后量子密码学：NIST 标准及迁移如何进行

NIST 首批后量子标准如何彼此配合、为什么必须在 Q-Day 之前启动迁移，以及组织当下面临的实际步骤。

本页由英文翻译而来。公司和产品名称及来源链接保持不变。阅读英文原文

后量子密码学旨在用被认为能够抵御未来量子计算机攻击的替代方案，取代当今存在脆弱性的公钥密码体系。NIST 于 2024 年发布的前三项最终标准，意味着这场转型已从研究阶段进入部署阶段：各类组织如今应当盘点哪些地方使用了暴露在风险中的算法，决定优先替换哪些部分，并启动为期多年的迁移工作。

为什么需要后量子密码学

问题不在于量子计算机会破解一切。更核心也更重要的担忧其实更集中：广泛使用的公钥系统依赖于整数分解、离散对数和椭圆曲线离散对数等数学难题。若一台能力足够强的量子计算机运行 Shor 算法，就能高效求解这些问题，从而削弱 RSA、有限域 Diffie–Hellman 和椭圆曲线 Diffie–Hellman 等系统的安全性。

这一威胁目前仍属于前瞻性风险。截至 2026 年，量子计算机尚不具备破解广泛部署加密系统所需的处理能力，实验室中对 Shor 算法的演示也仅限于非常小的数字。现实障碍不在于理论上能否做到，而在于工程规模：Wikipedia 指出，由于纠错开销，要超过经典方法的表现，可能需要拥有数百万量子比特的机器。

即便如此，等到真正具备完整能力的量子计算机出现再行动仍然是错误的。迁移需要数年时间，而有些数据的保密期很长。这正是“先采集、后解密”成为核心规划概念的原因。攻击者今天就可以收集加密流量或存储的密文，并一直保存，直到未来技术进步使解密成为可能。对于电子邮件档案、健康数据、知识产权、政府记录或关键基础设施日志而言，损害可能会在数据最初被截获很久之后才显现。

量子改变了什么——又没有改变什么

一个常见误解是，量子计算会让所有密码学都失去意义。

目前大多数对称密码和哈希函数被认为对量子攻击仍相对安全。Grover 算法可以加速针对对称密码的暴力搜索，但在实践中，这一影响可以通过使用更大的密钥长度来抵消，例如将密钥长度翻倍。因此，受冲击最大的其实是公钥密码学，尤其包括：

密钥建立与密钥交换
公钥加密与密钥封装
数字签名

这就是为什么 NIST 的 PQC 项目重点放在密钥封装机制（KEM）和数字签名算法上，而不是一次性替换整个技术栈中的所有内容。

NIST 首先标准化了什么

NIST 在征集提案后，于 2016 年底启动正式标准化工作。根据标准化记录，共有 69 份完整且合规的提交方案进入第一轮，7 个候选方案进入 2020 年 7 月公布的第三轮。经过多年评估，NIST 于 2024 年 8 月 13 日最终确定了首批三项标准。

这些标准包括：

FIPS 203：ML-KEM，基于模格的密钥封装机制（Module-Lattice-Based Key-Encapsulation Mechanism），基于 CRYSTALS-Kyber
FIPS 204：ML-DSA，基于模格的数字签名算法（Module-Lattice-Based Digital Signature Algorithm），基于 CRYSTALS-Dilithium
FIPS 205：SLH-DSA，无状态基于哈希的数字签名算法（Stateless Hash-Based Digital Signature Algorithm），基于 SPHINCS+

NIST 将 ML-KEM 描述为通用加密的主要标准，并强调其加密密钥相对较小且速度较快。ML-DSA 是数字签名的主要标准。SLH-DSA 则基于不同的数学基础，旨在作为后备方案，以防 ML-DSA 日后被证明存在脆弱性。

NIST 自身的指导意见非常明确：这三项标准已可立即投入使用，各类组织应当现在就开始应用。

为什么会有多个标准，而不是一个胜出者

后量子领域并不存在单一占主导地位的数学基础。不同技术路线有不同的优势、实现特性和风险特征。NIST 的选择体现的是一种“组合配置”思路。

基于格的密码学目前承担了大部分部署任务。NIST 首批完成标准化的基于格算法是 ML-KEM 和 ML-DSA。它们之所以具有吸引力，部分原因就在于性能较好且密钥大小可控。

但多样化同样重要。NIST 选择了SLH-DSA这种基于哈希的签名方案，作为主要基于格签名标准的后备。随后在 2025 年 3 月 11 日，NIST 又选择了HQC作为通用加密后备 KEM。HQC 属于基于编码的方案，而非基于格，NIST 表示，正是这种数学路径上的差异，使其适合作为后备选项保留。

其传达的信息具有战略意味：不要把数字信任的未来押注在单一假设之上。

标准化管线中的下一批标准

NIST 的 PQC 工作并未随着 2024 年的发布而结束。

CSRC 项目页面显示，NIST 仍在继续推进以下内容的标准化：

Falcon，一种数字签名算法
HQC，一种密钥封装机制

标准化记录显示，基于 Falcon 的标准将命名为 FN-DSA，归入 FIPS 206。截至 2026 年年中，它仍处于草案状态。时间线较慢的原因据称在于实现复杂性：FN-DSA 在签名过程中依赖浮点高斯采样，NIST 表示，相比已经最终确定的三项标准，这种机制更难以安全实现并做到常数时间执行。

对于 HQC，NIST 在 2025 年 3 月表示，预计约一年后发布标准草案，并在公开征求意见后于 2027 年发布最终标准。

这种错峰推进的时间表在实际操作上很重要。组织并不需要等到所有未来选项都齐备后才开始行动。NIST 预计 ML-KEM、ML-DSA 和 SLH-DSA 将构成大多数部署的基础，并表示这些标准现在就应开始使用。

