概述：量子计算机还没造出来，全球运营商为什么已经开始忙着给全网换密码算法？本文回答三个问题：量子威胁对电信网到底意味着什么（「先收割、后解密」为何成立）；换什么（NIST三大新算法与电信网八大换锁点）；怎么换（体积、性能、老网元三道坎与运维迁移路线图）。主轴依据NIST 2024年定稿的FIPS 203/204/205、GSMA《电信后量子密码指南PQ.03》及Cloudflare公开实测数据。
1994年，数学家彼得·秀尔提出了一种量子算法：只要有一台足够大的容错量子计算机，就能在多项式时间内完成大数分解和离散对数求解。这两个数学问题正是RSA、ECC（椭圆曲线密码）、DH这一整代公钥密码的地基。地基一塌，基于它们做的密钥交换、数字签名、证书体系全部作废。
三十年过去，容错量子计算机仍未面世。但威胁模型早已不是「等量子机造出来那天再动手」，而是「先收割，后解密」（Harvest Now, Decrypt Later）：攻击者今天就把截获的密文流量原样存起来，等十年后量子计算机到位，再回头批量解密。
这套打法对一般网页浏览意义有限——今天的热搜明年没人关心。但对电信网是致命的，因为电信数据的敏感期天然就长：
密码学家Michele Mosca给过一个简洁的判断式：如果「数据需要保密的年限」加上「完成密码迁移的年限」大于「量子计算机到来的年限」，那你现在就该动手了。电信网三项全中：位置数据敏感期动辄十五年，全网密码迁移以十年计，而业界普遍预测风险窗口在本世纪三十年代。
更麻烦的是电信设备的换代节奏。一台2026年采购的核心网NF、一台跑着SecGW的汇聚路由器，生命周期十到十五年——今天不把「支持抗量子算法」写进标书，2035年它们还挂在全网最敏感的位置上用着RSA-2048。这也是为什么GSMA在2022年9月成立后量子电信网络工作组（PQTN），五十多家运营商加入，先干的第一件事不是买设备，而是全网摸底：密码资产到底散落在哪些地方。
2024年8月13日，美国国家标准与技术研究院（NIST）发布了首批三个定稿的抗量子密码标准，八年全球征集、82个候选算法、多轮公开破解赛之后，最终收编了三把新锁：
| 标准 | 算法 | 类型 | 公钥大小 | 签名/密文大小 | 数学基础 | 定位 |
|---|---|---|---|---|---|---|
| FIPS 203 | ML-KEM-768（原CRYSTALS-Kyber） | 密钥封装KEM | 1184字节 | 密文1088字节 | 模格 | 主力密钥交换 |
| FIPS 204 | ML-DSA-65（原CRYSTALS-Dilithium） | 数字签名 | 1952字节 | 签名3309字节 | 模格 | 主力签名 |
| FIPS 205 | SLH-DSA-128s（原SPHINCS+） | 数字签名 | 32字节 | 签名7856字节 | 哈希 | 备用签名 |
| （对照）X25519 | 密钥交换 | 32字节 | — | 椭圆曲线 | 现行主力 | |
| （对照）ECDSA P-256 | 数字签名 | 64字节 | 64字节 | 椭圆曲线 | 现行主力 |
三点值得工程师注意：
第一，分工明确。 ML-KEM管密钥交换（保护传输内容），ML-DSA和SLH-DSA管签名（保护身份认证与完整性）。MDL-DSA快但签名大，SLH-DSA安全性论证最保守（只依赖哈希函数）但签名巨大，定位是「主力算法万一被打穿的备份」。NIST还在2025年选定了基于不同数学问题的HQC作为备用KEM，多留一条后路。
第二，对称密码不用大动。 Grover算法对对称加密只有平方根量级的加速，AES-256在量子时代的有效强度仍有128位，NIST和GSMA的指南里都明确：换的是公钥密码这一层，AES-256继续用。运营商空口用户面加密短期内不用折腾。
