概述：2025年5月，谷歌量子团队核心研究员Craig Gidney在arXiv贴出一篇论文，把破解RSA-2048所需的量子比特数从2019年估算的2000万个直接砍到100万以内——六年降了20倍。这篇文章回答三个问题：为什么电信运营商是「先存后解」攻击的头号目标；一张5G网络里到底藏着多少把要换的锁；以及运营商手里有哪些现成方案、还卡在哪些坑上。文中量子破解成本数据来自Gidney论文原文，标准时间线来自NIST官方文件，其余工程判断均为作者基于现网经验的分析。

目录

• 一、什么叫「先存后解」：运营商是头号目标
• 二、倒计时更新：从两千万到一百万，只用了六年
• 三、清点家底：一张5G网里藏着多少把锁
• 四、新锁长什么样：ML-KEM、ML-DSA与它们的体积问题
• 五、换锁实录：互联网已跑通，运营商慢半拍
• 六、坑在哪：一个老网优的担心清单
• 七、行动清单：2026年就该干的六件事
• 结语

一、什么叫「先存后解」：运营商是头号目标

先解释这个词。Harvest now, decrypt later——现在先把你的加密数据整包抓走存起来，等量子计算机成熟了再回头解密。这个攻击模型有个残酷的不对称性：破解发生在未来，泄露发生在今天，而你今天毫无感知。

为什么运营商是头号目标？三个原因，每一份都写进了行业现实里。

第一，电信数据天生长寿。 通话详单、信令记录、语音录音，出于计费争议、监管留存和司法取证的合规要求，往往要在运营商的数据仓库里躺上一到十年。欧洲围绕数据留存指令的司法拉锯打了十几年，国内《网络安全法》也要求日志留存不少于六个月——这还只是底线，实际现网里一份核心网信令镜像在HDFS里存五年毫不稀奇。数据活多久，「先存后解」的攻击窗口就有多长。

第二，电信的加密生命周期更长。 消费互联网换个TLS证书是分钟级的事，而电信网里的密码资产是「基建级」的：一张SIM卡出厂后用十年，一根IPsec隧道的水泥——也就是算法套件——是写进设备采购框架协议里的，一台核心网网元的mTLS证书链牵着的CA体系，改一次要过安全评估。设备十五年的折旧周期里，算法可能要横跨整个量子过渡期。

第三，有些东西根本不用等量子机。 2G的A5/1流密码早在十几年前就被彩虹表攻破，实时解密已是公开技术；七号信令（SS7）走的是几十年前的明文时代协议，抓到即读懂。2024年曝出的盐台风事件里，攻击者进的是运营商内部数据管道，看的是元数据甚至短信——这不是量子攻击，但它是「先存后解」的前传：情报机构已经开始批量搬运电信数据了，量子机只是让他们把今天搬走的东西在明天全部打开。这也是为什么美国在事件后推动运营商加密元数据的监管讨论（此事件此前已有专文复盘，本文不展开）。

二、倒计时更新：从两千万到一百万，只用了六年

这是本文的权威锚点，数据全部来自论文原文。

2019年，谷歌的Craig Gidney与瑞典KTH的Martin Ekerå发表估算（arXiv:1905.09749）：一台拥有2000万个含噪量子比特的量子计算机，8小时内可分解2048位RSA。当时业界松了口气——2000万物理量子比特，距离当时几十到几百比特的真机还隔着两个数量级，像是个「下个时代」的数字。

2025年5月21日，Gidney一个人在arXiv贴出新论文（arXiv:2505.15917）：同样破解RSA-2048，所需量子比特降到100万以内，代价是运行时间从8小时放宽到一周以内。六年，资源需求降了20倍。注意他的前提假设没变：量子比特0.1%的门错误率、1微秒的表面码周期、10微秒的控制系统响应——这不是换了更乐观的硬件假设，纯粹是算法工程在进步：近似残差算术、轭式表面码存闲置逻辑比特、魔态蒸馏改魔态培育，三招省下 Nin成资源。论文里还特意对比：比2024年Chevignard等人的方案，Toffoli门数降了100倍。

