量子计算对加密的风险：时间线、迁移、准备

量子计算对加密的风险：时间线、迁移、准备本文档提供：暴露判定表（含Mosca不等式）；时间线锚点对照表；迁移四步序列表（盘点、分类、排序、混合部署）；密码资产盘点字段表；迁移优先级排序表；混合部署验收表；供应商PQC条款检查表；七处迁移卡点排查表；决策规则表；完整示例与变量表；三套场景操作表。2026-11-09表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、先算一个不等式：数据要保密多久、迁移要多久、量子计算机还有多久暴露判定表；Mosca不等式计算模板判定哪些数据当前已处于暴露窗口二、时间线有三个锚点：2030密钥建立、2031签名、2035禁用时间线锚点对照表；中国侧标准与试点锚点把外部期限映射到内部排期三、迁移从盘点开始：不知道哪里用了RSA/ECC，后面的动作全部落空密码资产盘点字段表；可用扫描工具清单产出第一版CBOM（密码物料清单）四、盘点之后分类：哪些算法脆弱、哪些数据先迁移、哪些系统最后动算法脆弱性分类表；数据保密期对照把资产按量子风险和业务影响分档五、排序落在“先迁哪一批”上：用两个数定优先级迁移优先级排序表；评分与阈值排出可执行的迁移批次六、混合部署是当前可落地的过渡方案：国密/PQC双轨怎么验混合部署验收表；验收判定项在标准真空期完成可验证的迁移七、供应商和合同卡住迁移：PQC条款查四件事供应商PQC条款检查表；合同补录动作把外部依赖纳入迁移排期八、迁移卡住，从这七处查：没清单、没负责人、没预算、供应商不动七处迁移卡点排查表；换哪条路定位迁移链条的断点九、时间线、迁移范围、预算撞在一起先动哪个决策规则表；矛盾四段裁决暴露窗口与资源约束的冲突十、一家银行远程银行渠道的PQC迁移：从扫描到混合部署验收转折记录表；变量表复现迁移执行的全过程十一、对外报送、内部立项、个人了解三套做法砍掉哪些项三套场景操作表；检查项增减按使用目的裁剪迁移准备范围十二、来源层级和核对状态登记在哪张表来源说明表；核对路径登记来源层级与核对状态按第一列在正文找对应那节，按第二列判断该节有没有所需内容，按第三列判断该节是否对应当前卡住的位置。一、先算一个不等式：数据要保密多久、迁移要多久、量子计算机还有多久拿一张纸，写三个数。第一个数，你手上哪类数据需要保密多少年（X）。第二个数，把这类数据背后的密码系统迁移到抗量子算法需要多少年（Y）。第三个数，密码分析级量子计算机（CRQC）还有多少年可能出现（Z）。X+Y大于Z，该类数据当前已经在暴露窗口内，因为攻击者可以现在截获密文，等量子计算机成熟后解密，即“先窃取、后解密”（HNDL）。Mosca不等式不告诉你量子计算机哪天到，它告诉你暴露是否已经发生。多个专家调查的中位数显示，CRQC出现的时间预期在2030年代早期，且预期在持续前移。部分专家认为未来五到十年内可能出现。这些数字用于暴露判定时，取保守值：Z取偏早的估计，不取偏晚的估计。表2暴露判定表数据类别保密期X（年）迁移耗时Y（年）CRQC估计Z（年）X+Y与Z比较暴露判定示例客户身份与交易记录104714＞7已暴露远程银行渠道TLS流量研发设计图纸155820＞8已暴露制造业CAD文件传输会话令牌（短期）0.1272.1＜7窗口内可完成短生命周期会话密钥归档合同（法定保存）305835＞8已暴露且优先级最高金融合同长期归档公开宣传材料0171＜7暂不构成暴露可延后处理输入：取数据分类清单中的“法定或业务保密期”，取迁移团队估算的“该类系统迁移耗时”，取外部时间线锚点作为Z的保守值。