密码学是网络安全的基石，保护着从个人消息到金融交易的一切。但尽管密码学无处不在，许多人仍低估了它的关键作用。在多层防御策略中，即使其他安全层（如网络或系统）被攻破，密码学通过保护数据安全作为最后一道防线。

然而，随着时间推移和计算能力的增强，大多数密码算法遭到破解的风险日益增加。学术界、工业界和政府在量子计算研究方面的持续进展表明，量子计算的愿景最终将会实现——具有密码分析能力的量子计算机（Cryptanalytically Relevant Quantum Computer, CRQC）的出现将能够削弱或破解当今广泛使用的许多密码算法。随着量子计算能力的增长，对量子安全防护的需求也日益紧迫。各组织必须相应地评估其保护敏感数据免受量子威胁的准备程度。

意识到这一风险，美国国家标准与技术研究院（NIST）花费八年时间研究后量子密码学（Post-Quantum Cryptography, PQC）。NIST与学术界和工业界的研究人员合作，基于多种数学理论精心开发了新的PQC算法。NIST PQC算法的目标是借鉴过去四十年的经验教训，解决当前密码系统的弱点和局限性。采用PQC意味着接受更强大、更安全、更灵活的密码学，并采用多种算法确保对未来威胁的更强防御。这类似于"把鸡蛋放在多个篮子里"：通过算法多样化避免对单一密码方法的过度依赖。

3P方法可以指导制定有效的量子安全策略和补救路线图。

NIST已设定2030年为各组织从RSA-2048和ECC-256等脆弱算法过渡的最后期限，并于2035年完全弃用RSA-2048和ECC-256等算法。这一时间表反映了为CRQC潜在出现做准备的重要性。简而言之，到2035年，现有的密码方案将被禁止使用，安全通信中将不再有传统密码学的容身之地。

近几个月来，各国和地区当局也制定了迁移到PQC的时间表。英国国家网络安全中心（NCSC）目标是在2035年前完成全面迁移，高优先级系统在2031年前完成安全升级。

欧盟计划在2026年前开始过渡，并在2030年前保护关键基础设施。同样，加拿大网络中心要求在2026年前制定PQC部门计划，并在2035年前广泛采用。这些新制定的路线图与其他咨询机构的努力（如美国商业国家安全算法套件CNSA 2.0指南）呼应，凸显了跨部门协调以保护数据免受未来量子威胁的共同紧迫性。

专注于3P——主动（Proactive）、预防（Preventive）和实用（Practical）——是迁移到PQC的有效策略，它们协同工作，为过渡到量子安全基础设施提供结构化且可调整的框架。

PQC迁移的挑战

迁移到PQC给企业带来了诸多挑战。一个重大障碍是实用量子计算时间表的不确定性，从而使得确定优先级和规划过渡变得困难。此外，遗留系统，特别是专有工业控制系统或物联网（IoT）设备，通常缺乏支持PQC算法的灵活性，需要进行昂贵的升级或更换。实施PQC的技术复杂性也带来了集成挑战，如性能权衡或互操作性问题，这可能引入新的漏洞或扩大攻击面。此外，组织对PQC的认识和专业知识仍然有限；许多团队缺乏理解和有效采用新密码标准的培训。克服这些挑战需要多管齐下的策略，如图1所示。3P方法可以指导制定有效的量子安全策略和补救路线图。

图1 - 迁移到PQC的3P策略

PQC迁移应包括评估和修复数千个内部构建的应用程序、更新密钥、翻新硬件安全模块（HSM）以及重新颁发证书。对于大多数行业，迁移是一项艰巨的任务。然而，通过早期规划和预算，组织可以在量子突破发生时避免监管处罚和昂贵的硬件升级。

主动：早期评估和规划

主动向PQC迁移至关重要，因为量子计算机破解当代密码系统这一威胁并非遥远的未来，而是迫在眉睫的现实。企业现在必须理解该技术变革的影响，并制定稳健的迁移计划。

确定角色定位

重要的第一步是了解组织在PQC迁移过程中的定位。这取决于诸多因素，如处理数据的敏感性、关键系统的生命周期以及在供应链中的角色。已定义的三种主要角色可帮助组织了解这三种角色各自的定位：

