量子计算机离“破解你的加密通信”还有多远？美国国家标准与技术研究院（NIST）给出了一张时间表：定稿的路线图要求联邦高价值系统在 2030 年底前换上后量子密钥建立算法，整体迁移目标是 2035 年。
简单讲就是：今天用的 RSA、ECDSA 这类算法，将来会被量子计算机威胁，所以要提前换成抗量子的新算法。这件事和每个上网的人都有关，因为 HTTPS、VPN、证书背后用的都是这些算法。
这份报告说了什么
报告名为《向后量子密码标准过渡》（NIST IR 8547），列出了会被未来量子攻击影响的密码标准，以及对应的抗量子替代方案。NIST 提醒，过去的密码算法迁移往往要 10 到 20 年，留给我们的时间并不宽裕。迁移范围包括软件库、网络协议、硬件安全模块、数字证书，以及依赖它们的各种应用。
NIST 在 2024 年 8 月发布了首批三项后量子标准：
- ML-KEM：用于建立共享密钥。
- ML-DSA 和 SLH-DSA：用于数字签名，验证身份真伪、发现篡改。
时间表一览
| 时间 | 要求 |
|---|---|
| 2030 年 12 月 31 日 | 联邦高价值资产、高影响系统采用后量子密钥建立 |
| 2031 年 12 月 31 日 | 上述系统采用后量子数字签名 |
| 2030 年之后 | NIST 计划弃用易受量子攻击的公钥算法 |
| 2035 年之后 | 在 NIST 标准和指南中不再允许使用这些算法 |
以上联邦截止期来自行政命令 14412 和 OMB 备忘录 M-26-15。受影响的算法包括 RSA、椭圆曲线签名 ECDSA 和 EdDSA，以及传统的 Diffie-Hellman 密钥建立。弃用期间，经过风险评估后仍可继续使用，但这个窗口不会延长前面的联邦截止期。
“先收集，后解密”是什么风险
目前还没有哪台量子计算机能在相关安全级别上破解这些加密。但攻击者可以现在先把加密通信存下来，等量子计算机够强了再解密，这就是“harvest now, decrypt later”。病历、政府机密这类需要长期保密的信息，最该提前考虑。
NIST 把保护互联网通信的 TLS 列为优先迁移对象，推荐 ML-KEM-768 作为默认参数集，在安全余量和性能开销之间取平衡。报告也允许“混合方案”，也就是传统算法加后量子算法一起用：一方出问题，另一方还能顶着，代价是工程更复杂、开销更大，也可能引入新的实现风险。
好消息是，并不是所有算法都要换。NIST 认为 AES 这类经批准的对称算法受已知量子攻击的影响小得多，这次迁移不打算替换它们。
机构和个人该怎么做
- 盘点系统里用到了哪些密码学组件。
- 找出需要长期保密的数据。
- 向技术供应商要迁移计划。
- 不支持后量子密码的系统，优先考虑替换或淘汰。
对个人用户来说，眼下不需要做什么特别操作：保持系统、浏览器和 App 更新，让厂商把新算法随更新推送给你就行。账号安全方面，可以顺手看看《密码安全别踩坑：这 6 个常见错误》。
常见问题（FAQ）
量子计算机现在能破解我的 HTTPS 吗？
按 NIST 的说法，目前没有任何现有量子计算机能在相关安全级别上破解这些保护。担心的是未来。
AES 也要换吗？
NIST 认为 AES 等对称算法受已知量子攻击影响小得多，不在这次替换计划内。
这份路线图对中国大陆用户有约束力吗？
联邦截止期只约束美国联邦系统，但全球软件、浏览器和协议大多会跟进，所以影响会间接传导。
小结
记住三个年份：2030 年起弃用、2031 年签名迁移、2035 年全面禁用。本文信息来自 NIST 公开文件，不构成法律或合规意见。