一、30秒快速了解：量子安全算法和SSL证书的关系
量子安全算法（Post-Quantum Cryptography，简称PQC）是一类能抵抗量子计算机攻击的加密算法。当前SSL/TLS证书使用的RSA和ECC算法，在量子计算机运行肖尔算法（Shor's Algorithm）时，理论上可在数小时内被破解。PQC算法基于不同的数学难题（如格理论），量子计算机无法高效求解。
对SSL证书的影响体现在两个层面：
| 层面 | 当前状态 | 量子安全目标 |
|---|---|---|
| 密钥交换（保护数据传输机密性） | 已大规模部署混合PQC（ML-KEM + X25519） | 逐步过渡到纯PQC |
| 数字签名（验证证书身份真实性） | 仍使用RSA/ECDSA，无公开信任的PQC证书 | 2026-2027年出现首批PQC证书 |
二、为什么现在就要行动？"先收集，后解密"威胁已经发生
量子计算机还没造出来，但威胁已经开始——这个说法听起来矛盾，但在密码学界已是共识。
什么是"先收集，后解密"（Harvest Now, Decrypt Later）？
攻击者今天录制你的加密通信流量，存储下来，等量子计算机成熟后再批量解密。NIST在迁移指南中明确指出：
哪些数据已经在风险中？
| 数据类型 | 保密期限要求 | 风险等级 |
|---|---|---|
| 医疗记录 | 数十年 | 极高 |
| 金融交易数据 | 7-15年 | 高 |
| 政府机密通信 | 数十年 | 极高 |
| 法律文件（律师-客户特权） | 永久 | 极高 |
| 知识产权/研发数据 | 10-20年 | 高 |
| 普通网页浏览内容 | 低 | 低 |
如果你的网站处理的数据需要在2030年以后仍然保密，那么这些数据在传输时使用的传统加密，已经处于被"录制待解"的风险中。
三、落地时间表：从标准到实操的完整路线图
1 NIST后量子密码标准（已发布）
| 标准编号 | 算法名称 | 前身 | 用途 | 发布时间 |
|---|---|---|---|---|
| FIPS 203 | ML-KEM | CRYSTALS-Kyber | 密钥封装/密钥交换 | 2024年8月 |
| FIPS 204 | ML-DSA | CRYSTALS-Dilithium | 数字签名 | 2024年8月 |
| FIPS 205 | SLH-DSA | SPHINCS+ | 哈希签名（备份方案） | 2024年8月 |
| 待定 | HQC | HQC | 备份KEM（非格基） | 预计2027年 |
| 待定 | FN-DSA | FALCON | 备份签名 | 预计2026年底 |
NIST的态度很明确：ML-KEM、ML-DSA、SLH-DSA"现在就可以且应该投入使用"。不需要等待更多标准出炉。
2 全球PQC迁移时间线
| 时间节点 | 里程碑事件 | 状态 |
|---|---|---|
| 2016年 | NIST启动PQC标准化进程 | 已完成 |
| 2022年 | NIST公布首批入选算法 | 已完成 |
| 2024年8月 | NIST正式发布FIPS 203/204/205 | 已完成 |
| 2024-2025年 | Chrome、Firefox、Safari、Edge默认启用混合PQC密钥交换 | 已完成 |
| 2025年3月 | NIST选定HQC为备份KEM | 已完成 |
| 2025年5月 | GlobalSign日本开始提供PQC测试证书 | 已完成 |
| 2025年12月 | Cloudflare报告68%+流量已受PQC保护 | 已完成 |
| 2026年2月 | Google Chrome引入默克尔树证书（MTCs），压缩PQC证书体积 | 已完成 |
| 2026年上半年 | 微软启动ML-DSA根证书试点项目 | 进行中 |
| 2026年 | DigiCert起草CA/B论坛提案 | 进行中 |
| 2026年底-2027年 | 首批公开信任的PQC SSL证书预计出现 | 预期 |
| 2027年 | IETF完成TLS中PQC标准化 | 预期 |
| 2030年 | NIST开始弃用量子脆弱算法；BSI要求关基完成迁移 | 预期 |
| 2032年 | BSI要求所有组织完成迁移；RSA-2048被视为不再安全 | 预期 |
| 2035年 | NIST完全移除量子脆弱算法；CNSA 2.0全面PQC | 预期 |