• 紧急采用者——处理具有长期保密期限敏感数据的组织、负责关键基础设施的组织，以及向有紧急需求的其他实体提供服务的组织

• 常规采用者——不属于紧急采用者类别的组织；可以采取更被动的方式，专注于渐进式迁移并关注PQC的进展

• 密码学专家——参与开发或提供密码标准、协议或基础设施的组织，需要走在PQC研发的前沿

建立专项工作组

组建由网络安全专家、IT专业人员和法律顾问组成的专门团队对于监督迁移过程至关重要。建立具有明确里程碑和时间表的全面路线图将帮助组织度过不同阶段。此外，确保充足的资金以支付技术升级、员工培训以及过渡期间潜在中断相关的成本也至关重要。

盘点密码资产

对加密资产（如算法、协议和密钥大小）的可见性至关重要，详细的清单可作为优先安排迁移工作的指南。组织应识别依赖密码学的系统和应用程序。加密资产清单涵盖各种基础设施层，包括静态数据、传输中数据、应用程序、网络、硬件、固件、库和第三方依赖项。对于每项资产，应识别其保护的数据、负责人员以及对量子攻击的潜在脆弱性。

评估潜在风险

全面的风险评估评估量子攻击对组织数据和系统的潜在影响。考虑敏感信息的机密性、完整性和可用性，并评估攻击的可能性，同时考虑数据敏感性、系统生命周期和量子计算机不断发展的能力等因素。这种评估有助于根据资产的脆弱性及其对业务运营的潜在影响来确定迁移优先级。

识别和映射供应链依赖关系

依赖性分析是基础步骤，因为依赖性分析能够帮助组织系统地识别和映射所有密码资产、这些资产之间的相互联系以及它们对底层系统、协议和第三方组件的依赖。依赖性分析有助于以循序渐进、风险意识的方式规划PQC迁移，确保更新按逻辑顺序进行，关键业务功能在整个过程中保持安全。正确应用这一流程，可以将技术依赖性（如特定操作系统或硬件）与外部因素（如供应商时间表）联系起来。这种整体视图有助于实现密码敏捷性，使组织能够快速适应不断变化的威胁和标准，同时最大限度地降低运营风险和成本。特别是在面对向量子安全密码过渡的复杂性和紧迫性时，如果没有彻底的依赖性分析，组织将面临迁移不完整、安全漏洞和代价高昂的错误风险。

与社区互动

与各利益相关方建立关系并积极互动对于成功迁移至关重要。利益相关方包括技术提供商、标准组织、政府机构、行业团体和PQC研究社区。与技术供应商合作，了解其PQC路线图，确保其产品支持组织的迁移策略。与NIST、互联网工程任务组（IETF）和全球移动通信系统协会（GSMA）等标准机构密切合作，及时了解PQC实施的最新算法、协议和最佳实践。参加行业论坛和会议，与同行分享知识、最佳实践和经验教训。最后，与政府机构合作，了解监管要求和潜在的资助机会。

这些主动措施为企业进行PQC过渡做好准备，最大限度地降低在量子计算机强大到足以破解密码时措手不及的风险。

预防：构建韧性和灵活性

预防策略侧重于构建能够有效应对不断变化的威胁环境的韧性和适应性基础设施。

预防策略的关键要素包括：

• 基于风险确定迁移优先级——根据风险评估和组织角色定位，优先迁移最关键的资产。分阶段迁移允许可控实施，并减少对运营连续性的影响。优先级排序应考虑以下因素：

  • 数据敏感性——处理高度敏感数据（如财务信息、个人健康记录或国家安全机密）的系统应优先迁移。

  • 系统生命周期——生命周期较长的系统更容易受到"现在收集，以后解密"（Harvest Now, Decrypt Later, HNDL）攻击，导致迁移更加紧迫。

  • 威胁态势——应根据不断变化的威胁态势和每个系统的特定漏洞评估量子攻击的可能性和潜在影响。

• 识别遗留系统中的差距——可能存在无法迁移到PQC的遗留系统。了解并减轻这些系统带来的安全风险至关重要，因为如果没有适当的保护，这些系统可能仍然容易受到量子威胁。