动作：按表2第5列做加法比较。输出：暴露判定一行，填“已暴露”或“窗口内可完成”。判定：判定为“已暴露”的数据类别，必须进入表5迁移优先级排序的前两批；Z的取值必须写明来源（专家调查中位数或监管锚点），不写具体数字的判定不成立。二、时间线有三个锚点：2030密钥建立、2031签名、2035禁用外部时间线落在三个硬锚点上。美国联邦高价值资产与高影响系统的密钥建立环节须在2030年12月31日前完成PQC迁移，数字签名环节须在2031年12月31日前完成，更广泛IT生态中的量子脆弱公钥算法在2030年后被弃用（deprecated），2035年12月31日后不再被NIST标准与指南允许（disallowed）。NSACNSA2.0对国家安全系统设定了2030年的PQC要求。中国侧的锚点形态不同。银行业首个抗量子计算密码迁移团体标准T/JPSFFB001—2026于2026年4月1日发布并实施，覆盖迁移前、迁移中、迁移后的管理要求。工商银行已完成国际抗量子算法的技术验证与传输加密场景试点，建设银行、中信银行、江苏银行等已完成迁移仿真验证。王小云院士2026年3月的判断是：中国有望未来三年内建立自己的抗量子密码国家标准，未来三到五年可能进入产业迁移爆发期，金融与能源是优先迁移的两个行业。首批国密PQC标准预期在2027年底前发布。表3时间线锚点对照表锚点时间适用对象对内部排期的含义示例NIST密钥建立迁移截止2030-12-31联邦高价值资产；供应链关联机构密钥建立类系统的迁移须在此前完成TLS/密钥交换迁移NIST数字签名迁移截止2031-12-31联邦高价值资产签名类系统（证书、代码签名、文档签名）须在此前完成软件签名、身份认证NIST全面禁用2035-12-31更广泛IT生态RSA/ECC在NIST框架下不再被允许所有依赖RSA/ECC的系统中国银行业团体标准2026-04-01实施银行业金融机构迁移管理已有可参照框架，非强制期限迁移前评估、迁移中管控、迁移后复核中国金融/能源优先迁移期2026—2029（判断窗口）金融、能源行业行业试点和仿真验证阶段，2027年后可能加速银行远程渠道、能源调度系统中国国密PQC标准预期2027年底前（预期）国密体系用户标准发布前以混合部署过渡国密+PQC混合密钥封装输入：取表3的锚点时间和适用对象。动作：把每个锚点映射到本机构对应的系统类别和负责人。输出：时间线映射一行，填外部锚点、内部系统名称、内部截止日。判定：内部截止日早于外部锚点，留出验收和缓冲时间；中国侧标准预期锚点标注“预期”，不作为硬期限使用。三、迁移从盘点开始：不知道哪里用了RSA/ECC，后面的动作全部落空盘点不是翻文档，是扫系统。NCCoE的迁移序列是：发现、评估、排序、迁移。第一步“发现”要求用工具检测并报告量子脆弱密码的存在和使用，细节足以支撑风险分析和修复。盘点的产出是一份密码物料清单（CBOM），列出每个加密组件的位置、算法、用途、数据流向。可用的扫描工具包括QU.I.R.K.（agentless，覆盖TLS端点、SSH、JWTAPI、容器镜像、Git仓库和云密钥管理，输出CycloneDXCBOM和0—100量子就绪评分），以及qryx（开源，密码安全图，CBOM/PQC发现）。静态代码扫描器可检测代码库中的RSA、ECC、DH等算法并生成CBOM。工具解决“扫出来”，资产归属和负责人靠人工补全。