数十年来，Web 一直被 TLS/SSL 保护，它像一道隐形盾牌。"安全连接"表明数据在穿越互联网之前已被加密。保护由 RSA 与椭圆曲线密码学（ECC）等算法提供。迄今，这些算法在经典计算机面前屹立不倒。但量子计算正在改写规则。像 Shor 算法这样的算法，理论上能在经典机器不切实际的规模上破解 RSA 与 ECC。如果足够强大的量子计算机到来——许多研究者称之为 Q-Day——今天的 TLS/SSL 基础设施可能崩溃。
风险并非假设。对手已在实践"现在 Harvest、日后解密"（Harvest Now, Decrypt Later）攻击：今天拦截加密数据、存储它，并等待量子机器能解密的那一刻。金融交易、医疗记录或国家机密等敏感资产可能在多年后突然暴露。
本指南探讨后量子密码学（PQC）对 SSL 证书意味着什么、企业为何需要立刻行动，以及它们可采取哪些实际步骤做准备。
为何量子计算威胁 TLS
要理解量子威胁，让我们从 TLS/SSL 今天如何实际运作开始。一个安全会话依赖三个密码学构建块：
像 AES 这样的对称加密
一旦会话密钥商定，对称密码加密大部分数据。即便面对量子计算机，它们仍相对安全。Grover 算法只提供二次加速，意味着 AES-256 实际上降至 AES-128 的安全强度，对企业用途仍足够强。
像 RSA 或 Diffie-Hellman 这样的非对称密钥交换
这正是崩塌之处。这些系统依赖大整数分解或求解离散对数等问题的困难性。Shor 算法允许量子计算机在多项式时间内求解两者。被认为能抵御经典攻击的 RSA-2048，可能在足够大的量子机器上被拆解。P-256 等 ECC 曲线也好不到哪去，其 128 位安全在 Shor 算法面前实际上消失。
数字签名（RSA、ECDSA）
同样的漏洞在此适用。若攻击者可伪造证书签名，整个公钥基础设施信任链崩塌。
这造成一个具体而危险的风险，即"现在 Harvest、日后解密"。想象一个恶意行为者捕获某全球银行十年的加密流量。攻击者今天无法破解它，但未来量子计算机可解码它，暴露财务记录、商业秘密或个人标识。
SSL 证书处于这一威胁的核心。TLS/SSL 握手与证书验证都依赖 RSA 或 ECC。若那些算法失效，保障 Web 安全通信的证书也会随之失效。这便是企业不能将 PQC 视为"某天的问题"的原因。保护其数据的密码学今天可能明天就无用，而对手已在为那一天布局。
TLS 与 PQC：正在发生什么变化
TLS 设计时就考虑了模块化。这正是它多年来挺过多次密码学变迁的原因。如前所述，它在量子世界的主要漏洞位于密钥交换协议（RSA、Diffie-Hellman 或 ECDH）与数字签名（RSA、ECC）。两者都直接影响 SSL 证书。
一个实用的短期方法是混合握手。它结合传统与量子安全算法。例如，握手可不再仅依赖椭圆曲线 Diffie-Hellman，而是将其与像 Kyber 这样的抗量子算法结合。这样，即便一种算法被攻破，会话仍安全。Cloudflare 与 Google 早在 2022 年便开始在 Chrome 与 Cloudflare 边缘网络中试验此类混合方案。它们的结果显示：
- 密钥大小差异：椭圆曲线 Diffie-Hellman 公钥为 32 字节，Kyber-768 公钥约 1184 字节。大约大 37 倍。
- 握手性能：尽管密钥更大，增加的延迟极小（以毫秒计），带宽开销可控。
- 兼容性：混合模型保证旧客户端仍可回退到经典算法，而现代客户端受益于 PQC。
SSL 证书最终需要嵌入像 Dilithium 这样的量子安全签名方案，以在 PQC 世界保持有效。这意味着证书颁发机构、浏览器与服务器都需对齐。没有 PQC 就绪的签名，即便密钥交换安全，证书本身未来仍可能被伪造。
NIST PQC 标准与行业采用
向后量子密码学的迁移并非在真空发生。自 2016 年起，美国国家标准与技术研究院（NIST）一直在运行一项全球竞赛，以识别能抵御量子攻击的算法。在数十份提交中（多数基于格密码），几个决赛选手脱颖而出。
2022 年 7 月，NIST 宣布了其首套标准：
- CRYSTALS-Kyber（用于密钥交换）：一种基于格的密钥封装机制（KEM）。Kyber 因其效率、小密文以及对已知量子与经典攻击的韧性而被选中。
- CRYSTALS-Dilithium（用于数字签名）：另一种基于格的算法，因其强安全证明与高效验证速度而被选。