• 拥抱密码敏捷性——在设计系统时考虑密码敏捷性。密码敏捷性是指能够轻松、无缝地在不同密码算法和实现之间切换，而不会对运营造成重大干扰。可以通过采用允许灵活选择密码组件的模块化架构和开放标准实现。

• 采取混合策略——混合策略涉及在过渡期间结合使用传统算法和PQC算法。这种方法有几个优势：

  • 向后兼容性——确保与可能尚不支持PQC算法的现有系统兼容。

  • 增强安全性——结合传统算法和PQC算法的优势，提供额外的安全层，防范任一方法中的潜在漏洞。

  • 平滑过渡——促进向完全支持PQC的环境平滑、渐进过渡，最大限度地减少对运营的干扰。

这些措施在过渡阶段提供了安全网，使企业能够在应对PQC迁移复杂性的同时保持强大的安全态势。

实操：执行和监测

PQC迁移的实操方法必须承认并解决现实系统中固有的运营问题和约束，并应优先考虑PQC解决方案的有效执行和管理。

实操策略包括：

• 分阶段迁移方法——PQC解决方案应以结构化和可控的方式实施。分阶段方法包括：

  • 试点项目——从专注于有限范围的试点项目开始，如特定应用程序或一小组用户。试点允许在真实环境中测试和验证所选的PQC算法、实现和迁移程序。

  • 逐步扩展——根据试点项目的经验教训，逐步扩大范围以包括更多系统和应用程序，优先考虑在风险评估期间确定的关键系统。

  • 最小化运营中断——在迁移过程中最大限度地减少对运营的干扰。这需要仔细规划，并可能需要使用混合方法确保平稳过渡。企业还应制定应急计划应对可能出现的任何意外问题。

• 严格测试和验证——测试和验证对于确保PQC实施的有效性和安全性至关重要。这包括：

  • 系统兼容性——确保现有系统能够适应PQC算法与传统算法在密钥大小、处理时间和资源利用方面的差异。

  • 性能——评估PQC算法对系统资源的性能影响，如中央处理器（CPU）使用率、内存消耗和网络延迟。解决任何性能瓶颈以确保顺畅运行。

  • 安全性——进行渗透测试和安全审计，识别和解决已实施解决方案中的任何潜在漏洞。

  • 互操作性——验证使用不同PQC实现的系统之间的无缝通信和数据交换。确保组织内部以及与外部各方的互操作性。

• 遗留系统的缓解策略——由于硬件限制、软件兼容性问题或监管约束，某些遗留系统可能无法支持PQC实施。对于此类系统，组织需要制定替代缓解策略，可能包括：

  • 数据隔离——将敏感数据隔离在未直接连接互联网的系统上，降低量子攻击的风险。

  • 静态加密——使用尚未被证明易受量子攻击的算法加密静态数据，即使系统本身被攻陷也能提供一层保护。

  • 通过量子安全通道隧道传输——通过由PQC算法保护的通道传输敏感数据，即使端点本身不是量子安全的，也能确保安全通信。

  • 系统升级或更换——在可行的情况下，升级遗留系统以支持PQC或用更新的量子安全系统替换。

• 意识和培训——对各级员工进行量子计算影响和PQC迁移重要性的教育，并根据具体角色和职责定制培训计划，确保员工了解与量子威胁相关的风险、PQC的好处以及过渡过程中涉及的步骤。此外，开展研讨会和讲座，提供关于PQC概念、实施指南和最佳实践的实用指导。

• 持续监测和调整——建立对PQC实施的性能、安全性和新出现漏洞进行持续监测的机制。根据监测数据和行业更新调整安全政策和程序。最后，在整个迁移过程之中及以后保持对持续调整和更新的准备。

