摘要：2024年8月，NIST正式发布三项后量子密码标准（FIPS 203/204/205），量子安全迁移进入“有标准可依”的实操阶段。2026年，Chrome、Firefox、Safari、Edge四大浏览器已默认启用混合后量子密钥交换，Cloudflare网络上超过68%的HTTPS流量已受PQC保护，微软启动ML-DSA根证书试点——但全球至今没有一张公开信任的后量子SSL证书。量子安全落地，标准有了，基础设施在跑了，但企业的证书策略，还停在原地。
一、30秒快速了解：量子安全算法和SSL证书的关系
量子安全算法（Post-QuantumCryptography, PQC）是一类能抵抗量子计算机攻击的加密算法。当前SSL/TLS证书使用的RSA和ECC算法，在量子计算机运行肖尔算法（Shor’sAlgorithm）时，理论上可在数小时内被破解。PQC算法基于不同的数学难题（如格理论），量子计算机无法高效求解。
对SSL证书的影响体现在两个层面：
| 层面 | 当前状态 | 量子安全目标 |
| 密钥交换（保护数据传输机密性） | 已大规模部署混合PQC（ML-KEM + X25519） | 逐步过渡到纯PQC |
| 数字签名（验证证书身份真实性） | 仍使用RSA/ECDSA，无公开信任的PQC证书 | 2026-2027年出现首批PQC证书 |
关键区别：你今天用Chrome访问Cloudflare代理的网站，密钥交换已经是量子安全的了——但证书本身的签名算法还是传统的。这两件事经常被混为一谈。
二、为什么现在就要行动？“先收集，后解密”威胁已经发生
量子计算机还没造出来，但威胁已经开始——这个说法听起来矛盾，但在密码学界已是共识。
什么是“先收集，后解密”（Harvest Now, Decrypt Later）？
攻击者今天录制你的加密通信流量，存储下来，等量子计算机成熟后再批量解密。NIST在迁移指南中明确指出：
加密数据目前因‘先收集，后解密’威胁而面临风险——对手现在收集加密数据，目标是在量子技术成熟后解密。由于敏感数据通常需要多年保持机密性，现在开始向后量子密码学过渡至关重要。
哪些数据已经在风险中？
| 数据类型 | 保密期限要求 | 风险等级 |
| 医疗记录 | 数十年 | 极高 |
| 金融交易数据 | 7-15年 | 高 |
| 政府机密通信 | 数十年 | 极高 |
| 法律文件（律师-客户特权） | 永久 | 极高 |
| 知识产权/研发数据 | 10-20年 | 高 |
| 普通网页浏览内容 | 低 | 低 |
如果你的网站处理的数据需要在2030年以后仍然保密，那么这些数据在传输时使用的传统加密，已经处于被“录制待解”的风险中。
三、落地时间表：从标准到实操的完整路线图
3.1 NIST后量子密码标准（已发布）
| 标准编号 | 算法名称 | 前身 | 用途 | 发布时间 |
| FIPS 203 | ML-KEM | CRYSTALS-Kyber | 密钥封装/密钥交换 | 2024年8月 |
| FIPS 204 | ML-DSA | CRYSTALS-Dilithium | 数字签名 | 2024年8月 |
| FIPS 205 | SLH-DSA | SPHINCS+ | 哈希签名（备份方案） | 2024年8月 |
| 待定 | HQC | HQC | 备份KEM（非格基） | 预计2027年 |
| 待定 | FN-DSA | FALCON | 备份签名 | 预计2026年底 |
NIST的态度很明确：ML-KEM、ML-DSA、SLH-DSA“现在就可以且应该投入使用”。不需要等待更多标准出炉。
3.2 全球PQC迁移时间线
| 时间节点 | 里程碑事件 | 状态 |
| 2016年 | NIST启动PQC标准化进程 | 已完成 |
| 2022年 | NIST公布首批入选算法 | 已完成 |