表4密码资产盘点字段表字段填什么示例什么算合格不合格形态资产标识系统名、组件名或端点地址远程银行Web网关TLS终结可定位到唯一组件填“核心系统”无具体位置算法当前使用的公钥算法RSA-2048，ECDHEP-256算法名加参数长度填“加密”用途密钥建立、签名、证书、静态加密密钥建立（TLS1.3）用途分类明确填“安全用途”数据流向该加密保护什么数据、流向哪里客户登录凭证与交易指令，公网至DMZ有数据类别和路径填“业务数据”负责人系统负责人姓名和岗位渠道平台组甲姓名可查填“运维团队”迁移难度初判高/中/低，附一句理由高：依赖硬件HSM固件有等级和理由填“待评估”数据保密期该路径数据需保密年数10年有数值填“长期”输入：用扫描工具对目标环境跑一遍，导出CBOM；同时拉取系统清单和网络架构图。动作：按表4逐字段补全，扫描结果中缺失的负责人和数据保密期人工填入。输出：密码资产盘点表一行一组件。判定：算法列有具体算法名和参数，负责人有姓名，数据保密期有数值；三项缺任一，该行标记“盘点未完成”，不进入排序。四、盘点之后分类：哪些算法脆弱、哪些数据先迁移、哪些系统最后动盘点表出来后，按两个维度分类。第一个维度是算法脆弱性：RSA、DH、ECDH、ECDSA、EdDSA在CRQC面前脆弱；AES-128/192/256、SHA-2/SHA-3和Ascon满足NIST的抗量子标准，继续获批。112位遗留对称原语在2030年后被禁用。第二个维度是数据保密期和暴露判定（表2）：保密期越长、表2判定为“已暴露”的，分类优先级越高。表5迁移优先级排序表排序因子取值与评分权重示例算法脆弱性RSA/ECC/DH=3；112位对称=2；AES/SHA=1高RSA-2048记3分暴露判定（表2）已暴露=3；窗口内可完成=1；暂不暴露=0高客户交易记录记3分数据保密期≥10年=3；3—10年=2；＜3年=1中10年记3分系统耦合度依赖硬件/第三方不可控=3；纯软件可替换=1中依赖HSM固件记3分迁移可行性已有PQC试点或混合方案=1；无任何准备=3低无准备记3分计算方式：总分=算法脆弱性评分×3+暴露判定评分×3+数据保密期评分×2+系统耦合度评分×2+迁移可行性评分×1。总分越高，排得越前。排序结果按批次分组：第一批（总分≥22）在下一个预算周期启动；第二批（18—21）在12个月内启动；第三批（14—17）在24个月内启动；第四批（≤13）进入常规替换周期。输入：取表4盘点表和表2暴露判定结果。动作：按表5逐因子评分，加权求和。输出：迁移优先级排序表一行一资产，含总分和批次。判定：每个资产有总分和批次；第一批和第二批的资产数不超过迁移团队年度可承载的工单上限，超出时按总分从高到低截取，截取线书面记录。五、排序落在“先迁哪一批”上：用两个数定优先级排序表给出批次后，每一批内部还需要一个启动顺序。用两个数：暴露窗口的紧迫程度（X+Y−Z，差值越大越紧迫）和迁移工单的依赖关系（有无前置系统必须先完成）。差值大的先启动；差值相近的，前置依赖少的先启动。表6批次内启动顺序判定表资产X+Y−Z（暴露紧迫度）前置依赖数启动顺序理由远程银行TLS14−7=71（依赖HSM固件升级）第二批首项紧迫度高，但依赖HSM排期软件代码签名20−8=120第一批首项紧迫度最高，无前置依赖内部文档传输8−7=10第三批紧迫度低客户身份归档35−8=272（依赖存储和密钥管理）第一批次项紧迫度最高，前置依赖可并行输入：取表2的X+Y−Z差值和表4的依赖关系。动作：按“差值大优先、依赖少优先”排序。输出：批次内启动顺序一行一资产。判定：启动顺序有差值数值和依赖数依据；依赖数大于零的，前置项的完成日期写入迁移计划。六、混合部署是当前可落地的过渡方案：国密/PQC双轨怎么验中国国密PQC标准尚在预期阶段，直接切换到纯PQC缺乏标准依据。