第三，锁芯变粗了。 对照表里那组尺寸差距是后面所有工程麻烦的根源：公钥从32字节膨胀到1184字节，涨了37倍；签名从64字节涨到3309字节，涨了50倍。密码学强度上去了，报文体积也上去了。
按GSMA《电信后量子密码指南（PQ.03）》的思路，把全网密码资产摊开，大致是下面这张地图：
flowchart TD
A["电信网密码资产盘点"] --> B["空口与接入"]
A --> C["核心网与漫游"]
A --> D["传输与回传"]
A --> E["网管与IT系统"]
B --> B1["5G AKA认证向量"]
B --> B2["SUCI用户标识加密"]
B --> B3["USIM卡内算法"]
C --> C1["SBA接口mTLS证书"]
C --> C2["SEPP漫游N32保护"]
D --> D1["IPsec回传SecGW"]
D --> D2["OTN光层加密"]
E --> E1["运维VPN与SSH"]
E --> E2["PKI证书链"]
逐个环节看量子风险和换锁动作：
| 环节 | 现行密码 | 量子风险 | 换锁动作 | 优先级 |
|---|---|---|---|---|
| 用户标识加密（SUCI） | ECDH（ECIES方案） | 高：截存可还原IMSI | PQC版SUCI方案，配PQC SIM | 高 |
| 5G AKA鉴权 | 长期根密钥参与推导，无PFS | 高：历史会话可回溯 | 推进PQC/混合鉴权研究 | 高 |
| 基站回传IPsec | IKEv2 + DH | 高：典型HNDL目标 | SecGW与基站支持混合密钥交换（RFC 9370路线） | 高 |
| 漫游链路N32（SEPP） | TLS | 高：漫游元数据敏感期长 | TLS 1.3混合密钥交换 | 高 |
| 网管OSS/VPN/SSH | TLS、RSA证书 | 高：运维凭据长期有效 | 优先升级支持混合KEM的TLS栈 | 高 |
| SBA接口mTLS | RSA/ECDSA证书 | 中：伪造风险在量子机出现后才兑现 | PKI分批签发ML-DSA证书 | 中 |
| 空口用户面加密 | AES-256 | 低：Grover仅平方根加速 | 保持现状 | 低 |
三个环节值得展开。
SUCI加密是电信网特有的痛点。 互联网没有「用户标识保护」这个独立环节，电信网有——IMSI明文上空口的历史教训（2G/3G时代伪基站、国际漫游窃听）催生了5G的SUCI机制。但SUCI的加密壳用的是ECDH，在量子威胁下形同纸糊。这正是韩国SK电讯与泰雷兹合作试验的方向：在5G SA现网环境和5G SIM卡上，用抗量子算法对用户身份进行加解密，把「卡片里的锁」先换掉。SIM卡换代周期长（换卡要动终端、渠道、用户），这个环节必须最早启动。
基站回传是GSMA点名的重点。 PQ.03指南原文把「基站与SecGW网元」列为引入量子安全密码时需要重点管理的对象——基站到SecGW之间的IPsec隧道跑着全部用户面流量，是「先收割」策略最肥美的收割带。IETF的RFC 9370为IKEv2定义了多密钥交换扩展，允许在现有DH之外叠加PQC密钥，形成「传统+抗量子」双保险，这是回传迁移的主流路线。
漫游N32最容易被忽视。 SEPP之间的漫游信令保护用的是TLS，里面跑的注册请求、位置更新、计费元数据，敏感期都是十年起步。而漫游链路涉及两国运营商的互操作，任何一端不升级，整条链就只能降级——迁移协调成本比省内链路高一个量级。
换锁不是拧下旧锁装上新锁那么简单。三道坎摆在面前。