| 2024年8月 | NIST正式发布FIPS 203/204/205 | 已完成 |
| 2024-2025年 | Chrome、Firefox、Safari、Edge默认启用混合PQC密钥交换 | 已完成 |
| 2025年3月 | NIST选定HQC为备份KEM | 已完成 |
| 2025年5月 | GlobalSign日本开始提供PQC测试证书 | 已完成 |
| 2025年12月 | Cloudflare报告68%+流量已受PQC保护 | 已完成 |
| 2026年2月 | Google Chrome引入默克尔树证书（MTCs），压缩PQC证书体积 | 已完成 |
| 2026年上半年 | 微软启动ML-DSA根证书试点项目 | 进行中 |
| 2026年 | DigiCert起草CA/B论坛提案 | 进行中 |
| 2026年底-2027年 | 首批公开信任的PQC SSL证书预计出现 | 预期 |
| 2027年 | IETF完成TLS中PQC标准化 | 预期 |
| 2030年 | NIST开始弃用量子脆弱算法；BSI要求关基完成迁移 | 预期 |
| 2032年 | BSI要求所有组织完成迁移；RSA-2048被视为不再安全 | 预期 |
| 2035年 | NIST完全移除量子脆弱算法；CNSA 2.0全面PQC | 预期 |
3.3 各国/地区监管要求
| 国家/地区 | 要求 | 截止时间 |
| 美国（NIST IR 8547） | 弃用量子脆弱算法 | 2030年开始弃用，2035年完全移除 |
| 美国（CNSA 2.0） | 国家安全系统全面PQC | 2035年（部分场景更早） |
| 美国（EO-14412） | 联邦系统强制支持TLS 1.3 | 2030年1月2日 |
| 德国（BSI） | 关键基础设施完成PQC迁移 | 2030年 |
| 德国（BSI） | 所有组织完成PQC迁移 | 2032年 |
| 英国（NCSC） | 完成PQC迁移 | 2035年 |
| 澳大利亚（ASD） | 消除经典公钥密码 | 2030年（建议） |
四、2026年实际部署现状：数据说话
4.1 浏览器端：几乎全部就绪
四大主流浏览器已默认启用混合后量子密钥交换：
| 浏览器 | PQC支持 | 默认开启 | 算法 |
| Chrome 124+ | 是 | 是 | X25519MLKEM768 |
| Firefox 128+ | 是 | 是 | X25519MLKEM768 |
| Safari 18+ | 是 | 是 | X25519MLKEM768 |
| Edge 124+ | 是 | 是 | X25519MLKEM768 |
你现在的浏览器，大概率已经在用后量子密钥交换了——只是你没注意到。可以访问 pq.cloudflareresearch.com 确认。
4.2 服务器端：严重滞后
| 网站范围 | 支持混合PQC密钥交换的比例 |
| Top 100 网站 | 约40% |
| Top 1,000 网站 | 约25% |
| Top 100万网站 | 约8.6% |
| 企业内部服务 | 不足2%（估算） |
差距一目了然：浏览器已经准备好了，但服务器端——尤其是企业内网和中小型网站——几乎还没开始。
4.3 CA/证书层面：空白地带
截至目前（2026年8月）：
• 全球没有一张公开信任的后量子SSL证书。当前所有公开信任的SSL/TLS证书仍使用RSA或ECDSA签名。
• 已有的混合PQC保护仅限于密钥交换，不涉及证书本身的签名算法。
• 微软在CA/B论坛华沙会议上宣布启动ML-DSA根证书试点（测试用途，非生产环境）。
• DigiCert正在起草CA/B论坛提案，推动将ML-DSA纳入TLS基线要求。
• Google Chrome推出默克尔树证书（MTCs）方案，将PQC证书数据从2.5KB压缩到64字节，解决证书体积膨胀问题。