可落地的过渡方案是混合部署：传统算法与PQC结合使用，例如在密钥建立中将PQC秘密与经典秘密拼接（Z'=Z∥T），或使用双签名，NIST支持该方案，代价是更多计算资源。国内已有“国密+抗量子密码”混合架构的工程实践，支持传统国密、混合密码、纯抗量子密码三种模式切换。表7混合部署验收表验收项怎么验什么算通过不合格形态示例混合密钥建立抓取TLS握手，确认PQC与经典密钥交换同时参与握手成功且两个算法均有记录只用了经典算法ML-KEM-768+ECDHEP-256混合签名验证验证签名同时包含PQC和经典签名两个签名均可验证通过仅经典签名ML-DSA+ECDSA回退路径断开PQC组件，确认系统降级到经典算法后业务不中断业务连续，降级有日志降级后业务中断回退到ECDHE，告警触发性能开销记录握手延迟和吞吐量变化延迟增加在业务可接受阈值内延迟增加超阈值且无缓解握手延迟+15ms，批准证书链兼容确认混合证书在客户端和中间件中可解析无解析错误客户端拒绝混合证书移动端App解析正常国密合规混合方案是否仍满足商用密码合规要求密评结论为通过或有条件通过混合导致密评不通过密评机构出具通过意见输入：取迁移批次中的试点系统，在测试环境部署混合方案。动作：按表7逐项测试并记录数值。输出：混合部署验收记录一行一验收项。判定：六个验收项全部通过方可进入生产灰度；回退路径和性能开销两项为硬性前置，不通过不进灰度。七、供应商和合同卡住迁移：PQC条款查四件事迁移不只是自己改代码。依赖的软件产品、云服务、HSM固件、证书颁发服务，每一层都需要供应商提供PQC或混合支持。合同里没有对应的条款，迁移排期就无法约束供应商。查四件事：产品路线图是否包含PQC支持时间点、是否支持混合模式、PQC升级是否额外收费、供应商自身是否有迁移计划。表8供应商PQC条款检查表检查项在哪个文件里找什么算合格不合格形态补录或替代动作PQC支持时间点产品路线图或安全公告有明确年份和版本号填“未来支持”无日期要求书面路线图或寻找替代产品混合模式支持产品文档或技术白皮书支持PQC+经典混合仅支持纯PQC或仅经典在迁移计划中增加中间层代理PQC升级收费合同价格条款升级包含在现有维保内或费用明确未提及PQC升级费用合同续约时补价格条款供应商迁移计划供应商问卷或审计回复有内部PQC迁移时间表无回复或填“不适用”将该供应商列入风险清单并评估替换成本输入：取供应商合同、产品路线图和安全问卷回复。动作：按表8四行逐项核对。输出：供应商检查表一行一供应商，不合格项填补录动作。判定：四行中至少PQC支持时间点和混合模式支持两行有合格答案；缺这两项的供应商，其对应资产在表5排序中“系统耦合度”评分上调一档。八、迁移卡住，从这七处查：没清单、没负责人、没预算、供应商不动迁移推进出现停滞时，从表9第一检查点开始。第一检查点打开CBOM或表4盘点表，看“负责人”列。表9七处迁移卡点排查表检查点打开什么看什么什么算合格不合格形态换哪条路盘点覆盖CBOM或表4是否有核心系统的RSA/ECC记录核心系统均有算法和位置只扫了外网，内网未扫扩大扫描范围或人工补录负责人表4负责人列每个资产是否有姓名姓名可查填“团队”或空白指定具名负责人并通知暴露判定表2Z的取值是否有依据写明来源和保守值填“不确定”按外部锚点取保守Z重算排序与预算表5和预算表第一批是否有预算额度有金额和审批状态第一批无预算将暴露最紧迫的资产单列预算申请混合方案表7是否在试点环境验证过有验收记录未做过任何混合测试先在一个非核心系统做混合试点供应商表8关键供应商是否有PQC时间点有日期和版本路线图空白启动替代产品评估或中间层方案回退路径表7回退行降级后业务是否连续有测试记录未测试回退在灰度前补回退测试输入：从第一检查点逐行打开。