硬件那头也没闲着。IBM公布的路线图把容错量子计算机（Starling，约200个逻辑量子比特）定在2029年。逻辑量子比特和物理量子比特不是一个东西——按Gidney的估算，100万物理比特大约折合几千个高质量逻辑比特量级——但两条曲线一个在降需求、一个在抬供给，交叉点正在从「科幻」变成「工程排期」。

给运营商定调的是NIST。三个关键节点：

读一下2030和2035这两行。NIST作为美国联邦密码标准的制定者，已经给RSA和椭圆曲线定了死亡日期——不是「可能」，是写进过渡文件的排期。全世界的合规部门、采购框架、设备商路线图都在绕这两个日期倒排。

三、清点家底：一张5G网里藏着多少把锁

下面这张图是我在纸上给年轻同事画过很多遍的「全网密码资产地图」，按一条用户面/信令面数据的旅程排布：

flowchart TD
    A["手机基带与eSIM"] --> B["空口Uu<br/>NAS加密NEA2"]
    B --> C["基站BBU"]
    C --> D["回传IPsec<br/>IKEv2密钥交换"]
    D --> E["5GC网元之间<br/>HTTP2加mTLS"]
    E --> F["网间SEPP<br/>N32用TLS"]
    F --> G["对端运营商"]
    C -.-> H["运维OAM<br/>SSH与TLS证书"]
    E -.-> I["DPI探针<br/>旁路解密靠密钥外送"]

逐环节拆开看现状（表格里「风险」指Shor算法下的脆弱性）：

三个容易误判的点，展开说。

其一，对称算法不是重灾区。 Grover算法只把AES-128的有效强度砍到64位，升到AES-256就重回安全区。5G现网的NEA2本来就是AES-128，空口这块的任务是「确认与升级」，不是推倒重来。

其二，重灾区是所有「非对称」的部分。 RSA、DH、ECDH、ECDSA、SM2——只要算法安全性建立在「大数分解/离散对数」上，Shor算法就是降维打击。而恰恰非对称密码承担的是电信网里最贵的两个角色：密钥协商（IPsec、TLS握手）和身份认证（证书、AKA里的公钥部分）。锁芯全是它，门却有几百扇。

其三，最疼的往往是最容易被漏掉的。 DPI/信令探针要做到「看得懂TLS里的业务」，依赖从网元外送会话密钥；HSM加密机里躺着CA根钥；OSS那堆十年没动过的网管服务器跑着什么版本的OpenSSH，没人说得清。量子迁移的第一步不是买新算法，是先知道家底里有多少把锁、分别挂在哪扇门上。

四、新锁长什么样：ML-KEM、ML-DSA与它们的体积问题

NIST在2024年8月正式发布的三项标准，就是运营商未来十年要打交道的「新锁」：

（以上尺寸均出自NIST标准参数表；SM4等国密对称算法同AES逻辑，强度减半升256位即可，而SM2基于椭圆曲线，和ECC一起在Shor的风险清单里。）

数字背后是工程真相：后量子密钥交换便宜，后量子签名昂贵。

密钥交换这边，ML-KEM-768加上X25519的混合握手，一次TLS 1.3握手多背约2.2KB——谷歌早年CECPQ系列在真实CDN上的灰度实验显示延迟影响在个位数百分比甚至更低，消费互联网已经用海量流量验证过。签名则是另一回事：一张ML-DSA-65证书的签名体积是ECDSA的四十多倍，而TLS握手要验的是证书链——根CA、中间CA、终端实体三层下来，证书体积轻松膨胀十几倍。这对电信网意味着什么？意味着NB-IoT模组那可怜的内存、意味着5G小站启动时拉证书的F1口、意味着mTLS全开的SBA里AMF和NRF每次建链的报文交互，都在为几十倍的膨胀买单。