第一道：体积。 Cloudflare《2025年后量子互联网现状》报告给出的实测数据是：部署抗量子密钥交换后，每次TLS握手客户端到服务器多传约1.2KB、服务器到客户端多传约1.1KB，握手耗时增加约4%。对互联网HTTPS流量这算「无痛」，但对电信网要具体分析：SBA接口的mTLS是长连接、握手频率低，4%无感；可如果放到海量物联网终端的DTLS会话上，每千次鉴权多出几MB信令，在NB-IoT那种几十字节都想省的场景就是真金白银。证书链更麻烦——一整条证书路径里每张证书都换ML-DSA签名后，Certificate消息可能膨胀数倍，对MTU敏感的传输链路会直接触发分片问题，类似我们熟悉的「大包有去无回」那种排查噩梦。
第二道：性能。 有个反直觉的事实：格密码的运算本身比RSA还快，ML-KEM的封装/解封装是纳秒级到微秒级的活，真正的开销全在带宽和内存——报文变大意味着更多的包、更多的缓冲、嵌入式密码芯片要重新流片。老网元里那些焊死在FPGA或专用加速卡里的RSA引擎，软件升级救不了。
第三道：老网元。 这是最深的一道坎。密码库嵌在网元固件里，供应商版本冻结、设备过保（EOL）是常态。运维都懂：全网TLS栈升级到支持新算法，比升一次核心网版本动静大得多。这也是为什么GSMA PQ.03花大量篇幅讲「迁移依赖与时间线」，并且业界形成了清晰的优先级共识——先换密钥交换，后换签名。理由回到威胁模型：密钥交换面临的「先收割」威胁今天就存在；而签名被攻破的前提是量子机已经能实时伪造身份，那个deadline晚得多。先堵住正在漏水的管子，再换门牌。
过渡期的标准答案叫混合模式：传统算法和抗量子算法各算一份密钥，两边都参与最终会话密钥推导，任何一边不被攻破就安全。IETF在2026年正式定稿了RFC 10024，把X25519MLKEM768（经典椭圆曲线X25519 + ML-KEM-768）确立为TLS 1.3的正式混合密钥交换套件。苹果已在iOS 26和macOS Tahoe上全面启用该套件。混合模式还附带一个工程红利：新算法万一爆出实现级漏洞，回退路径仍在。
互联网侧的进度用Cloudflare Radar的公开数据看最直观：
| 时间 | 里程碑 |
|---|---|
| 2024年初 | Cloudflare网络上人类流量PQC占比不足3% |
| 2025年3月 | 占比约38%（Chrome、Firefox已默认启用X25519MLKEM768） |
| 2025年10月 | Cloudflare报告人类流量过半用上PQC |
| 2025年9月 | 源站侧约39%支持、仅3.7%实际启用PQC |
| 2026年2月 | 占比超60% |
| 2026年4月 | 占比超三分之二 |
两年半时间，客户端侧从3%到三分之二——浏览器和CDN两家合力就推完了。但注意源站侧那组扎眼的数字：39%的支持率、3.7%的启用率。客户端好改，服务端难迁，这个剪刀差会长期存在。
电信网的速度慢半拍，但深度完全不同——它要动的是SIM卡、基站和跨运营商的漫游链路。几件标志性的事：
timeline
title 量子换锁时间线
1994 : 秀尔算法提出，RSA与ECC理论上告破
2016 : NIST向全球征集抗量子算法
2022 : 选定Kyber等四种算法，GSMA成立PQTN工作组
2024 : FIPS 203/204/205定稿，GSMA发布PQ.03指南
2025 : 浏览器过半流量用上PQC，Orange量子安全服务商用
2026 : RFC 10024定稿，客户端流量超三分之二
2030s : 容错量子机风险窗口
把上面这些收拢成一张可执行的路线图，运维团队的活分六步。
