**概述**：量子计算机还没造出来，全球运营商为什么已经开始忙着给全网换密码算法？本文回答三个问题：量子威胁对电信网到底意味着什么（「先收割、后解密」为何成立）；换什么（NIST三大新算法与电信网八大换锁点）；怎么换（体积、性能、老网元三道坎与运维迁移路线图）。主轴依据NIST 2024年定稿的FIPS 203/204/205、GSMA《电信后量子密码指南PQ.03》及Cloudflare公开实测数据。 ## 目录 - 一、先收割，后解密：量子机没开机，你的数据已经被人搬走了 - 二、三把新锁：ML-KEM、ML-DSA、SLH-DSA - 三、电信网要换哪些锁：一张全网密码资产地图 - 四、新锁不好用：体积、性能与老网元三道坎 - 五、全球换锁进度榜：互联网跑得快，电信网走得深 - 六、运维视角：迁移路线图怎么排 - 七、三个常见误区 - 结语 ## 一、先收割，后解密：量子机没开机，你的数据已经被人搬走了 1994年，数学家彼得·秀尔提出了一种量子算法：只要有一台足够大的容错量子计算机，就能在多项式时间内完成大数分解和离散对数求解。这两个数学问题正是RSA、ECC（椭圆曲线密码）、DH这一整代公钥密码的地基。地基一塌，基于它们做的密钥交换、数字签名、证书体系全部作废。 三十年过去，容错量子计算机仍未面世。但威胁模型早已不是「等量子机造出来那天再动手」，而是**「先收割，后解密」**（Harvest Now, Decrypt Later）：攻击者今天就把截获的密文流量原样存起来，等十年后量子计算机到位，再回头批量解密。 这套打法对一般网页浏览意义有限——今天的热搜明年没人关心。但对电信网是致命的，因为电信数据的敏感期天然就长： - **位置与轨迹数据**：一个人去过哪里、联系过谁，十年后依然高度敏感，对情报机构、商业对手、诉讼当事人都是宝贝； - **认证根密钥与鉴权向量**：5G AKA的会话密钥由USIM里的长期根密钥参与推导，且推导过程不引入临时Diffie-Hellman交换、不具备前向安全（PFS）。换句话说，长期密钥相关的材料一旦被截存，未来破译后历史会话会跟着一起暴露； - **用户标识（SUPI）**：5G用SUCI把IMSI加密后才上空口，但SUCI用的ECDH属于「量子必死」算法，截存足够多SUCI的攻击者，将来可以批量还原出整网用户的真实身份。 密码学家Michele Mosca给过一个简洁的判断式：如果「数据需要保密的年限」加上「完成密码迁移的年限」大于「量子计算机到来的年限」，那你现在就该动手了。电信网三项全中：位置数据敏感期动辄十五年，全网密码迁移以十年计，而业界普遍预测风险窗口在本世纪三十年代。 更麻烦的是电信设备的换代节奏。一台2026年采购的核心网NF、一台跑着SecGW的汇聚路由器，生命周期十到十五年——今天不把「支持抗量子算法」写进标书，2035年它们还挂在全网最敏感的位置上用着RSA-2048。这也是为什么GSMA在2022年9月成立后量子电信网络工作组（PQTN），五十多家运营商加入，先干的第一件事不是买设备，而是全网摸底：密码资产到底散落在哪些地方。 ## 二、三把新锁：ML-KEM、ML-DSA、SLH-DSA 2024年8月13日，美国国家标准与技术研究院（NIST）发布了首批三个定稿的抗量子密码标准，八年全球征集、82个候选算法、多轮公开破解赛之后，最终收编了三把新锁： | 标准 | 算法 | 类型 | 公钥大小 | 签名/密文大小 | 数学基础 | 定位 | |---|---|---|---|---|---|---| | FIPS 203 | ML-KEM-768（原CRYSTALS-Kyber） | 密钥封装KEM | 1184字节 | 密文1088字节 | 模格 | 主力密钥交换 | | FIPS 204 | ML-DSA-65（原CRYSTALS-Dilithium） | 数字签名 | 1952字节 | 签名3309字节 | 模格 | 主力签名 | | FIPS 205 | SLH-DSA-128s（原SPHINCS+） | 数字签名 | 32字节 | 签名7856字节 | 哈希 | 备用签名 | | （对照）X25519 | 密钥交换 | 32字节 | — | 椭圆曲线 | 现行主力 | | （对照）ECDSA P-256 | 数字签名 | 64字节 | 64字节 | 椭圆曲线 | 现行主力 | 三点值得工程师注意： **第一，分工明确。