后量子密码（PQC）迁移并不是一道等到量子计算机真正造出来才需要回答的题。对企业安全负责人、架构师与合规团队而言，真正的核心判断只有一句话：当敏感数据的保密年限，加上你完成密码体系改造所需的时间，已经逼近甚至超过量子攻击可能到来的时间窗，迁移评估就必须现在启动。驱动这种紧迫感的不是某个确定的时间点，而是一种已经在发生的攻击逻辑——"先截获、后解密"（Harvest Now, Decrypt Later）：攻击者今天就能截获并存储用 RSA、ECC 保护的加密流量，耐心等到算力成熟再回头解密。换句话说，长周期敏感数据的风险在数据被截获的那一刻就已经成立，而不是在解密成功那一刻。
对企业来说，与其纠结"量子威胁哪年到来"，不如把这件事拆成一个三步可执行的评估框架：先做加密资产盘点，再测算性能开销，最后设计过渡路径。这三步共同回答一个问题——你的企业密码体系里，哪些部分需要先换、换成什么、换的代价有多大。
为什么是现在：从 NIST 标准落地说起
把 PQC 从"未来技术"拉回"当下议题"的关键节点，是 2024 年 8 月 NIST 正式发布的首批后量子密码标准：FIPS 203（ML-KEM，密钥封装）、FIPS 204（ML-DSA，数字签名）、FIPS 205（SLH-DSA，备用签名方案）。标准落地意味着企业迁移终于有了可对标的目标算法，而不再是实验室里的候选方案。
紧接着在 2024 年 11 月，NIST 发布了《过渡到后量子密码学标准》迁移路线图公开草案，给出了明确的时间表：计划在 2030 年前弃用 112 位及以下安全强度的加密算法，并在 2035 年前禁用这些算法，推动政府机构加密系统整体转向后量子加密。NSA 的 CNSA 2.0 时间表更为激进——2025 年国家安全系统启动迁移，2030 年软件与固件签名须使用 CNSA 2.0 算法，2033 年完全淘汰非量子安全算法。
这些时间表之所以值得企业参考，是因为一条经验规律：从算法完成标准化到真正融入信息系统，历史上往往需要 10 至 20 年。原因并不在算法本身，而在于产品开发、采购更替和技术整合的复杂度。这也正是 Mosca 定理的现实含义——组织应在"数据保密年限 + 迁移所需时间"之和超过量子计算机预期出现的时间之前完成过渡。留给准备期的时间，比直觉中要短。
需要说明的是，国内体系同样面临脆弱性评估问题：现行国密算法中，基于椭圆曲线的 SM2 和基于双线性对的 SM9 均可被量子计算机的 Shor 算法破解；SM4、SM3 受影响相对较小，但 SM3 的输出长度在 Grover 算法威胁下等效安全强度减半，仍需关注。中国人民银行已主导立项面向银行业及关键信息基础设施的抗量子密码迁移技术研究，联合清华大学等机构开展工作。这意味着无论企业采用国际标准还是国密体系，盘点工作都绕不开。
第一步：加密资产盘点，先搞清楚"自己有什么"
迁移的第一道门槛不是选算法，而是加密资产盘点——即把企业密码体系里所有依赖公钥密码的环节找出来并建册。很多组织迁移进度滞后，根源就在于根本不清楚自己到底在哪些地方、用什么算法保护了什么数据。
盘点需要覆盖的对象大致包括：
- 传输层加密：对外和内部服务使用的 TLS，依赖 RSA/ECDH 做密钥交换的环节。
- 密钥与证书体系：PKI 根与中间 CA、服务器与客户端证书、代码签名证书，以及它们的签名算法（ECDSA、RSA 等）和有效期。
- 静态数据加密：数据库、备份、归档文件所用的密钥封装机制。
- 身份与认证：VPN、SSH、硬件安全模块（HSM）、固件与软件签名链路。
盘点的意义在于，它直接决定了后续优先级。一个实用的类比是：传统 RSA/ECC 像是一把被广泛复制的钥匙，量子算法相当于一台能根据锁孔反推钥匙的机器；盘点就是先把家里所有用这类钥匙的门找出来，才谈得上换哪把锁。
对照 NIST 标准，盘点结果可以直接映射到替换目标：RSA-2048/4096 与 ECDH/DH 的密钥交换、密钥封装环节替换为 ML-KEM（FIPS 203）；ECDSA、Ed25519 等数字签名替换为 ML-DSA（FIPS 204）；对签名有特殊需求的场景可考虑 SLH-DSA（FIPS 205）作为备用方案。