3 各国/地区监管要求
| 国家/地区 | 要求 | 截止时间 |
|---|---|---|
| 美国（NIST IR 8547） | 弃用量子脆弱算法 | 2030年开始弃用，2035年完全移除 |
| 美国（CNSA 2.0） | 国家安全系统全面PQC | 2035年（部分场景更早） |
| 美国（EO-14412） | 联邦系统强制支持TLS 1.3 | 2030年1月2日 |
| 德国（BSI） | 关键基础设施完成PQC迁移 | 2030年 |
| 德国（BSI） | 所有组织完成PQC迁移 | 2032年 |
| 英国（NCSC） | 完成PQC迁移 | 2035年 |
| 澳大利亚（ASD） | 消除经典公钥密码 | 2030年（建议） |
四、2026年实际部署现状：数据说话
1 浏览器端：几乎全部就绪
四大主流浏览器已默认启用混合后量子密钥交换：
| 浏览器 | PQC支持 | 默认开启 | 算法 |
|---|---|---|---|
| Chrome 124+ | 是 | 是 | X25519MLKEM768 |
| Firefox 128+ | 是 | 是 | X25519MLKEM768 |
| Safari 18+ | 是 | 是 | X25519MLKEM768 |
| Edge 124+ | 是 | 是 | X25519MLKEM768 |
2 服务器端：严重滞后
| 网站范围 | 支持混合PQC密钥交换的比例 |
|---|---|
| Top 100 网站 | 约40% |
| Top 1,000 网站 | 约25% |
| Top 100万网站 | 约8.6% |
| 企业内部服务 | 不足2%（估算） |
差距一目了然：浏览器已经准备好了，但服务器端——尤其是企业内网和中小型网站——几乎还没开始。
3 CA/证书层面：空白地带
截至目前（2026年8月），证书层面的情况如下：
- 全球没有一张公开信任的后量子SSL证书。当前所有公开信任的SSL/TLS证书仍使用RSA或ECDSA签名。
- 已有的混合PQC保护仅限于密钥交换，不涉及证书本身的签名算法。
- 微软在CA/B论坛华沙会议上宣布启动ML-DSA根证书试点（测试用途，非生产环境）。
- DigiCert正在起草CA/B论坛提案，推动将ML-DSA纳入TLS基线要求。
- Google Chrome推出默克尔树证书（MTCs）方案，将PQC证书数据从2.5KB压缩到64字节，解决证书体积膨胀问题。
五、PQC证书 vs 传统证书：关键差异
| 对比项 | RSA-2048（当前） | ML-DSA-65（未来） | 影响 |
|---|---|---|---|
| 公钥大小 | 256字节 | 约1,952字节 | 增大约7.6倍 |
| 签名大小 | 256字节 | 约3,293字节 | 增大约12.9倍 |
| 安全等级 | 112位（经典） | 128位（抗量子） | 量子安全 |
| TLS握手开销 | 基准 | +约1,600字节 / +80-150微秒 | 可接受（AWS实测） |
| HSM支持 | 成熟 | 部分厂商支持 | 需确认 |
| CA签发能力 | 成熟 | 测试阶段 | 2027年成熟 |
六、47天有效期 × PQC迁移：为什么这两件事是同一件事
SSL证书有效期从398天缩到47天（2029年），和后量子迁移看似是两个独立议题，实际上是同一枚硬币的两面：
短有效期让算法迁移变简单了
47天轮换意味着每张证书在7周内自然更新。当你准备好切换到PQC算法时，不需要做大规模的证书替换行动——只需要在下次自动续期时换算法就行。
自动化是两者的共同前提
没有自动化，47天有效期是灾难。没有自动化，PQC迁移也是灾难。有了自动化，两者都变成了"改个配置"的事。
加密敏捷性是核心
后量子迁移最大的教训：你的系统应该能快速切换加密算法，而不是被锁定在RSA上做不了任何改变。47天有效期倒逼自动化，自动化反过来让PQC迁移变得几乎无感。
一件事决定两件事
做好了47天自动化的企业，PQC迁移几乎是顺手的事；没做自动化的企业，会被47天和PQC两记重拳同时打中。
七、企业行动清单：分阶段实操指南
1. 建立密码学资产清单
盘点你的组织在哪里使用了加密：TLS证书（RSA还是ECDSA？密钥长度？）、代码签名证书、VPN和IPsec配置、SSH密钥、API认证（JWT签名算法）、静态数据加密、HSM和密钥保管库。