第一步：密码资产盘点。 类似当年建动环台账，把全网每一个用密码的点扫出来——哪些接口跑TLS、什么版本、什么算法套件、证书谁签的、什么时候过期。业界管这个产物叫「密码物料清单」（CBOM），对应GSMA PQ.02的风险管理框架。没有这份台账，后面全是空谈。
第二步：数据分级定优先级。 判断标准就一条：这条链路上跑的数据，敏感期是不是超过十年？位置轨迹、漫游元数据、运维凭据、鉴权根密钥——凡是「先收割」有价值的目标，优先换。
第三步：先密钥交换、后签名。 理由前文说过：HNDL只威胁密钥交换；签名被实时伪造的前提是量子机已经在线，deadline晚得多。把有限的窗口期花在刀刃上。
第四步：混合模式过渡。 传统+PQC双算法并行，回退路径常在。对N32漫游这类跨域链路，先和对端运营商把互操作测试做了，别到割接当天发现对端SEPP不认新套件。
第五步：把PQC写进采购合同。 新采购的网元、SecGW、防火墙、SIM卡，标书里明确要求支持FIPS 203系列与混合密钥交换，并要求FIPS 140-3认证。设备寿命十到十五年，今天的采购决定2035年全网的密码水位。美国国安局CNSA 2.0时间表给整个供应链划的底线是最晚2033年完成传统公钥算法退场，欧盟委员会2025年4月也要求成员国在2026年底前提交PQC迁移路线图、2030年前完成高风险系统迁移——监管的鞭子已经落下来了。
第六步：按割接纪律灰度推进。 密码迁移本质是一次横跨全网的大割接：先实验环境跑通，再OSS/后台这类「断了不挨骂」的系统，然后漫游N32、回传SecGW，最后才动核心网SBA和空口鉴权。每一跳都要有回退预案，用真实流量压测握手时延和信令开销，盯住证书链膨胀对MTU的连锁影响。
至于空口鉴权这条最深的线——它牵动SIM卡、终端和计费体系，周期以「换卡潮」为单位，起步要趁早，完成可以最晚。
误区一：「量子计算机没造出来，急什么。」 这是最贵的一种误判。你今天还在网上的位置数据和漫游信令，别人可能已经收割了五年。等量子机开机那天再换锁，等于保险柜被搬空之后才想起配新钥匙。参考历史：TLS从1.0升级到1.3用了十几年还没清干净老版本——密码迁移从来没有以「月」为单位的先例。
误区二：「上QKD就万事大吉。」 量子密钥分发（QKD）是物理层的好东西，但它是点对点专用硬件方案，有距离、中继和成本约束，适合京沪干线那种高价值专线场景。GSMA和主流运营商的共识是QKD与PQC互补而非替代——全网几十万个基站的加密，最终还是要靠软件可分发的数学密码（PQC）来解决。SK电讯在ITU推的也是「QKD+PQC」组合拳，不是二选一。
误区三：「换个密码库就完事。」 换掉OpenSSL只是冰山一角。证书链要重签，协议报文里的长度字段要适配，嵌入式设备固件要供应商配合，SIM卡要走完整个发卡周期，跨运营商漫游要对齐节奏。PQC迁移是网络级的系统工程，不是应用层的npm升级。
每隔几十年，通信业就要经历一次「全网底座更换」：模拟换数字，电路换分组，IPv4往IPv6挪了三十年还没挪完。后量子迁移的特殊之处在于，它是第一次由一个尚未造出来的机器驱动的全网改造——但威胁时钟不在未来，而在今天每一次被截存的密文里。
互联网侧已经给出了正面样本：两年半，浏览器流量从3%到三分之二，混合密钥交换成了默认选项，代价只是每次握手多2KB和4%的时延。电信网这条线更慢、更深、更贵，但GSMA的指南、NIST的标准、SKT和Orange们的试点已经把路趟出来了。
对运维工程师，留一句实在话：这件事不归你立项，但密码资产台账、证书过期监控、采购标书里的算法条款，都在你手上。量子换锁这场大迁徙，第一批搬家的，从来都是先把家底盘清楚的人。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。