简介：《抗量子密码技术与应用白皮书（2024）》由三未信安发布，面向密码学研究者、安全架构师及金融、政务、通信等行业的信息安全从业者，系统梳理量子计算对传统公钥密码的威胁及抗量子密码的技术路线与落地路径。包内为1个PDF文件，约3.4MB，按理论篇、技术篇、行动篇组织，便于按章节检索阅读。已有464人学习。内容从Shor、Grover算法对公钥密码的影响切入，介绍抗量子密码算法分类、标准化进程，以及抗量子CA、TLCP、IPSec、SSH等安全协议设计；技术篇还涉及算法实现与产品体系，行动篇则讨论迁移挑战、策略路径、工程指南和行业应用方案。读者可借此建立从理论、标准到产品迁移的整体认知，并获取面向组织量子安全规划的参考框架。

1. 一份白皮书把时间表摆上桌：抗量子迁移从远期议题变成当下工程

2024 年 8 月，一份《抗量子密码技术与应用白皮书》发布；几乎同一时间，首批抗量子密码算法标准正式生效。抗量子密码技术从一个停留在论文里的数学问题，变成了要写进改造方案、排进预算、落到设备清单上的工程任务。白皮书分理论、技术、行动、应用、展望五篇，从算法原理一路写到商业银行、证券公司、移动通信、电力监控的迁移方案，真正扎眼的是行动篇给出的判断：迁移时不我待，而组织对自身密码依赖的了解程度，普遍低于自己的估计。这条判断对做安全架构、做密码产品、做行业信息化的人都成立，值得逐层拆开看。

2. 标准化的十年账本：从 82 个候选到三份正式标准

2.1 一条被压缩的时间线：公开筛选走了八年

抗量子密码不是突然冒出来的技术方向。1996 年，基于格上最短向量问题的 NTRU 公钥密码方案被提出，2008 年进入电气电子工程师协会的标准文本，2010 年又被金融交易场景的公钥加密标准采纳。这条线一直安静地走到 2016 年 12 月，美国标准机构正式启动抗量子公钥密码算法征集，才算进入大规模公开筛选阶段。

此后八年的节奏是这样的：

这张表最值得看的不是数字递减，而是筛选逻辑的收敛：候选从 82 个砍到 3 个正式标准，被淘汰的不全是"不安全"的算法，更多是性能、密钥尺寸、实现复杂度、侧信道可防护性综合评分不够的。对做产品的人来说，这意味着算法选型空间被大幅收窄，过去"多押几个方案等标准落定"的策略，成本开始高于收益。

2.2 三份标准落地，算法选型从开放题变成选择题

三份标准生效带来的直接变化，是把"用哪个算法"从研究议题变成了工程选型议题。密钥封装这一侧，ML-KEM 对应的是基于格的那套方案，密文和公钥尺寸比传统椭圆曲线方案大一个量级；签名这一侧，ML-DSA 和 SLH-DSA 各有取舍，前者签名短、速度快，后者基于哈希结构，安全假设更保守但签名体积大、生成慢。

这组差异落到具体系统上，就变成了很实在的账：一条每天要签发上亿次证书的链路，签名体积从几十字节涨到几千字节，握手报文要分片，MTU 要重算，某些老旧设备的缓冲区直接不够用；一张要存十年的电子凭证，签名体积大一点无所谓，但验证方十年后还得有可用的实现和参数，这才是关键。

抗量子密码算法按数学困难问题分，主流是四类：基于格、基于编码、基于密码杂凑函数、基于多变量，另有基于同源等方向。格类算法是研究和标准化推进最快的一支，格上的最短向量问题、最近向量问题、带错误学习问题目前还没有已知的高效量子求解路径。但"目前没有"和"永远没有"是两回事，白皮书里有一句话写得很克制：抗量子密码算法能够抵抗现有的量子攻击算法，不能保证今后不会出现新的攻击算法。这句话是理解整个迁移工程的底色——迁移不是一次性换锁，是换一套可以持续换锁的机制。

2.3 国内这条线：算法竞赛、行标制定与自主可控

国内在抗量子算法上的动作比很多人以为的要早。2018 年 6 月，全国密码算法设计竞赛启动，42 个团队提交了 79 个算法，分分组密码和公钥密码两条赛道。2019 年 9 月第一轮评选，10 个分组算法和 14 个公钥算法进入第二轮；2019 年 12 月公布获奖名单，Aigis-enc 抗量子公钥加密算法、Aigis-sig 抗量子数字签名算法、LAC.PKE 抗量子公钥加密算法拿到公钥密码算法一等奖。