PQC迁移的实操方法必须承认并解决现实系统中固有的运营问题和约束。

这些实操步骤确保PQC实施安全、高效且可调整，使组织能够自信地过渡到量子安全环境。

案例研究：构建量子安全电子邮件系统

随着量子计算接近可能破解加密的水平，依赖电子邮件进行机密通信的企业必须为密码学变革做好准备。图2中的示例概述了将安全电子邮件系统迁移到PQC的实操方法。
 

维度	示例策略
主动：规划和准备	识别高风险用户，如法务、财务和高管团队（例如处理保密协议（NDA）或机密报告的人员）。
	组建由首席信息安全官（CISO）、企业风险官和电子邮件服务提供商组成的工作组。
	盘点密码资产，包括传统层安全（TLS）协议、安全/多用途互联网邮件扩展（S/MIME）、加密电子邮件归档系统和公钥基础设施（PKI）。
	评估密码支持有限的旧版移动设备（如旧版 iPhone 或 Android 平板电脑）带来的风险。
	与 NIST 和欧洲电信标准化协会（ETSI）等标准机构合作，并与微软等相关供应商协作。
预防：过渡期间的风险降低	优先迁移敏感账户（如高管）和旧归档文件。
	使用 OpenSSL 3.0 等库构建密码敏捷系统，以支持标准化的 PQC 算法（如 ML-KEM、ML-DSA）。
	使用混合方案（如 ECDSA、ML-DSA）以保持与外部非 PQC 就绪系统的兼容性。
	在移动平台（如平板电脑）上测试性能，以确保流畅的用户体验。
实操：实施和可持续性	从董事会成员或关键项目团队开始分阶段推出。
	将电子邮件归档（如个人存储集（PST）文件）安全迁移到受 PQC 保护的保险库。
	培训用户识别支持 PQC 的电子邮件格式并处理混合加密情况。
	告知外部合作伙伴 PQC 电子邮件交换的时间表和要求。
	监测性能、收集反馈，并使用威胁情报更新政策。

主动：规划密码韧性

准备工作从识别最脆弱的用户和系统开始。例如，在金融机构中，发送机密合同的法务团队、处理交易谈判的财务部门以及交换战略计划的高管都是紧急采用者。这些通信通常涉及长期保密要求——使它们成为HNDL攻击的主要目标。

为指导迁移，组织应组建跨职能工作组。例如，一家保险公司可能包括CISO、电子邮件系统管理员、企业风险官和Microsoft 365服务提供商。该团队的首要任务是编录密码资产，包括扫描旧版S/MIME实现、电子邮件网关上的TLS配置、用于签名的过时公钥/私钥对（如RSA-1024）以及使用旧算法加密的归档电子邮件（如AES-128）。

还应评估移动设备的使用情况。较旧的Android或iOS设备可能缺乏处理基于PQC的电子邮件加密库所需的处理能力或软件支持。忽视这一点可能导致依赖移动设备的角色（如外勤人员或销售团队）的访问中断。

组织还应参与标准化工作（如NIST的PQC项目或ETSI工作组），并与提供HSM或安全电子邮件网关的供应商合作，确保未来的兼容性和共同开发机会。

预防：减少过渡期间的暴露

掌握了风险概况和关键资产后，组织可以确定迁移优先级。例如，政府机构可能从与国家基础设施或外交通信相关的账户开始，然后是追溯十年或更长时间的敏感通信档案。

密码敏捷性是关键。使用OpenSSL 3.0或Bouncy Castle等模块化库，并支持ML-KEM（FIPS 203）或ML-DSA（FIPS 204）等算法，允许系统以最小的干扰在密码原语之间切换。混合签名（如将ECDSA与ML-DSA配对）可以保持与尚未准备好PQC的遗留系统和国际合作伙伴的兼容性。还必须考虑性能。例如，PQC中使用的较大密钥大小可能影响移动性能或增加电子邮件有效载荷大小。

组织应在手机或平板电脑等常用设备上测试这些影响，并监测用户摩擦或应用程序错误。

PQC迁移需要一种融合主动规划、预防措施和可行实施的整体方法。

实操：执行安全且可持续的迁移

执行应遵循分阶段推出。最好从小规模开始，例如，从迁移高管层和董事会成员开始——在这种情况下，虽然事关重大，但使用范围可控。然后，组织应监测实时反馈，检查邮件送达问题，并验证Outlook等平台和Mimecast或Proofpoint等企业归档的加密兼容性。

