还记得SSL/TLS证书有效期曾长达三年吗？那已是遥远的往事。过去十年间，证书有效期从数年缩短至数月，如今讨论的焦点已转向仅存47天（不到七周！）的证书。乍听之下这似乎是IT团队的头疼事，但背后蕴含的深意远不止于此。这是关于安全进化、量子准备度，以及为不可预测的未来构建必要敏捷性的故事。
那么，47天的证书有效期与后量子密码学有何关联？其关联远比你想象的要深。
让我们深入探讨证书有效期缩短的重要性，它与量子准备度的关联性，以及为何组织比以往任何时候都更需要拥抱加密敏捷性。
为什么SSL/TLS证书的有效期越来越短？
2025年4月，负责制定SSL/TLS证书基础要求的CA/B论坛投票决定，将证书有效期逐步缩短至2029年的47天。其逻辑很简单：有效期越短，风险越低。若证书或密钥遭泄露，较短的有效期能有效缩小损害范围。
“……过去10到20年间，这始终是整个PKI生态系统面临的核心威胁之一。其本质在于：每当证书因密钥泄露、安全漏洞或合规问题出现异常时，浏览器和CA机构总会面临一个困境——使用该证书的网站无法及时更换证书。” – Arvid Vermote.
历史上，组织机构倾向于使用长期证书，因为它们能减少运维工作量。但长期有效性存在代价：灵活性降低，且一旦出错将面临更大风险。而短期证书（例如有效期为47天的证书）则能推动组织实现证书生命周期的自动化管理。相较于每年手动续期，自动化机制可确保证书更新过程顺畅无阻、持续不断。
进入后量子密码学（PQC）时代
量子计算已酝酿多年，但建造强大量子计算机的竞赛正在加速。 尽管当前的量子计算机尚未攻破RSA算法，专家们一致认为这只是“何时”而非“是否”的问题。一旦大规模量子计算机成为现实，RSA和ECC等传统加密算法将失去安全性。支撑SSL/TLS协议的这些算法，终将无法抵御量子攻击的威胁。
后量子密码学旨在开发足以抵御量子能力的加密方法。但挑战在于：这种迁移不会一蹴而就。当美国国家标准与技术研究院（NIST）最终确定新的后量子密码学标准 并获得全球采用时，所有数字证书和密钥对都将需要更新。这正是密码敏捷性发挥作用之处。
加密敏捷性与47天SSL/TLS证书的作用
加密敏捷性意味着您的系统和流程能够快速适应新的加密标准。若您的组织仍依赖长期有效的证书，迁移至后量子加密技术将面临巨大的实施挑战。试想当量子时钟开始倒计时之际，您需要替换基础设施中每个系统中的所有证书。
证书有效期缩短使敏捷性成为常态。47天有效期的证书让组织习惯了快速自动轮换。当PQC成为必要时，算法切换将从危机事件转变为流畅的常规流程。具备加密敏捷性意味着您已为转型做好准备——鉴于目前尚无抗量子算法，组织必须做好快速切换的准备。
不妨将其视为对基础设施灵活性的锻炼。证书有效期缩短意味着：
- 快速适应: 当算法变更时，您的系统可无停机时间地自动调整。
- 暴露风险降低: 若密钥遭泄露，损害范围将降至最低。
- 迫于形势的自动化: 短暂的生命周期使人工管理成为不可能，迫使现代化进程加速推进。
这关乎自动化，更关乎思维方式。如今采用短期证书的组织，正在为未来所需的运营韧性奠定基础。
PKI演进与量子就绪的宏观视角
这种转变并非孤立发生。CA/B论坛、浏览器供应商以及GlobalSign等证书颁发机构正携手推动PKI技术向后量子时代转型。缩短证书有效期是其中关键一环，旨在为以下变革奠定基础：
- 快速算法转换。
- 持续的安全改进。
- 最终推出量子安全的算法。
量子准备工作不仅在于时机成熟时选择新算法，更在于当下就推进流程变革，以应对潜在的监管要求或安全漏洞。这样当变革来临时，您的组织才不会手忙脚乱。
接下来该做什么？
若尚未着手，请立即探索证书生命周期自动化方案。部署能实现无缝续期的工具，熟悉新兴的后量子密码学标准，并考虑采用融合经典算法与抗量子算法的混合方案。
转向短期证书是思维方式的转变。通过采用47天有效期的证书，贵组织将获得快速自动化证书轮换所需的实践经验和基础设施，在密钥遭泄露时降低风险暴露，并能在适当时机灵活采用后量子密码技术。
从今天起缩短证书有效期，可确保您的系统、流程和团队为公钥基础设施（PKI）的未来做好准备。这关乎将加密敏捷性融入组织基因。