** ML-KEM管密钥交换（保护传输内容），ML-DSA和SLH-DSA管签名（保护身份认证与完整性）。MDL-DSA快但签名大，SLH-DSA安全性论证最保守（只依赖哈希函数）但签名巨大，定位是「主力算法万一被打穿的备份」。NIST还在2025年选定了基于不同数学问题的HQC作为备用KEM，多留一条后路。 **第二，对称密码不用大动。** Grover算法对对称加密只有平方根量级的加速，AES-256在量子时代的有效强度仍有128位，NIST和GSMA的指南里都明确：换的是公钥密码这一层，AES-256继续用。运营商空口用户面加密短期内不用折腾。 **第三，锁芯变粗了。** 对照表里那组尺寸差距是后面所有工程麻烦的根源：公钥从32字节膨胀到1184字节，涨了37倍；签名从64字节涨到3309字节，涨了50倍。密码学强度上去了，报文体积也上去了。 ## 三、电信网要换哪些锁：一张全网密码资产地图 按GSMA《电信后量子密码指南（PQ.03）》的思路，把全网密码资产摊开，大致是下面这张地图： ```mermaid flowchart TD A["电信网密码资产盘点"] --> B["空口与接入"] A --> C["核心网与漫游"] A --> D["传输与回传"] A --> E["网管与IT系统"] B --> B1["5G AKA认证向量"] B --> B2["SUCI用户标识加密"] B --> B3["USIM卡内算法"] C --> C1["SBA接口mTLS证书"] C --> C2["SEPP漫游N32保护"] D --> D1["IPsec回传SecGW"] D --> D2["OTN光层加密"] E --> E1["运维VPN与SSH"] E --> E2["PKI证书链"] ``` 逐个环节看量子风险和换锁动作： | 环节 | 现行密码 | 量子风险 | 换锁动作 | 优先级 | |---|---|---|---|---| | 用户标识加密（SUCI） | ECDH（ECIES方案） | 高：截存可还原IMSI | PQC版SUCI方案，配PQC SIM | 高 | | 5G AKA鉴权 | 长期根密钥参与推导，无PFS | 高：历史会话可回溯 | 推进PQC/混合鉴权研究 | 高 | | 基站回传IPsec | IKEv2 + DH | 高：典型HNDL目标 | SecGW与基站支持混合密钥交换（RFC 9370路线） | 高 | | 漫游链路N32（SEPP） | TLS | 高：漫游元数据敏感期长 | TLS 1.3混合密钥交换 | 高 | | 网管OSS/VPN/SSH | TLS、RSA证书 | 高：运维凭据长期有效 | 优先升级支持混合KEM的TLS栈 | 高 | | SBA接口mTLS | RSA/ECDSA证书 | 中：伪造风险在量子机出现后才兑现 | PKI分批签发ML-DSA证书 | 中 | | 空口用户面加密 | AES-256 | 低：Grover仅平方根加速 | 保持现状 | 低 | 三个环节值得展开。 **SUCI加密是电信网特有的痛点。** 互联网没有「用户标识保护」这个独立环节，电信网有——IMSI明文上空口的历史教训（2G/3G时代伪基站、国际漫游窃听）催生了5G的SUCI机制。但SUCI的加密壳用的是ECDH，在量子威胁下形同纸糊。这正是韩国SK电讯与泰雷兹合作试验的方向：在5G SA现网环境和5G SIM卡上，用抗量子算法对用户身份进行加解密，把「卡片里的锁」先换掉。SIM卡换代周期长（换卡要动终端、渠道、用户），这个环节必须最早启动。 **基站回传是GSMA点名的重点。** PQ.03指南原文把「基站与SecGW网元」列为引入量子安全密码时需要重点管理的对象——基站到SecGW之间的IPsec隧道跑着全部用户面流量，是「先收割」策略最肥美的收割带。