迁移到 PQC：混合方案

从经典密码学迁移到后量子密码学，是密码学史上规模最大的迁移工程——比 2048 位 RSA 升级或弃用 SHA-1 更复杂。它要求同时更新协议、库、HSM、证书和代码。

混合 KEM = 经典 KEM + PQC KEM。共享密钥 = KDF(classical_secret || pqc_secret)。安全性要求同时破解两者。量子攻击者可以破解 ECDH，但无法破解 Kyber；经典攻击者无法破解任一者。在迁移期间，这种方案可以提供纵深防御。

Google Chrome 和 Cloudflare 于 2023 年在 TLS 1.3 中部署了 X25519Kyber768（组合 ECDH X25519 和 Kyber-768）。IETF 草案 draft-ietf-tls-hybrid-design 定义了其封装格式。双方会在现有 TLS ClientHello 扩展中协商组合后的密钥共享。

X.509 证书目前使用 RSA 或 ECDSA 公钥。迁移路径为：(1) 签发双算法证书（经典算法 + PQC）；(2) 中间 CA 使用 PQC 密钥；(3) 根 CA 最后迁移。CA/浏览器论坛正在制定 PQC 证书配置文件。

许多 HSM 无法通过固件更新来支持 PQC 算法。硬件更新周期为 5—10 年。各组织必须审查 HSM 固件路线图，规划硬件更换，并在迁移期间考虑为旧 HSM 使用基于软件的 PQC 桥接方案。

第 1 步：进行密码资产清点。需要识别：每个 RSA/ECC 密钥和证书、每次 DH 密钥交换以及每个协议版本。可使用的工具包括密码套件扫描器、证书清单工具，以及针对密码调用的静态代码分析工具。记录所有资产的生命周期。

最高紧迫性：长期留存数据（机密数据、医疗记录）——当前容易受到“先窃取、后解密”攻击。其次：协议中的密钥交换（TLS、SSH、VPN）——应首先使用混合 KEM 进行迁移。最低紧迫性：短期数据上的签名（会话令牌）。

Python：使用带有 liboqs 后端的 pyca/cryptography 实现 ML-KEM。Java：使用 BouncyCastle PQC 模块。Rust：使用 pqcrypto crate。替换：rsa.generate_private_key() → ML-KEM keygen；ecdh_key_agreement() → ML-KEM encap/decap。通过加密敏捷层进行抽象。

加密敏捷性：设计系统，使其无需修改代码即可替换算法。使用算法标识符字段、密钥类型注册表和可插拔后端。避免在序列化格式中将算法名称硬编码。这促成了 SHA-1→SHA-256 的迁移，也将支持 RSA→PQC 的迁移。

使用来自 NIST PQC 参考实现的已知答案测试向量进行测试。使用 OQS-OpenSSL 互操作性测试套件进行验证。使用 oqs-provider 为 OpenSSL 测试混合 TLS。持续关注 NIST FIPS 203/204/205/206 勘误页面，了解实现指导的更新。

NIST/NSA 的建议：(1) 立即停止部署新的 RSA/ECC 系统。(2) 在 2025—2026 年前，在 TLS 和 VPN 中部署混合密钥交换。(3) 在 2028—2030 年前，将证书迁移到 PQC。(4) 在 2035 年前完成全面迁移（包括 HSM），赶在 CRQC 风险成为现实之前。

为什么今天使用 RSA/ECDH 加密的数据，即使量子计算机尚不存在，也已经面临风险？

PQC 迁移会在过渡期间使用混合 KEM（经典密码学 + PQC）。应优先处理长期留存数据和密钥交换。开展密码学资产清点、更新硬件并落实加密敏捷性。NIST 建议在 2035 年前完成全面迁移。下一节：区块链密码学——默克尔树与 PoW。