迁移到后量子密码：难的是存量系统

安全团队接到任务：把全站的 RSA 换成后量子算法。评估报告第一页写着「算法替换很快」，第二页列着几十个系统、几类证书、两种固件。真正的工期在第二页。

难的不是算法

算法本身是现成的：NIST 在 2024 年发布了 FIPS 203/204/205，主流库也都有实现。难的是找出密码学藏在哪儿。证书链、TLS 握手、代码签名、VPN、硬件安全模块、智能卡、固件更新，每一处都可能硬编码了算法或密钥长度。

密码敏捷性指的是把这些选择做成可替换的接口，而不是散落在代码里的常量。没有它，每次换算法都是一次考古。

过渡期通常用混合模式：经典算法与 后量子密码 并排跑，两套密钥、两套签名，只要其中一套还安全，连接就安全。代价是握手包变大、证书变大，某些老设备会因为分片或缓冲区不够而出问题。这要在实验室里先测，而不是上线后才发现。

时间表由数据寿命决定

「先存后解」把时间压力提前了：对手今天录下的密文，可以等机器成熟再解。是否现在动手，可以用一个简单的比较：

$X$ 是数据需要保密多少年，$Y$ 是完成迁移要多少年，$Z$ 是量子计算机可能到来的时间。左边大于右边，今天就得开始。

没有人能给出可信的 $Z$，所以这句话的重点不是预测年份，而是：只要 $X$ 和 $Y$ 都不小，等待就不划算。

物联网是难中之难。一个装在墙里的传感器可能要用十几年，算力和内存都不够跑 PQC，固件也不一定能远程升级。对这类设备，正确的做法是在采购时就把算法写进合同与生命周期计划，而不是等它坏了再想办法。