IETF的RFC 9370为IKEv2定义了多密钥交换扩展，允许在现有DH之外叠加PQC密钥，形成「传统+抗量子」双保险，这是回传迁移的主流路线。 **漫游N32最容易被忽视。** SEPP之间的漫游信令保护用的是TLS，里面跑的注册请求、位置更新、计费元数据，敏感期都是十年起步。而漫游链路涉及两国运营商的互操作，任何一端不升级，整条链就只能降级——迁移协调成本比省内链路高一个量级。 ## 四、新锁不好用：体积、性能与老网元三道坎 换锁不是拧下旧锁装上新锁那么简单。三道坎摆在面前。 **第一道：体积。** Cloudflare《2025年后量子互联网现状》报告给出的实测数据是：部署抗量子密钥交换后，每次TLS握手客户端到服务器多传约1.2KB、服务器到客户端多传约1.1KB，握手耗时增加约4%。对互联网HTTPS流量这算「无痛」，但对电信网要具体分析：SBA接口的mTLS是长连接、握手频率低，4%无感；可如果放到海量物联网终端的DTLS会话上，每千次鉴权多出几MB信令，在NB-IoT那种几十字节都想省的场景就是真金白银。证书链更麻烦——一整条证书路径里每张证书都换ML-DSA签名后，Certificate消息可能膨胀数倍，对MTU敏感的传输链路会直接触发分片问题，类似我们熟悉的「大包有去无回」那种排查噩梦。 **第二道：性能。** 有个反直觉的事实：格密码的运算本身比RSA还快，ML-KEM的封装/解封装是纳秒级到微秒级的活，真正的开销全在带宽和内存——报文变大意味着更多的包、更多的缓冲、嵌入式密码芯片要重新流片。老网元里那些焊死在FPGA或专用加速卡里的RSA引擎，软件升级救不了。 **第三道：老网元。** 这是最深的一道坎。密码库嵌在网元固件里，供应商版本冻结、设备过保（EOL）是常态。运维都懂：全网TLS栈升级到支持新算法，比升一次核心网版本动静大得多。这也是为什么GSMA PQ.03花大量篇幅讲「迁移依赖与时间线」，并且业界形成了清晰的优先级共识——**先换密钥交换，后换签名**。理由回到威胁模型：密钥交换面临的「先收割」威胁今天就存在；而签名被攻破的前提是量子机已经能实时伪造身份，那个deadline晚得多。先堵住正在漏水的管子，再换门牌。 过渡期的标准答案叫**混合模式**：传统算法和抗量子算法各算一份密钥，两边都参与最终会话密钥推导，任何一边不被攻破就安全。IETF在2026年正式定稿了RFC 10024，把X25519MLKEM768（经典椭圆曲线X25519 + ML-KEM-768）确立为TLS 1.3的正式混合密钥交换套件。苹果已在iOS 26和macOS Tahoe上全面启用该套件。混合模式还附带一个工程红利：新算法万一爆出实现级漏洞，回退路径仍在。 ## 五、全球换锁进度榜：互联网跑得快，电信网走得深 互联网侧的进度用Cloudflare Radar的公开数据看最直观： | 时间 | 里程碑 | |---|---| | 2024年初 | Cloudflare网络上人类流量PQC占比不足3% | | 2025年3月 | 占比约38%（Chrome、Firefox已默认启用X25519MLKEM768） | | 2025年10月 | Cloudflare报告人类流量过半用上PQC | | 2025年9月 | 源站侧约39%支持、仅3.7%实际启用PQC | | 2026年2月 | 占比超60% | | 2026年4月 | 占比超三分之二 | 两年半时间，客户端侧从3%到三分之二——浏览器和CDN两家合力就推完了。但注意源站侧那组扎眼的数字：39%的支持率、3.7%的启用率。客户端好改，服务端难迁，这个剪刀差会长期存在。 电信网的速度慢半拍，但深度完全不同——它要动的是SIM卡、基站和跨运营商的漫游链路。