动作：按“看什么”列比对。输出：排查记录一行一检查点。判定：第一检查点有具体覆盖缺口描述；“换哪条路”列有可执行动作。九、时间线、迁移范围、预算撞在一起先动哪个表2暴露判定显示客户交易记录已暴露，但表5排序中依赖HSM固件的系统排在最前，HSM供应商PQC路线图空白，年度迁移预算只够覆盖第一批的一半。暴露紧迫性、依赖阻塞和预算约束在同一时点冲突，按表10匹配。表10决策规则表编号如果可观察条件则执行动作如果判定失效条件则退路R1某数据类别X+Y＞Z且该路径依赖外部组件无PQC路线图先在该路径前增加应用层混合加密代理，不等待组件升级应用层代理无法部署限制该路径的敏感数据传输量，登记残余暴露R2第一批迁移预算不足以覆盖全部已暴露资产按X+Y−Z差值排序，差值最大的先启动，预算覆盖到截取线截取线以外的资产出现新的暴露证据追加预算或降低该资产的数据保密期（如缩短留存）R3供应商无PQC时间点且该供应商是单一来源启动替代产品评估，同时要求供应商书面路线图作为过渡承诺无替代产品在合同续约中设置PQC里程碑和违约条款R4混合部署验收中回退路径不通过不进入生产灰度，继续修复回退逻辑回退逻辑无法修复暂停该路径的PQC迁移，维持经典算法并登记暴露R5内部截止日早于外部锚点不足6个月将验收和缓冲期压缩，或把部分资产的批次后移后移导致已暴露资产超出窗口对该批资产采用应用层代理先行过渡R6国密PQC标准发布晚于内部迁移计划日期混合方案作为过渡，标准发布后替换PQC组件标准发布进一步延迟混合方案延长使用，登记标准依赖风险矛盾陈述：远程银行渠道TLS路径的客户交易记录在表2中判定为已暴露（X+Y−Z=7）。该路径依赖的HSM固件供应商没有PQC支持时间点，按表8判为不合格，表5中该资产的“系统耦合度”评分为3，排在第一批。年度迁移预算只够覆盖第一批评估工单的60%。暴露要求立即处理，依赖阻塞使直接迁移无法启动，预算不足以覆盖全部已暴露资产。实质分析：三项约束指向不同动作：暴露判定要求该路径优先；依赖评估要求等HSM升级；预算约束要求截取。直接等待HSM会把已暴露路径的迁移推迟到不确定的时间。应用层混合加密代理可以在HSM升级之前，在该路径上先引入PQC密钥交换，降低HNDL截获后的解密风险。权衡规则：按R1在远程银行TLS路径前端部署应用层混合加密代理，不等待HSM；按R2以X+Y−Z差值排序，差值最大的前若干项进入本年预算，截取线以外登记并监控；按R3向HSM供应商索取书面路线图作为过渡承诺，同时启动替代评估。退路：应用层代理部署失败的，按R1退路限制该路径的长期敏感数据传输；HSM路线图在下一个合同周期仍空白的，按R3启动替代。输入：取表2暴露判定、表5排序、表8供应商检查和预算表。动作：按表10匹配。输出：决策记录一行，含规则编号、执行顺序、退路。判定：规则编号对应条件和退路有具体动作，决策记录有日期和负责人。十、一家银行远程银行渠道的PQC迁移：从扫描到混合部署验收某银行渠道平台组负责远程银行Web网关的TLS迁移[示例案例，细节为合理设定]。起点材料系统清单（远程银行Web网关、API网关、移动端接入）、HSM固件合同和版本记录、TLS配置导出、供应商安全问卷回复。分步操作步骤1：用扫描工具跑TLS端点和API，导出CBOM。远程银行网关使用ECDHEP-256密钥交换和RSA-2048签名，API网关使用ECDHEP-384，移动端接入使用RSA-2048。