1. 课程导入与风险认知
在传统公钥密码体系中，RSA 与 ECC（椭圆曲线密码）几乎支撑了今天所有需要“身份可信”和“密钥协商”的场景：HTTPS 握手、代码签名、VPN、SSH 登录、电子证照、金融报文、物联网设备入网等。它们的安全性并非来自“算法保密”，而是来自一类数学问题的计算困难性——RSA 依赖大整数分解，ECC 依赖椭圆曲线离散对数。问题在于，这两类困难性假设都建立在“经典计算机无法在可接受时间内求解”的前提上，而量子计算恰恰可能改变这个前提。
本课程的第一节不急于讲迁移方案，而是先把风险认知建立起来：威胁到底来自哪里、影响边界在哪里、哪些资产真正暴露、以及为什么“密码敏捷性”会成为组织应对量子风险的核心能力。只有把风险盘点清楚，后续的算法选型、迁移优先级和改造路线才有依据。
威胁的本质：Shor 算法直接击穿公钥困难性
对 RSA 与 ECC 构成实质性威胁的是 Shor 算法。它把大整数分解和离散对数求解转化为量子傅里叶变换可高效处理的周期发现问题，从而在多项式时间内完成求解。直观地说，经典计算机分解一个 2048 位 RSA 模数需要的时间远超宇宙年龄量级，而 Shor 算法把这一复杂度降到多项式级，所需资源主要体现为“足够多的逻辑量子比特”和“足够长的相干时间”。
这里必须强调一个常被误解的点：Shor 算法威胁的是“公钥密码的数学基础”，而不是“密钥长度不够长”。把 RSA-2048 升到 RSA-4096 只能带来常数级提升，无法改变多项式时间可解这一根本性质。因此对 RSA 与 ECC 而言，靠加长密钥来对抗量子威胁是方向性错误，正确方向是更换数学难题——迁移到后量子密码（PQC）。
还需要区分“现在能否被攻破”和“未来是否会被追溯破解”。攻击者今天可以先把加密流量或签名数据截获存储，等量子计算机成熟后再解密或伪造。这就是所谓的“先存后破”（harvest now, decrypt later）。对长期保密数据（如医疗档案、政务数据、知识产权）而言，风险窗口其实已经打开，而不是等到量子计算机落地那天才开始。
Grover 算法的影响边界：对称密码只是“降半强度”
与 Shor 算法不同，Grover 算法针对的是穷举搜索类问题，对对称密码（AES、SM4、SHA 系列哈希）的影响是平方级加速：n 位安全强度在量子搜索下约降为 n/2 位。也就是说，AES-128 的量子安全强度约相当于 64 位，AES-256 约相当于 128 位。这个影响是可控的——通过把对称密钥长度和哈希输出长度提高一档，就能恢复安全裕度，不需要更换算法族。
因此本课程把影响边界划清楚：Shor 算法是“结构性威胁”，需要算法迁移；Grover 算法是“参数性威胁”，通过加长密钥与摘要即可缓解。混淆这两者，会导致资源投错方向——把大量精力花在给对称算法“换算法”，却忽视了真正需要迁移的 RSA/ECC 资产。
密码敏捷性：把“换算法”变成可运营的能力
既然 RSA/ECC 必须迁移，那么真正的问题就变成：组织能不能在不大规模推倒重来的前提下，把密码算法换掉？这就是密码敏捷性（Cryptographic Agility）。它不是某个具体算法，而是一种架构与工程能力——把算法实现与业务逻辑解耦，使算法、密钥长度、证书类型、协议套件可以通过配置或抽象层替换，而不需要改动上层业务代码。
判断一个系统是否具备密码敏捷性，可以看几个很具体的信号：算法标识是否集中管理而非散落在各处硬编码；证书与密钥的生命周期是否有统一台账；TLS/SSH/IPsec 的套件协商是否可配置；硬件密码模块是否支持算法可编程或可升级；客户端与服务端是否支持双栈并行（经典算法与 PQC 同时可用）。这些信号直接决定了迁移时是“改配置”还是“改系统”。
从风险认知到盘点：本课程要解决什么
本课程的目标不是让学员背下几个 PQC 算法名称，而是建立一套可执行的风险盘点与迁移方法。整体学习路径可以概括为四层：第一层是风险认知，即本节所讲的威胁本质与影响边界；第二层是资产识别，找出组织中哪些系统、协议、证书、固件真正使用了 RSA/ECC，以及它们保护的数据需要保密多久；第三层是风险评估，按“数据保密期限 × 系统迁移难度 × 暴露面”排出优先级；第四层是迁移规划，包括算法选型、双栈过渡、性能与兼容性验证、以及长期运维。
在盘点实践中，建议从三个维度建立台账字段：算法与参数（如 RSA-2048、ECDSA P-256、TLS 1.2 套件）、用途与位置（签名/加密/密钥协商，位于证书、固件、配置文件还是代码库）、数据生命周期（该密钥保护的数据需要保密 3 年、10 年还是 30 年）。这三个维度组合起来，就能快速识别出“高价值、长周期、难迁移”的重点资产，而不是平均用力。
举一个教学示例（示例数据，非实测）：某单位盘点出 120 个使用 RSA 的系统，其中 18 个用于长期档案加密、数据需保密 20 年以上，且其中 6 个运行在无法升级固件的旧设备上。按“长周期 + 难迁移”优先，这 6 个设备应最先进入迁移或补偿性控制（如外层加密封装、网络隔离）的评估清单，而不是等到量子计算机时间表明确后再动手。
下一阶段的学习将围绕资产识别方法、风险分级模型和迁移路线展开。请先记住本节的核心判断：Shor 算法改变的是公钥密码的数学基础，必须迁移算法；Grover 算法只是降低对称密码的有效强度，加长参数即可；而能否低成本完成迁移，取决于组织是否具备密码敏捷性。