几件标志性的事： - **标准化打底**：GSMA后量子电信网络工作组（PQTN）2022年9月成立，先是2023年9月发布《电信量子风险管理指南（PQ.02）》教运营商做风险量化，2024年10月又把《电信后量子密码指南（PQ.03）》更新到2.0版，覆盖每个用例的迁移计划、时间线和依赖分析； - **SK电讯×泰雷兹**：在5G SA现网环境用5G PQC SIM卡对用户身份做抗量子加解密，验证了「换SIM卡内算法」这条最深的路径；SK电讯还在首尔Equinix机房推出QaaS（量子即服务），并持续在ITU推动QKD与PQC结合的全球标准； - **Orange**：2025年6月在法国推出商用量子安全网络服务Quantum Defender，首批客户是金融机构——运营商把自己的抗量子专线能力卖给了对「十年敏感期」最焦虑的行业； - **韩国三家运营商**：据韩国经济新闻2026年7月报道，SKT、KT、LG U+在下一代量子加密技术上全面竞赛，韩国成了抗量子商用的试验田。Telecoms.com 2025年的一篇综述也提到，德国电信、Orange、Telefónica、Turkcell、KPN等欧洲主要运营商都在开展量子安全评估与部署。 ```mermaid timeline title 量子换锁时间线 1994 : 秀尔算法提出，RSA与ECC理论上告破 2016 : NIST向全球征集抗量子算法 2022 : 选定Kyber等四种算法，GSMA成立PQTN工作组 2024 : FIPS 203/204/205定稿，GSMA发布PQ.03指南 2025 : 浏览器过半流量用上PQC，Orange量子安全服务商用 2026 : RFC 10024定稿，客户端流量超三分之二 2030s : 容错量子机风险窗口 ``` ## 六、运维视角：迁移路线图怎么排 把上面这些收拢成一张可执行的路线图，运维团队的活分六步。 **第一步：密码资产盘点。** 类似当年建动环台账，把全网每一个用密码的点扫出来——哪些接口跑TLS、什么版本、什么算法套件、证书谁签的、什么时候过期。业界管这个产物叫「密码物料清单」（CBOM），对应GSMA PQ.02的风险管理框架。没有这份台账，后面全是空谈。 **第二步：数据分级定优先级。** 判断标准就一条：这条链路上跑的数据，敏感期是不是超过十年？位置轨迹、漫游元数据、运维凭据、鉴权根密钥——凡是「先收割」有价值的目标，优先换。 **第三步：先密钥交换、后签名。** 理由前文说过：HNDL只威胁密钥交换；签名被实时伪造的前提是量子机已经在线，deadline晚得多。把有限的窗口期花在刀刃上。 **第四步：混合模式过渡。** 传统+PQC双算法并行，回退路径常在。对N32漫游这类跨域链路，先和对端运营商把互操作测试做了，别到割接当天发现对端SEPP不认新套件。 **第五步：把PQC写进采购合同。** 新采购的网元、SecGW、防火墙、SIM卡，标书里明确要求支持FIPS 203系列与混合密钥交换，并要求FIPS 140-3认证。设备寿命十到十五年，今天的采购决定2035年全网的密码水位。美国国安局CNSA 2.0时间表给整个供应链划的底线是最晚2033年完成传统公钥算法退场，欧盟委员会2025年4月也要求成员国在2026年底前提交PQC迁移路线图、2030年前完成高风险系统迁移——监管的鞭子已经落下来了。 **第六步：按割接纪律灰度推进。** 密码迁移本质是一次横跨全网的大割接：先实验环境跑通，再OSS/后台这类「断了不挨骂」的系统，然后漫游N32、回传SecGW，最后才动核心网SBA和空口鉴权。每一跳都要有回退预案，用真实流量压测握手时延和信令开销，盯住证书链膨胀对MTU的连锁影响。 至于空口鉴权这条最深的线——它牵动SIM卡、终端和计费体系，周期以「换卡潮」为单位，起步要趁早，完成可以最晚。 ## 七、三个常见误区 **误区一：「量子计算机没造出来，急什么。」** 这是最贵的一种误判。你今天还在网上的位置数据和漫游信令，别人可能已经收割了五年。等量子机开机那天再换锁，等于保险柜被搬空之后才想起配新钥匙。参考历史：TLS从1.0升级到1.3用了十几年还没清干净老版本——密码迁移从来没有以「月」为单位的先例。 **误区二：「上QKD就万事大吉。」** 量子密钥分发（QKD）是物理层的好东西，但它是点对点专用硬件方案，有距离、中继和成本约束，适合京沪干线那种高价值专线场景。GSMA和主流运营商的共识是QKD与PQC**互补而非替代**——全网几十万个基站的加密，最终还是要靠软件可分发的数学密码（PQC）来解决。