本号改为 1.3，却仍配置了不安全的旧套件或未正确校验证书链。

场景三：后量子迁移——PQC 算法的引入

后量子密码（PQC）迁移是当前最具挑战性的场景。NIST 已于 2024 年正式发布 ML-KEM（FIPS 203）、ML-DSA（FIPS 204）和 SLH-DSA（FIPS 205）标准。与前三类替换不同，PQC 迁移的特点是：新算法的密钥和密文尺寸显著增大，且安全假设完全改变。

以 ML-KEM-768 为例，其公钥约 1184 字节、密文约 1088 字节，而 X25519 公钥仅 32 字节。在 TLS 握手中，这意味着 ClientHello 和 ServerHello 消息会明显膨胀，可能超过单个 TCP 段，触发分片，甚至超出某些设备的 MTU 或缓冲区限制。实际部署中，业界采用混合密钥交换（如 X25519MLKEM768）作为过渡：既保留经典算法的安全性，又引入抗量子能力，同时通过协商机制保证旧客户端仍可连接。

签名侧的问题更复杂。ML-DSA 签名约 2420 字节，证书链会急剧膨胀。对于固件签名、代码签名这类存储受限场景，SLH-DSA 虽然签名更小但签名速度慢，需要根据场景权衡。此外，PQC 算法的实现成熟度、侧信道防护和硬件加速支持仍在完善中，直接替换存在实现风险。

三类场景的风险共性与差异

把三类场景放在一起看，可以发现一个共同规律：替换的难点几乎从不在算法本身，而在算法所嵌入的协议字段、存储格式、设备能力和信任链。算法过时场景的风险重心在“存量资产”，协议升级场景的风险重心在“协商与中间设备”，后量子迁移场景的风险重心在“尺寸膨胀与实现成熟度”。

因此，替换方案的设计应当先做一次影响面测绘：列出所有使用该算法的接口、协议字段、持久化数据和依赖设备，标注每处的长度约束、性能预算和安全等级。例如，一个使用 SHA-1 做软件包校验的系统，测绘结果可能是：校验值存储在清单文件中（可变长，低风险）、被写入设备 OTP 区域（定长 20 字节，高风险）、被第三方工具解析（需确认工具兼容性）。这种测绘直接决定了替换是“平滑切换”还是“需要版本化双轨运行”。