这条线跟国际标准化路线不完全重合，价值也不在"谁先定标准"，而在于自主实现能力和工程队伍。目前国内已有一批抗量子密码的行业标准在制定过程中，包括基于 NTRU 的密钥封装机制、基于 SM3 的带状态数字签名算法等。对做国产化替代的团队来说，这些行标的推进节奏直接决定了产品路线图的排期——算法实现、密钥管理接口、硬件密码模块的适配，都要等标准文本稳定下来才敢定版。

注意：竞赛获奖算法和行业标准之间不是等号关系。获奖说明算法设计与安全性分析经得起公开评议，标准文本还要过接口定义、参数集、测试向量这一整套工程关。

2.4 标准之外的空白：协议层与产品层没有现成答案

算法标准解决的是"用什么数学"，协议标准解决的是"怎么握手"。这两件事的成熟度差了不止一个身位。白皮书技术篇专门讨论了抗量子 CA、抗量子 TLCP、抗量子 IPSec、抗量子 SSH 四类协议的设计思路，恰恰说明协议层还在方案探索阶段。

国际互联网标准组织那边已有一些成果，比如 XMSS 这类基于哈希的签名方案进了 RFC，欧洲电信标准组织也发布过量子安全算法框架类文件，但这些都属于"框架"和"单点算法"，离"一条完整的抗量子证书链怎么签发、怎么吊销、怎么跨域互认"还有距离。协议层空白带来的直接后果是：即使算法已经标准化，企业也没法直接买一个"抗量子 TLS 网关"就把问题解决了，中间要自己补大量适配和验证的工作。

这一节给从业者的判断是：标准化的确定性已经足够高，高到可以开始做技术选型和方案设计；但标准化的完整度还不足以支撑"照单采购"。现在动手的团队，做的其实是填补标准与产品之间那段空白的事。

3. 技术篇要改哪几层：抗量子 CA、TLCP、IPSec 与 SSH 的改造账

3.1 抗量子 CA：根换了，整条信任链都要重签

公钥基础设施是整个信任体系的锚点，抗量子迁移在这里的难度不在算法本身，在层级结构。一个根证书换成抗量子签名算法，意味着它签发的所有中间证书、终端证书、证书吊销列表、时间戳响应，都必须在新的签名体系下重新生成一遍。存量终端里预置的根证书怎么办，是老设备继续信任旧根、新设备信任新根，还是双根并行一段时间，这是个纯工程问题，没有标准答案。

更麻烦的是证书链的验证性能。抗量子签名的公钥和签名体积普遍更大，一条链上三层证书加吊销信息，验证时的解析、哈希、验签开销都会上升，对高频调用的网关类系统是实打实的压力。白皮书提出抗量子 CA 的设计思路，核心是把 CA 的签名算法、密钥生命周期、证书扩展字段、双证书过渡这几件事一起考虑，而不是单纯替换一个签名函数。

从行业角度看，CA 迁移的真实难点在于"责任边界"。一个企业内部的私有 CA 可以自己拍板换根；一个面向外部大量终端提供服务的公共 CA，换根意味着要推动所有依赖方升级信任库，这件事的时间尺度是以年计的。所以做规划时，先把"谁依赖我、我依赖谁"这张图画清楚，比先选算法更有价值。

3.2 TLCP 与 IPsec：握手阶段的密钥封装替换最棘手

传输层协议的抗量子改造，技术路径相对清晰：在握手阶段引入抗量子密钥封装，把会话密钥的协商过程换成抗量子安全的版本，签名算法同步替换。清晰不等于简单，几个点会反复折腾。

一是报文尺寸。抗量子密钥封装的公钥和密文动辄上千字节，握手报文很容易超过单个网络包的上限，触发分片。分片在理想网络里不是问题，在存在中间设备、丢包、重传的真实网络里，握手失败率会上升。工程上的处理方式包括调整最大传输单元、启用握手报文的分段扩展、在服务端预留更大的缓冲区。

二是性能。抗量子算法的运算开销和传统椭圆曲线不在一个量级，密钥生成、封装、解封装每一步都要重新做性能基线。对新建连接率高的系统（比如短连接为主的 API 网关），握手成本会直接体现在吞吐上；对长连接为主的系统，影响主要落在建链峰值时刻。

