后量子密码：不等量子计算机来

你今天发出的加密流量，可能已经被存下来了。对方等的不是今天的计算机，是十年后能跑 Shor 的那一台。等它出现再换算法，已经晚了。

谁被威胁，谁只要加长钥匙

Shor 算法 打的是公钥：RSA 靠分解大整数，ECC 靠离散对数，两者都能归约到周期查找，量子机器有多项式算法。对称加密和哈希是另一回事。Grover 算法 只给平方根加速，把 128 比特密钥的暴力搜索从 $2^{128}$ 降到 $2^{64}$ 量级——加长密钥就能补回来。AES-256、SHA-384 这类参数，在量子时代仍然够用。

这条区别很重要：不是「所有密码都会被量子计算机破解」，而是「依赖分解与离散对数的那一类必须换」。对付 Grover 只要把钥匙加长，代价是性能，不是安全模型的崩塌。

换数学，不换机器

后量子密码 是能在量子攻击下存活的经典算法，跑在你现在的服务器上。主流方向有三类：格上的问题（ML-KEM、ML-DSA）、哈希（SLH-DSA）、编码与多变量。

NIST 在 2024 年定下首批标准：FIPS 203 是 ML-KEM，做密钥封装；FIPS 204 是 ML-DSA，做数字签名；FIPS 205 是 SLH-DSA，用哈希做无状态签名。三个各管一段，不能互相替代。

紧迫性来自「先存后解」：今天录下的密文，等机器成熟再解。真正难的不是选算法，而是迁移——证书、协议、固件都要改，还要留混合部署的过渡期，这些留给下一节。

这和 量子密钥分发 不是一回事：QKD 要专用硬件与链路，PQC 只需要改代码。两者都不是无条件保证。