• GlobalSign日本已于2025年5月开始提供PQC测试证书（基于ML-DSA/SLH-DSA，私有CA层级）。
预期时间线：2026年底至2027年出现首批公开信任的PQC证书，2027-2028年逐步扩大可用性，但要得到所有浏览器广泛信任，最早也要2027年以后。
五、PQC证书 vs 传统证书：关键差异
| 对比项 | RSA-2048（当前） | ML-DSA-65（未来） | 影响 |
| 公钥大小 | 256字节 | 约1,952字节 | 增大约7.6倍 |
| 签名大小 | 256字节 | 约3,293字节 | 增大约12.9倍 |
| 安全等级 | 112位（经典） | 128位（抗量子） | 量子安全 |
| TLS握手开销 | 基准 | +约1,600字节 / +80-150微秒 | 可接受（AWS实测） |
| HSM支持 | 成熟 | 部分厂商支持 | 需确认 |
| CA签发能力 | 成熟 | 测试阶段 | 2027年成熟 |
性能影响结论：AWS和Cloudflare的实测数据显示，混合PQC TLS握手仅增加约1-2毫秒延迟和约1,600字节数据量，在绝大多数场景下用户感知不到差异。性能不是拖延的理由。
六、47天有效期 × PQC迁移：为什么这两件事是同一件事
SSL证书有效期从398天缩到47天（2029年），和后量子迁移看似是两个独立议题，实际上是同一枚硬币的两面：
1. 短有效期让算法迁移变简单了
47天轮换意味着每张证书在7周内自然更新。当你准备好切换到PQC算法时，不需要做大规模的证书替换行动${HD}${HD}只需要在下次自动续期时换算法就行。
2. 自动化是两者的共同前提
• 没有自动化，47天有效期是灾难
• 没有自动化，PQC迁移也是灾难
• 有了自动化，两者都变成了“改个配置”的事
3. 加密敏捷性（CryptoAgility）是核心
后量子迁移最大的教训：你的系统应该能快速切换加密算法，而不是被锁定在RSA上做不了任何改变。47天有效期倒逼自动化，自动化反过来让PQC迁移变得几乎无感。
一句话：做好了47天自动化的企业，PQC迁移几乎是顺手的事；没做自动化的企业，会被47天和PQC两记重拳同时打中。
七、企业行动清单：分阶段实操指南
第一阶段：现在就做（2026年）
1. 建立密码学资产清单
盘点你的组织在哪里使用了加密：
• TLS证书（RSA还是ECDSA？密钥长度？）
• 代码签名证书
• VPN和IPsec配置
• SSH密钥
• API认证（JWT签名算法）
• 静态数据加密
• HSM和密钥保管库
2. 确认混合PQC密钥交换状态
如果你的网站使用Cloudflare、AWS、Azure等CDN/云服务，混合PQC密钥交换可能已经默认开启了。找你的CDN/托管服务商确认。
对于自建服务器（NGINX+ OpenSSL 3.2+）：
ssl_ecdh_curveX25519Kyber768:X25519:P-256;
3. 测试PQC兼容性
关键排查点：
• 防火墙/代理/中间盒是否能处理更大的PQC握手包
• 负载均衡器是否需要固件更新
• 应用层TLS实现是否支持ML-KEM
第二阶段：近期行动（2026-2027年）
4. 规划证书算法迁移路径
• 确定哪些证书优先迁移（面向公网、高敏感数据）
• 在测试环境验证PQC证书签发流程
• 确认证书链处理（PQC根CA+ 中间CA）
• 确保证书生命周期管理（CLM）平台支持PQC证书类型
5. 与你的CA沟通
问清楚：
• PQC证书签发时间表
• 是否支持混合证书（传统签名 + PQC双签名）
• PQC证书定价和自动化支持
• ACME协议对PQC的扩展支持
第三阶段：中期行动（2027-2030年）
6. 迁移到PQC证书
• 从混合证书开始（最大兼容性）
• 监控PQC相关问题（证书体积、握手性能）