首批标准速览

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	密钥建立 / 通用加密支持	基于格	通用加密的主要标准
FIPS 204	ML-DSA	数字签名	基于格	签名的主要标准
FIPS 205	SLH-DSA	数字签名	基于哈希	后备签名方法
Forthcoming	FN-DSA	数字签名	基于 NTRU 格	正在开发中的附加签名标准
Forthcoming	HQC	密钥建立 / 通用加密支持	基于编码	ML-KEM 的后备 KEM

迁移实际如何进行

迁移并不只是替换一个库，而更像是对跨系统的密码学依赖进行重新设计。

NIST 的迁移指导指出，各类组织需要识别哪些地方使用了易受攻击的算法，并为产品、服务和协议规划更新或替换。这意味着要在那些往往文档记录不充分的地方找出密码机制：

TLS 终止点和内部服务间链路
VPN 和远程访问系统
PKI 和证书工作流
代码签名和文档签名
硬件安全模块与固件更新系统
身份、访问和密钥管理工具
嵌入式设备和运营技术
受旧密钥建立方案保护的长期存储数据

第一步通常是进行密码资产盘点：RSA、Diffie–Hellman 或椭圆曲线机制在哪些地方被使用了，无论是直接使用还是通过第三方产品间接使用？第二步是确定优先级：哪些系统由于处理长期敏感信息或难以升级而属于高风险？第三步是执行：测试、互操作性工作、分阶段上线以及策略调整。

NIST 的时间表提高了紧迫性。根据 CSRC 页面提及的过渡时间线，NIST 计划在 2035 年前弃用并最终从其标准中移除易受量子攻击的算法，而高风险系统的推进时间还要早得多。

最大的工程权衡

后量子迁移不仅仅是一项合规任务，它涉及真实的技术取舍。

一个广义上的权衡是大小与效率之间的平衡。NIST 的 PQC 材料指出，许多 PQC 算法使用的密钥比前量子时代的公钥系统更大。材料也提到密钥大小、计算效率以及密文或签名大小之间的取舍。对于面向互联网的协议和受限设备而言，这些差异会影响带宽、时延、内存和实现复杂性。

另一个权衡是成熟度与多样性。基于格的系统目前主导了首批标准，因为它们在 NIST 的评估中表现足够好，得以成为主要选择。但集中风险是真实存在的，这也是为什么基于其他数学基础的后备标准也在推进之中。

第三个问题是实现安全性。标准化记录提到 Falcon 存在侧信道方面的担忧，并指出可能的缓解措施会影响性能。更普遍地说，一种密码设计在纸面上可能看起来很强，但在实践中依然可能难以安全实现。

这些标准没有解决什么

标准的存在并不意味着可以证明其安全性永久不变。后量子算法被认为能够抵御量子攻击，但并未被严格证明；这一保留本身就是该领域的一部分。

NIST 流程中也有值得吸取的教训。一些候选方案在评估期间被攻破。Wikipedia 提到了两个尤其引人注目的例子：Rainbow 在第三轮中被一台经典计算机攻破，而 SIKE 在第四轮中被攻破。这些失败并不否定整个 PQC 方向；它们说明了为什么公开密码分析和审慎的标准化需要时间。

仍然存在的开放问题包括：

对所选数学难题的长期信心
各供应商和开源技术栈的实现质量
真实硬件和软件中的侧信道抗性
协议和证书生态中的互操作性
组织应当在多大程度上跨算法家族进行多样化部署

如何务实地看待“何时开始迁移”

对于大多数组织而言，更恰当的提问不是“Q-Day 会不会在明年到来？”，而是“我们的迁移需要多久，以及我们的数据必须安全保存多久？”

如果你的系统嵌入很深、受监管、全球分布广泛，或依赖供应商，那么转型可能会很缓慢。如果你的数据在多年之后仍然敏感，那么“先采集、后解密”的风险会让拖延的代价更高。这正解释了为什么尽管量子计算机尚未达到所需规模，NIST 仍在敦促各方立即采用 2024 年的标准。

简而言之，PQC 迁移是一场典型的基础设施转型：要在紧急情况出现之前启动，因为一旦紧急情况已经显而易见，就很难再从容完成迁移。

关键要点

后量子密码学主要是替换脆弱的公钥系统，而不是抛弃所有现有密码技术。
一台能力足够强的量子计算机运行 Shor 算法，就可能攻破 RSA、Diffie–Hellman 和椭圆曲线 Diffie–Hellman。
NIST 于 2024 年 8 月 13 日最终确定了前三项 PQC 标准：FIPS 203 (ML-KEM)、FIPS 204 (ML-DSA) 和 FIPS 205 (SLH-DSA)。
NIST 表示这些标准已经可以使用，组织应立即开始迁移。
ML-KEM 是与通用加密相关的密钥建立主要标准；ML-DSA 是主要签名标准；SLH-DSA 是后备签名方法。
在 2025 年 3 月，NIST 选择了HQC作为后备 KEM，其数学基础与 ML-KEM 不同。
迁移始于识别哪些地方使用了脆弱算法，然后确定高风险系统的优先级，并规划分阶段替换。
重要权衡包括更大的密钥材料、性能和带宽成本、实现复杂性，以及数学多样性的价值。
PQC 标准能够降低未来风险，但并不能消除不确定性；持续的密码分析、实现审查和运行测试仍然至关重要。
核心紧迫性来自漫长的过渡周期，以及针对那些必须多年保密的数据发起先采集、后解密攻击的可能性。