所以业界的现实打法是分两步走：先换密钥交换（吃性能红利，堵住「先存后解」的主漏洞），再换签名体系（等硬件和协议生态跟上）。这个次序不是谁拍脑袋，是被「先存后解」的威胁模型倒逼出来的——主动攻击者现在就能完成握手并留下密文，今天不换密钥交换，今天的数据就在裸奔。

五、换锁实录：互联网已跑通，运营商慢半拍

公网这边，故事已经从试点走向默认值：Chrome在2024年内先后默认启用了X25519+Kyber、再切到X25519+ML-KEM的混合密钥交换；Cloudflare宣布其入站TLS默认支持后量子握手；Signal的PQXDH协议2023年上线，苹果iMessage的PQ3协议2024年跟进。到2024年底，消费互联网相当大比例的Web流量已经走在混合后量子握手上了——这是公开可查的行业事实。

运营商侧，节奏慢一拍，但路线图已经分化成三条：

路线一：算法迁移派。 走IETF标准通道——TLS 1.3的混合密钥交换草案已成行业事实标准，IKEv2有了RFC 9370多密钥交换扩展，允许在现有ECDH之上叠加ML-KEM做混合协商。设备商的核心网、路由器产品线陆续宣布PQC支持计划，GSMA安全工作组也发布了面向运营商的后量子迁移指引。这条路线的本质是「加密管道升级」，不动业务逻辑，是5G现网近两年就能落地的部分。

路线二：量子密钥分发派。 物理层直接发密钥。英国BT与东芝2022年在伦敦建成了62公里的商用QKD光纤链路给金融客户供钥，这是被反复报道的标杆案例。国内走得更产品化：中国电信组建中电信量子集团，把「量子密话」做成普通用户可订购的业务，据公开报道用户规模已达百万级——尽管其安全模型（量子密钥协商+国密加密）与纯PQC路线不同，但两条路线在「给移动网换安全底座」这件事上是殊途同归，现网里QKD与PQC混合组网已是常见架构讨论。

路线三：等标准、等设备商、等合规驱动的「沉默大多数」。 大量区域性运营商的现状：采购条款里还写着RSA-2048，网元的证书五年没轮换过，安全部门忙着应付眼下的渗透测试。这条路线没有官方名称，但在全球运营商群体里占比恐怕最大。

差距的本质不是钱，是密码敏捷性（crypto agility）——互联网公司天然跑在可灰度、可回滚的软件栈上，换个算法套件是发个配置；运营商的密码资产长在设备合同、CA体系、SIM生命周期和跨网漫游协议里，每一项都以年为单位。这就是为什么NIST把过渡期定到2035年——十年，对一个电信网的完整换锁周期来说，其实并不宽裕。

六、坑在哪：一个老网优的担心清单

把方法论讲完，说点论文里不会写的现网坑。以下是我的工程判断，供参考。

坑一：证书链膨胀撞上老中间盒。 现网里DPI、防火墙、负载均衡对TLS握手的处理逻辑是按「几百字节证书」调优的。混入ML-DSA之后证书链暴涨十几倍，轻则触发分片重组问题，重则直接握手失败——而故障表现会是「升级PQC后部分终端上不了网」这种最难排查的假障。灰度期间握手成功率、建链时延指标要盯到分钟级。

坑二：混合不是双保险，是兼容性债务。 X25519+ML-KEM混合握手的安全逻辑是「两条通道攻破其一即失效」，但工程逻辑是「两套实现都要对，握手才成功」。存量老终端不支持混合套件，服务端就得同时挂传统+混合两套，协商逻辑的分支组合是回归测试的噩梦。

坑三：密码资产台账是最大短板。 我见过太多网络，安全部说不清全网还有多少台设备在用SSHv1、多少条IPsec隧道用的DH group 2、多少张测试SIM卡还在2G网络上跑A5/1。迁移项目的第一个月别碰算法，先做全网密码资产扫描——这活儿枯燥，但决定了后面五年。