- NIST 还为特殊用例指定了 Falcon（紧凑签名方案）与 SPHINCS+（基于哈希的后备方案）。
其他候选者，如 SIKE（超奇异椭圆曲线同源密钥封装），在 2022 年被研究者用经典攻击破解，凸显了 NIST 审查流程为何如此严格。
真实世界的采用
主要科技公司并未等待最终文件。Cloudflare、Google 与 Microsoft 已运行带混合 PQC 握手的真实 TLS 实验。Chrome 与 Firefox 已开始为后量子算法添加代码路径。在证书侧，DigiCert 与 Entrust 等领先 CA 正参与工作组以测试支持 PQC 的证书。
构成 TLS 客户端的浏览器与操作系统也在准备。例如，Chrome 的早期构建已支持混合模式下的 Kyber，而 OpenSSL 已发布带 PQC 原语的试验分支。
企业为何需要现在关注
企业应理解，PQC 迁移将是分阶段的，而非即时。长寿命证书、遗留系统与嵌入式设备将使过渡复杂化。今天被拦截的敏感数据在 10 年或 20 年后可能仍有价值。等到标准被普遍部署，保护已暴露的东西可能为时已晚。
好消息是构建块已就位。随着 NIST 标准最终确定、行业采用推进，通往量子安全 SSL 的路径现已清晰。真正的问题是企业行动有多快。
企业就绪清单
迈向量子安全 SSL 不是拨动开关，而是一个涉及证书、基础设施与人员的多年过程。以下分步清单帮助企业准备：
- 清点所有证书
务必审计你所有的 TLS/SSL 证书，不只是面向公网的那些。包括用于内部 API、VPN 与 IoT 设备的证书。检查每种类型，从 DV、OV、EV 证书到通配符与多域名证书。这让你清晰掌握续期计划，并有助于发现可能在未来过渡中引发问题的长寿命证书。 - 缩短续期周期
公开 SSL/TLS 证书现限制为 398 天，但许多组织仍在使用寿命更长的私有 CA 证书。这些证书会在 PQC 过渡期间造成迁移延迟。通过强制更短的续期周期并借助 ACME SSL 自动化，企业可降低过时算法滞留环境的风险。 - 接洽供应商与证书颁发机构
与你的 CA 谈论其 PQC 路线图。他们是否在测试基于 Dilithium 的签名？过渡期间是否支持混合证书？现在得到这些答案，让你规划采购并使合同条款与未来需求对齐。 - 升级你的 TLS 基础设施
检查你的 Web 服务器、负载均衡器与中间件是否支持混合 TLS。OpenSSL、BoringSSL 与 wolfSSL 已有 PQC 测试分支。企业应搭建带这些构建的实验室环境，以评估性能开销、握手时间与客户端设备兼容性。 - 试点混合部署
不要等生产环境。先在低风险应用的分期环境中开始。例如，在内部服务间测试混合 TLS 握手（ECDH + Kyber）。衡量性能影响：握手大小、CPU 使用率与连接成功率。这让你在扩展前获得基线指标。 - 保持信息灵通并培训团队
应由专人负责跟踪来自 NIST、CA/Browser Forum 与浏览器厂商的更新。IT 与安全人员也应接受 PQC 概念培训，以便理解混合证书、更大密钥尺寸以及迁移的合规含义。
为量子安全 SSL 未来做准备
支撑当今 TLS/SSL 的传统公钥密码学（如 RSA 或 ECC）可能被足够强大的量子机器破解。这不再是理论，而是 NIST、ENISA 与主要浏览器厂商正积极准备应对的问题。那么，这对 SNI 与更广泛的 SSL 生态系统意味着什么？
- TLS v1.3 将需要采用后量子密码学算法，如基于格的 Kyber、Dilithium 或基于哈希的签名。这些算法目前正在被标准化并测试其性能开销。
- 随着 ECH 已在努力隐藏 SNI，下一步将是把 ECH 与基于 PQC 的密钥交换结合。这保证不仅主机名被加密，密码学握手本身也对量子攻击保持未来可用。
- 企业可能从混合握手（经典 + PQC）开始。这种方法提供与现有客户端的兼容性，同时逐步过渡到完全量子安全的 TLS。
- DigiCert 与 GlobalSign 等 CA 正在试验 PQC 证书签发。依赖 TLS 进行内部微服务或公网应用的组织，需要跟踪这些进展并开始规划迁移。
为量子安全 SSL 未来做准备，不是关于恐慌，而是关于远见。正如 SNI 曾是一个解锁大规模 HTTPS 采用的小扩展，量子安全 TLS 将是那项安静却关键升级，确保加密通信在未来数十年保持可用。
相关文章：
- 量子密码学 vs 后量子密码学——区别详解