后量子混合密钥交换
后量子迁移已经开始：主流浏览器与 CDN 在 TLS 1.3 中部署混合密钥交换，把传统椭圆曲线（如 X25519）与 ML-KEM（FIPS 203）并排参与密钥派生。混合方案的逻辑是「任一层未被攻破，会话就仍然安全」，同时保持对不支持新命名组的客户端兼容——它们会自然回退到经典组。这样做的动机是防御先存后解：现在被记录下来的密文，未来可能被量子计算机解开。
基本信息
| 组合方式 | 传统曲线与 ML-KEM 并排参与派生，任一层安全则会话安全 |
|---|---|
| 部署形态 | 浏览器与 CDN 已在 HTTPS 中启用，服务端需支持对应命名组 |
| 兼容性 | 不认识新组的客户端回退到经典组，不影响连通性 |
| 演进状态 | 相关命名组与编码在 IETF 草案与 IANA 注册表中持续更新 |
| 迁移节奏 | 长期工程：先摸底资产，再按混合优先逐步替换 |
典型使用场景
- 长期保密数据的传输通道评估（病历、档案、核心设计资料）
- 行业或合规要求提前支持抗量子算法的项目
- 排查「启用新命名组后握手失败或明显变慢」的设备兼容问题
- 规划密码库升级：确认 OpenSSL 与系统包版本是否支持 ML-KEM
- 与供应商核对支持的命名组列表，避免方案只在测试环境生效
查看本机能力与协商结果
查看本机能力与协商结果
openssl version # 确认版本是否支持后量子命名组
openssl list -providers # 查看可用 provider
openssl list -tls-groups # 查看本机支持的命名组名称
# 观察握手实际使用的组（需双方都支持才可见）
openssl s_client -connect example.com:443 -servername example.com -msg </dev/null 2>&1 | grep -iE 'x25519|mlkem' | head迁移关注点
| 关注点 | 说明 | 注意事项 |
|---|---|---|
| 资产摸底 | 长期保密数据与受限设备 | 优先处理保密期长于迁移周期的数据 |
| 混合优先 | 传统与后量子算法并用 | 避免单点依赖新算法的实现成熟度 |
| 设备兼容 | 老旧终端可能不支持新组 | 保留经典组作为回退路径 |
| 性能影响 | 握手消息变大 | 关注首包大小与分片问题 |
后量子迁移是多年工程：先摸清资产（哪些数据需要长期保密、哪些设备无法升级），再按混合优先、逐步替换的节奏推进。不要等到经典算法被攻破才开始，那时已经记录在案的密文无法补救。