三是协议版本兼容。TLCP 这类面向国内场景的协议，本身就有双证书体系，叠加抗量子算法后证书数量和验证路径都会增加，需要重新设计证书选择逻辑。

# 混合过渡的握手协商示意：经典密钥交换 + 抗量子封装并行，双份秘密合并导出会话密钥 def hybrid_key_exchange(client, server): # 第一份：经典椭圆曲线密钥交换，保证与存量设备互通 client_ecdh = client.ecdh_generate() # 曲线参数沿用现行配置 server_ecdh = server.ecdh_exchange(client_ecdh) # 服务端回传经典公钥 # 第二份：抗量子密钥封装，抵抗未来的量子攻击 ciphertext, ss_client = client.kem_encaps(server.kem_public_key) # 封装，得到密文与共享秘密 ss_server = server.kem_decaps(ciphertext) # 解封装 # 两份秘密不一致说明链路上出了问题，直接中止，不导出会话密钥 if ss_client != ss_server: raise ValueError("KEM shared secret mismatch") # 拼接后走密钥派生函数，info 绑定协议版本，防止降级攻击 return kdf(server_ecdh.shared_secret + ss_client, info=b"hybrid-tlcp-v1")

这段示意里几个参数值得说清楚：kem_public_key是服务端长期发布的抗量子公钥，需要提前分发并做有效性校验；ciphertext是每次握手临时生成的密文，不能复用；info是上下文绑定串，把协议版本、算法标识写进去，防止攻击者删掉抗量子那一半、逼对端退回纯经典协商。混合过渡的意义在于，任何一份秘密被攻破，会话密钥仍然安全，代价是握手带宽和计算量翻倍——这个代价在过渡期是可以接受的。

3.3 SSH：最容易被漏掉的运维入口

SSH 在迁移清单里的位置很尴尬：它不像对外业务系统那样受关注，但它几乎连着所有服务器、网络设备、数据库跳板机，是权限最高的一条通道。白皮书把抗量子 SSH 单列一节，说明编写方看到了这个盲区。

SSH 的抗量子改造有几个具体难点。第一是客户端与服务端的版本碎片化严重，很多环境里还跑着多年未升级的旧版本，算法协商列表能不能加上新的密钥交换方法，取决于最老的那台设备。第二是 SSH 密钥往往被写进自动化脚本、配置管理工具、CI 流水线里，换一次密钥类型，要改的地方散落在各处。第三是设备类目标（网络设备、存储、带外管理口）的实现更新周期极长，有些厂商的固件几年才出一个版本。

务实做法是先在运维入口做资产盘点：哪些主机支持自定义密钥交换算法，哪些是黑盒设备只能等厂商，哪些其实可以通过跳板机收敛。把这三类分开，迁移路径就出来了——可改的先改，黑盒的用前置代理做协议转换，收敛掉的直接下线。这套思路和当年从 SSHv1 迁到 SSHv2 的经验类似，血泪经验是别指望一次性全网切换，分批灰度才是常态。

3.4 从算法库到密码机：产品体系的落地链路

算法实现和产品体系是两件事。前者关心的是常数时间实现、侧信道防护、内存占用、随机数质量；后者关心的是这些算法怎么装进密码卡、密码机、云密码服务、终端安全模块里，并且对外提供一致的接口。

白皮书在技术篇里把抗量子密码产品体系单独拿出来讲，说明产业侧的判断是：算法标准落地后，真正的瓶颈会转移到产品化和工程化。抗量子算法的密钥和密文尺寸对硬件资源的要求更高，密码机的存储、密钥管理模块的槽位、固件的内存布局都要重新评估。一些在传统算法下跑得很轻松的低端设备，换算法后可能直接跑不动，这类设备要么换硬件，要么退到"只做验证不做签发"的角色。

对做集成的团队，这里有个容易被忽略的点：抗量子算法不等于只换算法库。密钥管理体系、证书管理体系、密钥备份与恢复流程、双人操作的审计逻辑，都要跟着调整。一套密码基础设施的迁移，算法部分可能只占三成工作量。

4. 常见误判：抗量子迁移中最容易踩的五个坑

4.1 误判一：以为这是"换个算法库"的活

误判点：把抗量子迁移理解成在密码库里加几套算法、改几个配置项，评估工作量时按人周算。

为什么：传统算法迁移（比如从 RSA 换到椭圆曲线）确实有过"改配置就能跑"的经验，很多人把那段记忆直接套过来。但那次迁移的信任体系、证书格式、协议流程基本没变，只是数学换了。抗量子迁移动的是密钥尺寸、签名结构、握手流程、硬件资源，牵一发动全身。

怎么看：把迁移拆成算法层、协议层、证书层、产品层、运维层五层分别估工作量，先做一轮小范围试点把真实成本测出来。白皮书行动篇把"密码应用设计缺乏敏捷性"列为迁移挑战之一，说的就是很多系统在设计时没给密码算法留替换接口，改起来要从架构层动刀。