坑四：HSM与CA生态慢半拍。 根CA换ML-DSA是全局事件，签出来的证书老终端不认就是全网性事故。合理的路径是证书体系双轨并行、CA按层级分批切换，并且把SLH-DSA（哈希签名，信任假设最保守）留给根CA这一层。

坑五：别把2G退网和PQC混为一谈，但它们会相遇。 A5/1今天就是破的，不需要等量子机；而退网不彻底留下的物联网存量卡，会是你2035年密码台账里最顽固的一页。两件事一个 urgency（紧急度）不同、但共享同一份资产清单。

坑六：合规时钟比量子时钟先响。 对多数运营商来说，真正的Deadline不是CRQC（密码相关量子计算机）问世，而是NIST IR 8547式的监管排期和国内商用密码改造要求。监管不会等你确认量子机是否真的造出来了——2035年在合同里，不在实验室里。

七、行动清单：2026年就该干的六件事

1. 立项做密码资产台账：全网扫IPsec参数、TLS版本、证书算法、HSM清单、SIM/USIM发行批次，输出一张「锁的地图」。
2. 新采购写进密码敏捷条款：明确要求设备支持混合密钥交换、算法套件可软件升级、证书链体积可配置——现在写的条款，决定2032年要不要全量换硬件。
3. 对外服务先灰度混合握手：门户网站、App API、自助服务这些自有系统，2026年内完成X25519+ML-KEM灰度，把「先存后解」的口子先堵住用户数据这一侧。
4. 内部传输网排期试点：选一段非核心的IPsec承载段做RFC 9370混合协商试点，重点观测中间盒兼容性和建链时延。
5. 测试床先行：实验室里跑通mTLS双轨（ECDSA+ML-DSA）证书链，量出真实膨胀倍数，别等设备商用版本给你惊喜。
6. 把AI请进安全运营：密码资产扫描、握手失败归因、证书到期预测，这些高维日志筛查正是AIOps的舒适区——量子迁移是个五到十年的长项目，没有自动化，人盯不下来。

结语

Gidney那篇论文最有意思的地方，不是100万这个数字，而是他论文摘要里的第一句话：「规划向后量子密码系统的过渡，需要理解量子攻击的成本。」——这是写给整个密码社区的，但听懂这句话的应该是每一个管着关键基础设施的人。

量子计算机今天还破不了你网里任何一把锁。但「先存后解」把时间轴拧了过来：威胁的时钟从数据被偷那一刻就开始走了，而不是从量子机开机那一刻。运营商存着全网人十年的通信记录，手里握着全网人十年的密钥资产——这张网今天的每一次「还没来得及加密」，都在给未来的某间解密机房囤积原料。

换锁这件事，互联网公司已经把路蹚出来了，标准已经落地，倒计时已经挂上墙。留给运营商的问题只有一个：这把锁，是排进今年的计划，还是排进2035年的整改通报。

参考来源

1. How to factor 2048 bit RSA integers with less than a million noisy qubits（arXiv:2505.15917） — Craig Gidney，2025年5月：本文量子破解成本估算的原始出处，100万量子比特、一周内破RSA-2048
2. How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits（arXiv:1905.09749） — Gidney & Ekerå，2019年：2000万量子比特的旧估算，六年对比的基准点（该文献在2025论文摘要中被明确引用）
3. NIST Releases First 3 Finalized Post-Quantum Encryption Standards — NIST官方新闻稿，2024年8月：FIPS 203/204/205正式发布
4. NIST IR 8547 (Initial Public Draft): Transition to Post-Quantum Cryptography Standards — NIST过渡路线图草案：2030年弃用、2035年禁用112位安全强度算法
5. ETSI Quantum-Safe Cryptography — ETSI量子安全密码技术专题页：欧洲电信标准化体系下的QSC标准工作入口

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。