• 在混合方案不再必要时切换到纯PQC
八、GlobalSign在后量子迁移中的定位
GlobalSign在后量子密码领域已经具体行动起来：
| 领域 | 进展 |
| PQC测试证书 | 2025年5月起通过日本团队提供基于ML-DSA/SLH-DSA的测试证书（私有CA层级） |
| CA/B论坛参与 | GlobalSign是CA/B论坛成员，参与PQC相关提案讨论 |
| Atlas平台 | 支持跨CA、跨环境的证书发现和自动化管理，为PQC证书迁移提供基础设施 |
| TLS Connect | ACME自动续期 + 7×24监控，让47天有效期下的PQC算法切换变成配置变更而非项目工程 |
| 加密敏捷性 | 平台设计支持算法级别的快速切换，不被锁定在单一加密体系上 |
面对PQC迁移，GlobalSign能做的三件事：
1. 帮你盘点现在有多少证书、用的什么算法（AtlasDiscovery）
2. 帮你实现自动续期，让47天 + PQC切换不再是手工活（TLS Connect + ACME）
3. 在PQC证书标准成熟后，第一时间提供签发能力
九、FAQ：常见问题解答
Q：量子计算机什么时候能破解现在的SSL证书？
A：没人能给出确切日期。估计范围在10-30年之间。但“先收集，后解密”威胁意味着，任何今天传输的需要长期保密的数据，已经处于风险中。Google和IBM将“Q-Day”预期从2035年提前至2029年。
Q：我现在需要立刻替换所有SSL证书吗？
A：不需要。现有的RSA/ECC证书在到期前仍然有效。紧迫性在于两个方面：一是确保密钥交换层面已启用混合PQC（很多CDN已默认开启），二是为2027年开始的PQC证书签发做好基础设施准备。
Q：AES-256是量子安全的吗？
A：是的。对称加密算法（如AES）受量子计算影响很小。Grover算法只能将破解时间开方，AES-256在量子环境下仍提供128位安全强度，足够安全。需要替换的是RSA和ECC等非对称算法。
Q：PQC算法性能差吗？会影响网站速度吗？
A：实测数据显示影响极小。AWS测得混合PQC TLS握手仅增加约1,600字节和80-150微秒。Cloudflare测得延迟增加约1-2毫秒。在绝大多数场景下用户完全感知不到。
Q：如果NIST选的算法后来被发现有漏洞怎么办？
A：NIST为此标准化了多个算法。SLH-DSA基于哈希函数，与格基的ML-DSA数学基础完全不同，作为备份存在。此外，NIST还在评估更多备选算法。加密敏捷性——能快速切换算法——比选对单一算法更重要。
Q：小企业也需要关心这个吗？
A：如果你的网站通过Cloudflare、AWS等主流平台托管，混合PQC密钥交换可能已经自动开启了。小企业的首要任务是确保证书自动化续期已经到位——这既是47天有效期的要求，也是未来PQC迁移的前提。
Q：GlobalSign现在能发PQC证书吗？
A：GlobalSign日本团队自2025年5月起提供基于ML-DSA/SLH-DSA的PQC测试证书（私有CA层级，非公开信任）。公开信任的PQC证书需要等CA/B论坛完成标准制定，预计2027年起逐步可用。
十、倒计时已经开始了
量子安全算法落地这件事，标准已经发布，浏览器已经支持，云巨头已经部署，测试证书已经签发——但大多数企业的证书策略还停在“等量子计算机造出来再说”的阶段。
时间线是锁死的：
• 2030年：NIST开始弃用量子脆弱算法，德国要求关键基础设施完成迁移
• 2032年：德国要求所有组织完成迁移
• 2035年：NIST完全移除量子脆弱算法，美国国家安全系统必须全面PQC
一项针对德国企业的调研显示，只有不到5%的组织有正式的PQC迁移计划。而大型组织的迁移周期需要12-15年。如果你想2035年ready，2026年就得动起来。
“不要等到Q-Day才行动。那时候你的加密流量已经被别人存了好多年了。”