第二步：性能开销，评估"换了之后要付多少代价"
PQC 并非免费升级。相比传统公钥算法，后量子算法在密钥与密文尺寸、以及握手过程的计算与带宽开销上普遍更重，这是企业必须提前测算的现实成本。
需要重点关注的开销维度包括：
- 密钥与密文尺寸：ML-KEM 等格基算法的公钥、密文显著大于 ECC 对应物，会影响报文体积、存储占用和证书大小。
- 握手性能：TLS 握手中引入 PQC 后，单次连接的计算与传输量上升，对高并发、短连接、低延迟敏感的业务影响更明显。
- 协议与中间设备兼容性：更大的握手报文可能触及某些老旧网络设备或协议实现的长度假设，带来兼容性问题。
- 证书链膨胀：签名算法替换后，证书与证书链体积增加，影响分发与校验效率。
因此，性能评估不能一刀切，而应结合业务类型划分适用场景：对长期保密的归档数据、金融与医疗等敏感记录，开销可以接受，迁移优先；对延迟极度敏感、数据生命周期很短的实时业务，则需要在实测基础上谨慎排期，避免盲目替换带来可用性回退。建议在迁移前，针对关键链路做基准测试，用真实流量而非厂商宣传数据来判断可承受的性能边界。
第三步：过渡路径，混合加密是现阶段的务实选择
直接把全部系统一次性切换到纯 PQC，既有兼容性风险，也缺乏对新算法长期安全性的充分实践验证。目前业界更务实的过渡方案是混合加密（Hybrid）：在密钥交换中同时使用传统算法（如 ECDH）与后量子算法（如 ML-KEM），只有两者都被攻破才会导致密钥泄露。
混合加密的价值在于"双保险"：即便后量子算法未来被发现实现缺陷，传统算法仍提供底线保护；反之，一旦量子攻击成熟，后量子部分继续兜底。这让企业可以在不中断现有业务、不彻底押注单一算法的前提下，先把"先截获后解密"的风险挡在门外——因为今天截获的混合加密流量，未来即便量子算力到位也无法单靠破解传统部分解密。
落到执行上，可按数据敏感度与生命周期排序迁移优先级：
| 优先级 | 典型数据特征 | 适用对象 | 建议动作 |
|---|---|---|---|
| 高 | 保密年限超过 10 年、长期归档、关键基础设施通信 | 金融、医疗、政务、能源 | 优先启动混合加密与资产盘点 |
| 中 | 中等保密期、核心业务凭证与证书体系 | 多数中大型企业 | 完成盘点，制定分阶段切换计划 |
| 低 | 短生命周期、公开或低敏数据 | 一般互联网业务 | 跟随基础设施与协议版本自然升级 |
这一框架的核心逻辑始终回到角度本身：数据越敏感、保密期越长，越应该排在前面，因为它们正是"先截获后解密"最想要的目标。
落到决策：准备期该做什么
对企业而言，当前阶段的目标不是"立刻全量迁移"，而是"进入可控的准备状态"。具体可执行的动作有三个层次：建立加密资产清册并持续更新，形成企业密码体系的"算法可见性"；在关键链路做 PQC 与混合加密的性能基准测试，掌握真实开销；制定按敏感度和生命周期排序的分阶段迁移路线图，并在采购与新系统设计中要求"密码敏捷性"（crypto-agility），即让系统具备在不重构的情况下更换算法的能力。
把这三步做扎实，企业就能在不被时间表绑架、也不被威胁传闻裹挟的前提下，稳步完成从传统密码体系到后量子密码的过渡。
【软盟资讯观察】
从机会与风险看，PQC 迁移对企业既是合规成本，也是一次难得的"密码体系现代化"契机。多数组织的加密资产长期处于黑箱状态，这轮迁移倒逼企业把证书、密钥和算法彻底盘一遍，顺带补齐密码敏捷性这块短板——这部分收益，即便抛开量子威胁本身也成立。真正的风险反而不在算法，而在滞后：当标准、路线图和混合加密方案都已就位时，仍停留在观望的组织，等于默许自己的长周期数据持续暴露在"先截获后解密"之下。
冷思考的一面同样重要。NIST 的 2035、NSA 的 2033 都是政策与政府系统的时间表，企业不必机械照搬，更不该被"量子计算机某年到来"之类未经证实的传闻牵着走。真正该驱动决策的是自己的数据保密年限，而不是外部渲染的恐慌。性能开销、兼容性回退、厂商方案成熟度都需要用实测说话，警惕把迁移包装成营销噱头的做法。务实的姿态是：盘点先行、混合过渡、按需排期——把不确定的威胁，转化为确定的、可分步执行的工程计划。