后量子互联网的现状
内容提要
量子计算机的崛起引发了对后量子密码学的关注。目前，TLS 1.3连接中约有2%采用了后量子密码学，预计到2024年底将有两位数的采用率。苹果已宣布将在2024年底之前使用后量子密码学保护iMessage，Signal聊天已经采用了后量子密码学。量子计算机对当前常用的密钥加密算法具有破解能力，因此需要迁移到后量子密码学。预计到2037年，可能会出现具有密码学意义的量子计算机。美国国家安全局计划在2033年之前完成迁移，并从2025年开始优先选择支持后量子密码学的供应商。对于不同类型的密码学，后量子迁移的困难、影响和紧迫性有很大差异。对于大多数组织来说，后量子迁移将涉及两个方面：密钥协商和签名/证书。对称密码学已经是后量子安全的，而密钥协商和签名/证书需要进行后量子迁移。目前，后量子密钥协商相对容易部署，但后量子签名/证书的迁移更加困难，需要更多时间。
延伸解读
后量子迁移的紧迫性与时间线
文章指出，量子计算机可能到2037年具备破解RSA-2048的能力，而美国国家安全局计划在2033年前完成迁移，并从2025年开始优先选择后量子就绪的供应商。这意味着组织应尽早规划，因为加密流量可能被现在收集、未来解密。汽车行业因车辆寿命长而特别关注迁移。
密钥协商与签名迁移的差异
后量子迁移分为密钥协商和签名/证书两部分。密钥协商相对容易部署，因为ML-KEM可以独立启用，且性能优于X25519。但签名迁移更困难，因为后量子签名尺寸大，且证书颁发机构需要时间支持。预计到2026年，可能所有流量都受后量子密钥协商保护，但还没有公共后量子证书。
后量子签名算法的选择与挑战
NIST标准化的签名算法中，ML-DSA是默认选择，但签名尺寸较大；SLH-DSA安全性最保守但性能最差；FN-DSA尺寸较小但实现困难，需要安全的浮点运算。此外，签名迁移涉及多个签名（如证书链、SCT、OCSP），增加了复杂性和数据量。组织需根据使用场景（在线/离线、公钥是否包含）选择合适的方案。
协议僵化与部署经验
从TLS 1.3的迁移经验看，协议僵化是主要障碍，中间件可能假设ClientHello不超过一个数据包。Cloudflare测试显示，快速部署后量子密钥协商时，0.34%的连接会失败，主要因服务器未正确实现HelloRetryRequest。因此，部署需谨慎测试，并可能采用混合密钥协商（如X25519+ML-KEM）以兼顾安全与兼容性。
Q&A
目前后量子密码学在互联网上的采用情况如何？
目前约2%的TLS 1.3连接使用了后量子密码学，预计到2024年底将达到两位数的采用率。苹果计划在2024年底前用后量子密码学保护iMessage，Signal聊天已采用。
为什么我们需要迁移到后量子密码学？
因为量子计算机能够破解当前常用的密钥加密算法，如RSA和ECDSA。虽然量子计算机目前还不够强大，但加密流量可能被现在收集、未来解密，因此需要迁移到能抵抗量子攻击的后量子密码学。
后量子迁移涉及哪两个方面？哪个更困难？
后量子迁移涉及密钥协商和签名/证书两个方面。对称密码学已经是后量子安全的，密钥协商相对容易部署，但签名/证书的迁移更加困难，需要更多时间。
美国国家安全局（NSA）对后量子迁移有什么时间计划？
NSA计划在2033年之前完成迁移，并从2025年开始优先选择支持后量子密码学的供应商。美国政府整体目标是在2035年前完成。
后量子密钥协商和签名/证书在部署上有什么不同？
后量子密钥协商相对容易部署，通常只需软件更新TLS库即可。而后量子签名/证书的迁移更困难，需要安装两个证书（一个后量子，一个传统），且CA需要时间支持，预计2026年前不会有CA签发后量子证书。
NIST后量子密码学标准化进程如何？
NIST在2016年启动后量子密码学竞赛，2022年选出四种算法进行标准化：ML-KEM（密钥封装）、ML-DSA、SLH-DSA和FN-DSA（签名）。前三者的最终标准预计2024年中期发布，FN-DSA因实现困难而延迟。