归档电子邮件的迁移尤其棘手。假设组织使用带有加密PST备份的本地Exchange。在这种情况下，电子邮件必须解密，使用PQC重新加密，并安全存储——可能存储在使用信封加密方案的PQC强化安全保险库中。

用户准备就绪至关重要。大型企业可以每月举办培训课程，教员工如何识别支持PQC的电子邮件（例如，使用混合证书签名的电子邮件）或如何更新应用程序和设备以确保加密支持。IT团队应分发将具有PQC功能的库集成到电子邮件平台的客户端更新。

与外部利益相关方的沟通同样重要。必须通知供应商或国际合作伙伴这一变化。例如，一家物流公司可能与海关机构和航运合作伙伴协调，以确保加密文档交换保持互操作性。

迁移不是一次性事件。治理团队必须审查遥测数据（例如，加密成功率或设备兼容性）并相应调整推出计划。政策应随着量子风险水平、威胁情报和监管指导（如欧盟网络安全局[ENISA]或NCSC PQC路线图）而演变。

结论

PQC迁移需要一种融合主动规划、预防措施和可行实施的整体方法，以便为量子计算时代建立安全且有韧性的基础设施。跨行业更新密码系统是一项复杂的工程挑战，需要大量资源和协调。历史表明，预计需要十年时间完成这一转型并不过分。

成功的PQC迁移计划包含任何大规模转型项目的共同要素，包括利益相关方一致性和风险优先级排序。应采用分阶段方法以最大限度地减少运营中断，并确保整个组织的持续安全。这一旅程本质上是迭代的，需要持续更新和改进，以在威胁演变时保持强大的安全态势。

PQC迁移的关键建议是：

• 与专家合作——与供应商和密码学专家合作，解决技术挑战并设计定制的PQC解决方案。

• 投资于安全意识和培训——为人员提供适应新兴安全挑战和有效降低风险的知识和技能。

• 启动PQC计划——制定迁移到量子安全算法和协议的路线图。向利益相关方（包括非技术受众）传达初始量子风险及其潜在业务影响，以及缓解此风险的策略。

组织应认识到，PQC迁移时间表和策略将根据其独特需求、行业法规和快速变化的威胁态势而有所不同。

作者注

本文提供的建议主要基于作者推动量子安全计划的经验，不代表任何特定组织的观点。

HOON WEI LIM | 博士

HOON WEI LIM是NCS网络研发和专项事务的负责人。他的团队孵化新兴领域需要专业技能的新技术和服务。他对量子安全、人工智能（AI）安全以及威胁检测和事件响应自动化特别感兴趣。他已为国际期刊和会议撰写了40多篇研究文章，自2018年以来一直担任新加坡国家安全和隐私标准技术委员会成员。他还是2023年新加坡信息安全专业人士协会（AiSP）网络安全奖领导者类别的入围者。

John Buselli

John Buselli是IBM Quantum Safe的业务发展主管和产品经理，为IBM商业客户制定和执行策略。凭借在该职位上超过8年的经验，Buselli已发展出强大的销售管理和技术专业知识组合。此外，他专注于隐私增强技术、下一代计算加密、量子安全密码学、密码敏捷性、安全运营和网络分析解决方案、混合云/AI治理以及金融、零售和医疗行业的DevSecOps。

CHOON HOCK NIOW | 博士

CHOON HOCK NIOW是NCS的网络安全首席顾问。在加入公司之前，他在政府机构担任信息技术系统工程师超过20年。

GUOMIN YANG | 博士

GUOMIN YANG是新加坡管理大学计算与信息系统学院的副教授和李光前研究员。他的研究兴趣是应用密码学和隐私增强技术。他在Crypto、Asiacrypt、S&P、USENIX Security和NDSS等知名密码学和网络安全期刊上发表了200多篇研究论文。2015年，他获得了澳大利亚研究委员会发现早期职业研究员奖。他是电气和电子工程师学会（IEEE）高级会员，并担任《IEEE信息取证与安全汇刊》、《IEEE服务计算汇刊》和《理论计算机科学》的编委。