SK电讯在ITU推的也是「QKD+PQC」组合拳，不是二选一。 **误区三：「换个密码库就完事。」** 换掉OpenSSL只是冰山一角。证书链要重签，协议报文里的长度字段要适配，嵌入式设备固件要供应商配合，SIM卡要走完整个发卡周期，跨运营商漫游要对齐节奏。PQC迁移是网络级的系统工程，不是应用层的npm升级。 ## 结语 每隔几十年，通信业就要经历一次「全网底座更换」：模拟换数字，电路换分组，IPv4往IPv6挪了三十年还没挪完。后量子迁移的特殊之处在于，它是第一次**由一个尚未造出来的机器驱动**的全网改造——但威胁时钟不在未来，而在今天每一次被截存的密文里。 互联网侧已经给出了正面样本：两年半，浏览器流量从3%到三分之二，混合密钥交换成了默认选项，代价只是每次握手多2KB和4%的时延。电信网这条线更慢、更深、更贵，但GSMA的指南、NIST的标准、SKT和Orange们的试点已经把路趟出来了。 对运维工程师，留一句实在话：这件事不归你立项，但密码资产台账、证书过期监控、采购标书里的算法条款，都在你手上。量子换锁这场大迁徙，第一批搬家的，从来都是先把家底盘清楚的人。 ## 参考来源 1. [NIST Releases First 3 Finalized Post-Quantum Encryption Standards](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards) — NIST官方新闻稿：FIPS 203/204/205定稿详情与算法更名说明 2. [Post-Quantum Cryptography Guidelines for Telecom Use Cases (PQ.03) V2.0](https://www.gsma.com/solutions-and-impact/technologies/security/gsma_resources/post-quantum-cryptography-guidelines-for-telecom-use-cases-pq-03-2/) — GSMA电信场景PQC迁移指南，含基站/SecGW重点管控要求 3. [State of the post-quantum Internet in 2025](https://blog.cloudflare.com/pq-2025/) — Cloudflare年度报告：PQC握手开销实测（+4%时延、+1.1/1.2KB） 4. [Bringing more transparency to post-quantum usage](https://blog.cloudflare.com/radar-origin-pq-key-transparency-aspa/) — Cloudflare Radar数据：2024年初不足3%到2026年2月超60%的增长曲线 5. [SK Telecom and Thales collaborate on post-quantum cryptography to enhance users' protection on 5G network](https://www.thalesgroup.com/en/news-centre/press-releases/sk-telecom-and-thales-collaborate-post-quantum-cryptography-enhance) — 5G SA现网+PQC SIM卡保护用户身份的试验详情 6. [Leading telcos are having a good look at quantum tech](https://www.telecoms.com/enterprise-telecoms/leading-telcos-are-having-a-good-look-at-quantum-tech) — Telecoms.com：全球主要运营商量子安全技术布局综述 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。