PQC 是什么
后量子密码（PQC）指能在现有经典计算机上运行、同时抵抗已知量子算法（Shor 破解公钥密码、Grover 削弱对称密码）的方案。NIST 于 2024 年正式发布三项标准：ML-KEM、ML-DSA、SLH-DSA。真正的紧迫性来自先记录后解密：攻击者现在就能存档加密流量，等未来算力成熟再解密，所以长期保密数据需要提前评估迁移，而不是等量子计算机可用才动手。
三项标准速查
| FIPS 203 | ML-KEM，源自 CRYSTALS-Kyber，用于密钥封装 |
|---|---|
| FIPS 204 | ML-DSA，源自 CRYSTALS-Dilithium，用于数字签名 |
| FIPS 205 | SLH-DSA，源自 SPHINCS+，无状态哈希签名 |
| 过渡策略 | 混合模式：经典算法与 PQC 并行协商，兼容性最好 |
| 主要代价 | 公钥与签名体积变大，握手报文随之变长 |
| 推进次序 | 先密钥交换、后签名；长期保密数据优先 |
典型使用场景
- 核查站点是否已启用混合密钥交换，评估浏览器与服务端的支持度差异
- 长期保密数据的存储加密选型：优先部署混合密钥交换以对冲先记录后解密
- 固件与设备签名方案的中长期规划：签名迁移涉及供应链，需要按年排期
- 合规与客户问询答复：对外提供 PQC 迁移路线图与当前支持情况
- 中间设备能力排查：负载均衡、WAF、防火墙对未知算法组的处理需要逐跳验证
生态现状与排查命令
生态现状与排查命令
# 查看本机 OpenSSL 是否已支持 PQC 算法族（注意版本差异）
openssl list -kem-algorithms # 关注 ML-KEM / X25519MLKEM768 是否出现
openssl list -signature-algorithms # 关注 ML-DSA / SLH-DSA
# TLS 1.3 混合组协商测试
openssl s_client -connect example.com:443 -groups X25519MLKEM768 -tls1_3 </dev/null
# 观察握手协商结果：服务端不支持时会退回经典组或直接握手失败迁移关注点
| 关注点 | 变化 | 应对 |
|---|---|---|
| 握手报文体积 | 公钥与密文变大 | 验证 MTU 与分片，检查中间设备上限 |
| 证书链 | 签名与公钥字段变长 | 评估证书体积对 TLS 记录与缓存的影响 |
| 性能 | 算法开销与报文变大的复合影响 | 压测握手耗时与连接建立率 |
| 兼容性 | 旧客户端可能不认识新算法组 | 用混合模式，保留经典组回退路径 |
混合模式的价值在于风险对冲：握手同时协商经典与 PQC 分量，任一被攻破都不至于整体失守，同时兼容性风险最低。这是当前 TLS 生态的主要过渡方式。
迁移的工程量常被低估：报文体型变化会影响分片，证书体积变化会影响 TLS 记录与缓存策略，中间设备对未知算法组的处理能力也只能靠实测确认。
只升级签名、密钥交换仍用传统方案，挡不住先记录后解密；只升级密钥交换、签名仍是 RSA/ECDSA，挡不住伪造。两侧都要排期，不能只做一半。