4.2 误判二：以为量子计算机还远，可以先等等

误判点：看到"足够规模且容错的量子计算机尚未出现"这句话，就判断迁移可以往后放五年十年。

为什么：这句话本身没错，白皮书也明确说无法准确预测量子计算机何时可用。但迁移周期和威胁窗口不是同一个尺度。一个跨区域、跨系统、跨供应链的密码迁移，从评估到全网完成，行业里的经验值是以年计的，涉及长生命周期设备时更久。

怎么看：算一笔时间账——把资产盘点、方案设计、试点验证、分批推广、老旧设备替换这几段加起来，再留出标准演进的缓冲，倒推最晚启动时间。白皮书行动篇的结论是"现在着手行动"，依据不是量子计算机明天就来，而是迁移本身需要的时间比大多数人预估的长。

4.3 误判三：把量子密钥分发和抗量子算法当成二选一

误判点：认为既然有了量子密钥分发，就不需要抗量子密码算法；或者反过来，认为算法标准化了就不必考虑量子密钥分发。

为什么：两者解决的不是同一个问题。量子密钥分发解决的是对称密钥的分发与窃听发现，依赖专用链路和硬件，适合点对点、高价值、可控链路的场景；抗量子密码算法解决的是公钥体系的替换，能跑在现有互联网基础设施上，覆盖签名、认证、密钥交换全流程。

怎么看：按场景分工，而不是按技术路线站队。广域、海量终端、既有网络架构的场景，抗量子算法是唯一可行的规模化方案；专线、机房互联、对窃听发现能力有硬要求的场景，量子密钥分发有它的位置。白皮书的处理方式也是并列介绍两条技术路线，没有做成互斥选择。

4.4 误判四：只盯新数据，忘了存量数据的"先存后解"

误判点：迁移规划只覆盖新产生的数据和新建立的连接，认为历史数据已经落地，风险不大。

为什么：攻击者可以在今天抓取加密流量存下来，等量子计算机可用时再解密。这类风险对长期保密的数据最致命——身份档案、医疗记录、科研数据、合同凭证，保密期动辄十年二十年，恰好落在量子计算能力可能成熟的时间窗内。

怎么看：在信息资产识别阶段就把"保密期限"作为分类维度，保密期长的数据优先纳入迁移范围，必要时对存量数据做一次重新加密。白皮书把信息资产识别与分析、系统量子脆弱性分析放在迁移工程指南的前段，顺序上就是先摸清资产再谈方案。

4.5 误判五：把混合过渡当成纯粹的性能妥协

误判点：认为混合模式是"等标准成熟前的临时凑合"，只要抗量子算法一稳定就该全部切过去。

为什么：混合过渡的价值不只是兼容，它是风险对冲。抗量子算法还在演进，谁也不能保证已标准化的算法不会被新的分析方法削弱；混合模式下，即使抗量子那一半出问题，经典那一半仍然撑住底线。

怎么看：把混合模式当成一个要长期存在的架构形态来设计，接口上支持算法套件的动态协商，运维上能按策略调整混合比例。等哪天真的需要退出经典算法，改配置就行，不用再改一遍架构。

5. 六个应用方案拆开看：金融、通信、电力的迁移路径差在哪

5.1 手机银行与证券交易：签名链路先行

白皮书应用篇给了六个方案，金融占了三个：手机银行系统、证券网上交易系统、证券集中交易系统。这三类的共同点是交易指令的不可否认性要求极高，签名链路是核心，加密链路次之。迁移顺序上，先动签名、后动加密是合理选择——签名出问题影响的是交易有效性认定，加密出问题影响的是传输机密性，前者的合规压力更直接。

手机银行这个场景的特殊性在客户端。移动端的密码能力受限于系统版本、硬件安全模块、应用分发渠道，抗量子算法的实现要么走系统密码框架，要么走应用内置的软件实现，两条路在性能和密钥保护强度上差别不小。存量 App 的覆盖率也是个现实问题，双证书并行、按版本灰度放量，几乎是唯一可行的过渡方式。

从行业角度看，金融场景的迁移节奏受监管要求牵引明显。白皮书给出的方案结构是"现状分析 + 迁移方案"，这个结构本身就说明落地要从存量系统出发，而不是从理想架构出发。先摸清哪些交易链路用了哪种密码算法、密钥在哪托管、证书谁签发，再谈替换。

5.2 移动通信 4A 与 OMC：网元批量改造的节奏问题

移动通信领域的两个方案——4A 系统和 OMC 系统——代表了另一类迁移形态：系统数量多、网元分布广、单点改造价值低但总量大。4A 系统管的是账号、认证、授权、审计，是所有运维人员的入口；OMC 是网元管理系统，管的是基站、核心网设备的配置与监控。