2. 确认混合PQC密钥交换状态
如果你的网站使用Cloudflare、AWS、Azure等CDN/云服务，混合PQC密钥交换可能已经默认开启了。找你的CDN/托管服务商确认。
对于自建服务器（NGINX + OpenSSL 3.2+），添加：
ssl_ecdh_curve X25519Kyber768:X25519:P-256;
3. 测试PQC兼容性
关键排查点：防火墙/代理/中间盒是否能处理更大的PQC握手包、负载均衡器是否需要固件更新、应用层TLS实现是否支持ML-KEM。
4. 规划证书算法迁移路径
- 确定哪些证书优先迁移（面向公网、高敏感数据）
- 在测试环境验证PQC证书签发流程
- 确认证书链处理（PQC根CA + 中间CA）
- 确保证书生命周期管理（CLM）平台支持PQC证书类型
5. 与你的CA沟通
问清楚：PQC证书签发时间表、是否支持混合证书（传统签名 + PQC双签名）、PQC证书定价和自动化支持、ACME协议对PQC的扩展支持。
6. 迁移到PQC证书
- 从混合证书开始（最大兼容性）
- 监控PQC相关问题（证书体积、握手性能）
- 在混合方案不再必要时切换到纯PQC
八、GlobalSign在后量子迁移中的定位
GlobalSign在后量子密码领域已经具体行动起来：
| 领域 | 进展 |
|---|---|
| PQC测试证书 | 2025年5月起通过日本团队提供基于ML-DSA/SLH-DSA的测试证书（私有CA层级） |
| CA/B论坛参与 | GlobalSign是CA/B论坛成员，参与PQC相关提案讨论 |
| Atlas平台 | 支持跨CA、跨环境的证书发现和自动化管理，为PQC证书迁移提供基础设施 |
| TLS Connect | ACME自动续期 + 7×24监控，让47天有效期下的PQC算法切换变成配置变更而非项目工程 |
| 加密敏捷性 | 平台设计支持算法级别的快速切换，不被锁定在单一加密体系上 |
面对PQC迁移，GlobalSign能做的三件事：
盘点证书与算法
帮你盘点现在有多少证书、用的什么算法（Atlas Discovery）
自动续期 + PQC切换
让47天 + PQC切换不再是手工活（TLS Connect + ACME）
PQC证书第一时间可用
在PQC证书标准成熟后，第一时间提供签发能力
九、FAQ：常见问题解答
Q：量子计算机什么时候能破解现在的SSL证书？
A：没人能给出确切日期。估计范围在10-30年之间。但"先收集，后解密"威胁意味着，任何今天传输的需要长期保密的数据，已经处于风险中。Google和IBM将"Q-Day"预期从2035年提前至2029年。
Q：我现在需要立刻替换所有SSL证书吗？
A：不需要。现有的RSA/ECC证书在到期前仍然有效。紧迫性在于两个方面：一是确保密钥交换层面已启用混合PQC（很多CDN已默认开启），二是为2027年开始的PQC证书签发做好基础设施准备。
Q：AES-256是量子安全的吗？
A：是的。对称加密算法（如AES）受量子计算影响很小。Grover算法只能将破解时间开方，AES-256在量子环境下仍提供128位安全强度，足够安全。需要替换的是RSA和ECC等非对称算法。
Q：PQC算法性能差吗？会影响网站速度吗？
A：实测数据显示影响极小。AWS测得混合PQC TLS握手仅增加约1,600字节和80-150微秒。Cloudflare测得延迟增加约1-2毫秒。在绝大多数场景下用户完全感知不到。
Q：如果NIST选的算法后来被发现有漏洞怎么办？
A：NIST为此标准化了多个算法。SLH-DSA基于哈希函数，与格基的ML-DSA数学基础完全不同，作为备份存在。此外，NIST还在评估更多备选算法。加密敏捷性——能快速切换算法——比选对单一算法更重要。
Q：小企业也需要关心这个吗？
A：如果你的网站通过Cloudflare、AWS等主流平台托管，混合PQC密钥交换可能已经自动开启了。小企业的首要任务是确保证书自动化续期已经到位——这既是47天有效期的要求，也是未来PQC迁移的前提。
十、倒计时已经开始了
量子安全算法的落地，不是一个"等十年再想"的问题。NIST标准已经发布两年，四大浏览器默认开启混合PQC已经一年，68%以上的HTTPS流量已经受保护——但证书层面仍然是空白。你的数据可能已经被录制、正在等待Q-Day的到来。而应对这一切的基础设施——自动化证书管理——恰恰也是应对47天有效期的那套东西。
做了一件事，等于做了两件事。