表4填入三个组件，负责人填渠道平台组甲。步骤2：表2暴露判定。客户登录凭证和交易指令保密期10年，迁移耗时估计4年，CRQC保守估计7年，X+Y−Z=7，判定“已暴露”。表5评分：算法脆弱性3×3=9，暴露判定3×3=9，保密期3×2=6，系统耦合度（HSM）3×2=6，迁移可行性3×1=3，总分33，第一批。步骤3：表6批次内排序。HSM升级依赖使远程银行网关的前置依赖数为1，但X+Y−Z=7，紧迫度高；API网关无HSM依赖，紧迫度相近，先启动API网关的混合部署试点。步骤4：表7混合部署验收。在API网关测试环境部署ML-KEM-768+ECDHEP-256混合密钥交换。握手成功，PQC和经典算法均有记录；混合签名验证通过；断开PQC后回退到ECDHE，业务连续；握手延迟增加12ms，在业务阈值内；移动端解析混合证书无报错；密评机构初步意见为有条件通过（待生产灰度后复核）。步骤5：表8供应商检查。HSM供应商路线图空白，混合模式支持为“无”，判不合格。按R1在远程银行网关前端部署应用层混合加密代理，先引入PQC密钥交换，等待HSM升级。按R3向供应商索取书面路线图。不顺利环节表11转折记录表转折信号假设试了什么新信息换哪条路第一轮扫描发现远程银行网关依赖HSM固件HSM升级可以短期完成查供应商路线图路线图空白，无PQC支持时间点从等待HSM转为应用层代理先行第二轮API网关混合试点握手延迟+12ms延迟在可接受范围生产灰度小流量测试移动端旧版本客户端解析混合证书失败率3%从全量灰度转为按客户端版本分流，旧版本走经典路径并登记暴露第三轮密评初步意见“有条件通过”混合方案可直接过密评提交生产灰度数据条件要求补充回退演练记录和密钥生命周期说明从等待正式意见转为补录两项材料后复核第四轮应用层代理在远程银行网关部署后性能下降代理层是性能瓶颈查代理配置和加密套件代理默认启用双证书链，开销集中在证书验证从全量启用转为按路径分级，高敏感路径启用混合，低敏感路径暂缓第一轮把HSM从“等待”推到“代理先行”，第二轮把混合部署从“全量”推到“按客户端版本分流”，第三轮把密评从“等待结论”推到“补录材料”，第四轮把代理配置从“默认全开”推到“路径分级”。终点产出API网关混合部署验收通过，回退路径和延迟数据记录在案；远程银行网关应用层混合加密代理上线，高敏感路径启用混合密钥交换，HSM升级列入下一年度供应商合同里程碑；移动端旧版本客户端分流至经典路径并登记残余暴露；密评复核材料补充后取得通过意见；CBOM更新，三个组件的算法、用途、负责人和批次均有记录。表12变量表变量案例中情形如果变量不同处置变化X+Y−Z7（已暴露）≤0（窗口内可完成）该路径不进入第一批，按常规替换周期处理HSM供应商路线图空白有2030年前PQC升级承诺R1不触发，直接等待HSM升级，无需应用层代理混合握手延迟+12ms超过业务阈值混合方案不通过验收，退回经典算法并登记暴露密评意见有条件通过不通过混合方案暂停，重新设计国密合规路径移动端解析失败率3%0%不需要按版本分流，全量灰度X+Y−Z差值和HSM供应商路线图两项对迁移路径的影响权重较高。十一、对外报送、内部立项、个人了解三套做法砍掉哪些项向监管报送迁移计划或应对检查选完整版；内部立项和预算申请且时间受限选精简版；个人了解时间线和迁移框架选极简版。表13三套场景操作表场景适用条件保留的检查项删掉的检查项操作序列不能妥协的底线完整版监管报送、迁移计划审计、董事会汇报表2至表10全表无算不等式→对锚点→盘点→分类排序→混合验收→供应商→排