这类系统的迁移难点不在算法，在批量。一个省级网络里的网元数量以万计，每台设备都要更新证书、更新信任链、验证协商是否成功，任何一台出问题都可能影响一片区域的网络管理通道。分批推进、按地域或按设备型号分组、每组做完做一轮回归验证，这套节奏比技术方案本身更重要。

还有一个细节值得留意：网元设备往往是长生命周期产品，采购时确定的密码能力在设备寿命内很难大改。这意味着迁移规划要和设备更新周期对齐——新采购的设备直接要求支持抗量子算法套件，老设备则在退役前用前置代理或网关做协议转换。这个思路和当年从旧版管理协议迁移时用过的办法一致，踏坑最多的地方永远是那些"还能用就先不动"的设备。

5.3 电力监控：长生命周期设备的特殊约束

电力监控系统的特征更极端：设备生命周期以十年计，很多现场设备部署在无人值守环境，升级窗口极其有限，而系统本身对实时性和可靠性的要求又很高。抗量子算法带来的计算开销和报文膨胀，在电力监控这类对时延敏感的场景里必须逐项验证。

白皮书把电力监控列为典型应用，现实意义在于它代表了一批关键信息基础设施场景：不能停机、不能大面积换硬件、不能接受明显的性能下降。这类场景的迁移路径通常是先在生产管理区做，再逐步下沉到控制区；先在新建站点用新算法，再对存量站点做分批改造。

从行业角度看，电力这类场景真正的门槛是验证成本。实验室里跑通的方案，到了现场要考虑电磁环境、网络抖动、设备兼容性，一轮现场验证的周期可能比方案设计还长。所以迁移计划里必须给验证留足时间，不能按纯软件项目的时间尺度排期。

5.4 六个方案背后的同一套方法论

把六个方案横向摆开看，业务形态差别很大，方法论却高度一致：

这张表里最容易被跳过的是第三步和第五步。脆弱性分析往往做成"扫一遍资产清单"，漏掉协议嵌套、第三方组件、嵌入式模块这些隐蔽依赖；敏捷性设计则常被当成"以后再说"的架构优化，等到真要换算法时才发现改不动。白皮书把敏捷性设计写进迁移工程指南，位置放在迁移计划之后、混合过渡之前，这个排序是有讲究的——先有可替换的架构，混合过渡才有地方落。

6. 窗口期判断：2025 到 2030，迁移成本会怎么变

6.1 三个阶段的时间感

从现在往后看，抗量子迁移大致会走出三个阶段。2025 到 2026 年是方案期，标准已经落地，产品在补齐，先行行业做试点，这个阶段动手的团队拿到的最大收益是经验，而不是成本优势。2027 到 2028 年是推广期，行标陆续出台，密码产品完成适配，监管要求开始具体化，迁移从"要不要做"变成"什么时候做完"。2029 年之后是收口期，长生命周期设备和供应链环节成为主要工作量，这时候再启动的项目，成本会明显高于前两个阶段，原因不是技术难度上升，而是可用窗口被压缩，验证和替换只能挤在一起做。

提示：判断自己处在哪个阶段，看两个指标就够了——系统里还有多少设备不支持算法套件动态协商，供应链里有几成供应商能给出抗量子路线图。这两个数不降，说明还在方案期。

6.2 给不同角色的三条建议

做安全架构的人，今年最该做的不是选算法，是把密码资产台账建起来。哪套系统用了哪种算法、密钥在哪、证书谁签、有效期到什么时候，这张表做不出来，后面所有规划都是拍脑袋。

做密码产品的人，重点在工程化能力而不是算法数量。抗量子算法的公开实现不缺，缺的是常数时间、抗侧信道、能在资源受限设备上跑起来的版本，以及配套的密钥管理和证书管理接口。

做业务系统的人，优先改造那些"保密期长、改造成本高"的模块，给密码功能留出可替换的抽象层。这一层的投入在短期看不到收益，但它决定了三年后你是改配置还是改架构。

我自己有过一次教训：早年做一套内部认证系统的算法升级，图省事把算法标识硬编码在十几个模块里，当时觉得反正就这一套算法。两年后要做兼容改造，光是找出所有硬编码点就花了两周。从那以后我每次做密码相关的设计评审，都强制走一遍"算法标识是否可配置、证书链是否可替换、协商列表是否可下发"这三问，问不出来就不让过。抗量子迁移这件事，难的不是算法，是给未来的自己留后路。希望帮到你。

本文还有配套的精品资源，点击获取