**概述**：2025年5月，谷歌量子团队核心研究员Craig Gidney在arXiv贴出一篇论文，把破解RSA-2048所需的量子比特数从2019年估算的2000万个直接砍到100万以内——六年降了20倍。这篇文章回答三个问题：为什么电信运营商是「先存后解」攻击的头号目标；一张5G网络里到底藏着多少把要换的锁；以及运营商手里有哪些现成方案、还卡在哪些坑上。文中量子破解成本数据来自Gidney论文原文，标准时间线来自NIST官方文件，其余工程判断均为作者基于现网经验的分析。
## 目录
- 一、什么叫「先存后解」：运营商是头号目标
- 二、倒计时更新：从两千万到一百万，只用了六年
- 三、清点家底：一张5G网里藏着多少把锁
- 四、新锁长什么样：ML-KEM、ML-DSA与它们的体积问题
- 五、换锁实录：互联网已跑通，运营商慢半拍
- 六、坑在哪：一个老网优的担心清单
- 七、行动清单：2026年就该干的六件事
- 结语
## 一、什么叫「先存后解」：运营商是头号目标
先解释这个词。**Harvest now, decrypt later**——现在先把你的加密数据整包抓走存起来，等量子计算机成熟了再回头解密。这个攻击模型有个残酷的不对称性：**破解发生在未来，泄露发生在今天，而你今天毫无感知**。
为什么运营商是头号目标？三个原因，每一份都写进了行业现实里。
**第一，电信数据天生长寿。** 通话详单、信令记录、语音录音，出于计费争议、监管留存和司法取证的合规要求，往往要在运营商的数据仓库里躺上一到十年。欧洲围绕数据留存指令的司法拉锯打了十几年，国内《网络安全法》也要求日志留存不少于六个月——这还只是底线，实际现网里一份核心网信令镜像在HDFS里存五年毫不稀奇。数据活多久，「先存后解」的攻击窗口就有多长。
**第二，电信的加密生命周期更长。** 消费互联网换个TLS证书是分钟级的事，而电信网里的密码资产是「基建级」的：一张SIM卡出厂后用十年，一根IPsec隧道的水泥——也就是算法套件——是写进设备采购框架协议里的，一台核心网网元的mTLS证书链牵着的CA体系，改一次要过安全评估。设备十五年的折旧周期里，算法可能要横跨整个量子过渡期。
**第三，有些东西根本不用等量子机。** 2G的A5/1流密码早在十几年前就被彩虹表攻破，实时解密已是公开技术；七号信令（SS7）走的是几十年前的明文时代协议，抓到即读懂。2024年曝出的盐台风事件里，攻击者进的是运营商内部数据管道，看的是元数据甚至短信——这不是量子攻击，但它是「先存后解」的前传：**情报机构已经开始批量搬运电信数据了，量子机只是让他们把今天搬走的东西在明天全部打开**。这也是为什么美国在事件后推动运营商加密元数据的监管讨论（此事件此前已有专文复盘，本文不展开）。
## 二、倒计时更新：从两千万到一百万，只用了六年
这是本文的权威锚点，数据全部来自论文原文。
2019年，谷歌的Craig Gidney与瑞典KTH的Martin Ekerå发表估算（arXiv:1905.09749）：一台拥有**2000万个含噪量子比特**的量子计算机，8小时内可分解2048位RSA。当时业界松了口气——2000万物理量子比特，距离当时几十到几百比特的真机还隔着两个数量级，像是个「下个时代」的数字。
2025年5月21日，Gidney一个人在arXiv贴出新论文（arXiv:2505.15917）：同样破解RSA-2048，所需量子比特降到**100万以内**，代价是运行时间从8小时放宽到一周以内。六年，资源需求降了20倍。注意他的前提假设没变：量子比特0.1%的门错误率、1微秒的表面码周期、10微秒的控制系统响应——**这不是换了更乐观的硬件假设，纯粹是算法工程在进步**：近似残差算术、轭式表面码存闲置逻辑比特、魔态蒸馏改魔态培育，三招省下 Nin成资源。论文里还特意对比：比2024年Chevignard等人的方案，Toffoli门数降了100倍。
硬件那头也没闲着。IBM公布的路线图把容错量子计算机（Starling，约200个逻辑量子比特）定在2029年。逻辑量子比特和物理量子比特不是一个东西——按Gidney的估算，100万物理比特大约折合几千个高质量逻辑比特量级——但两条曲线一个在降需求、一个在抬供给，**交叉点正在从「科幻」变成「工程排期」**。
给运营商定调的是NIST。三个关键节点：
| 时间 | 事件 | 性质 |
|---|---|---|
| 1994 | Shor提出量子分解算法，RSA/ECC理论死刑宣判 | 学术 |
| 2019.05 | Gidney-Ekerå估算：2000万量子比特破RSA-2048 | 论文估算 |
| 2022.07 | NIST选定Kyber、Dilithium等后量子候选算法 | 标准进程 |
| 2024.08 | NIST正式发布FIPS 203/204/205三项后量子标准 | 官方标准 |
| 2024.11 | NIST IR 8547草案：112位安全强度算法2030年后弃用、2035年后禁用 | 官方路线图 |
| 2025.05 | Gidney新论文：100万以内量子比特、一周内破RSA-2048 | 论文估算 |
| 2029 | IBM路线图：容错量子计算机Starling | 厂商路线图 |
| 2030 | NIST节点：RSA-2048、256位椭圆曲线进入「弃用」期 | 监管节点 |
| 2035 | NIST节点：联邦系统全面禁用RSA与ECC | 监管节点 |
读一下2030和2035这两行。**NIST作为美国联邦密码标准的制定者，已经给RSA和椭圆曲线定了死亡日期**——不是「可能」，是写进过渡文件的排期。全世界的合规部门、采购框架、设备商路线图都在绕这两个日期倒排。
## 三、清点家底：一张5G网里藏着多少把锁
下面这张图是我在纸上给年轻同事画过很多遍的「全网密码资产地图」，按一条用户面/信令面数据的旅程排布：
```mermaid
flowchart TD
A["手机基带与eSIM"] --> B["空口Uu
NAS加密NEA2"]
B --> C["基站BBU"]
C --> D["回传IPsec
IKEv2密钥交换"]
D --> E["5GC网元之间
HTTP2加mTLS"]
E --> F["网间SEPP
N32用TLS"]
F --> G["对端运营商"]
C -.-> H["运维OAM
SSH与TLS证书"]
E -.-> I["DPI探针
旁路解密靠密钥外送"]
```
逐环节拆开看现状（表格里「风险」指Shor算法下的脆弱性）：
| 环节 | 协议/机制 | 现用密码学 | 量子风险 | 该做什么 |
|---|---|---|---|---|
| 鉴权 | AKA五元组、Milenage | AES（对称） | 低 | 维持，密钥长度可上探 |
| 空口加密 | NAS/RRC，NEA2等 | AES/SNOW 3G/ZUC（对称） | 低 | 对称算法量子下只是减半强度，升256位即可 |
| 用户身份隐藏 | SUPI→SUCI | ECIES（椭圆曲线） | 高 | 关注33.501演进，换混合KEM |
| 回传 | IPsec/IKEv2 | ECDH密钥交换 | 高 | RFC 9370多密钥交换做混合迁移 |
| 核心网内部 | SBA、HTTP/2+TLS | ECDHE+ECDSA证书 | 高 | 密钥交换先混签，证书链分步换 |
| 网间漫游 | N32 SEPP | TLS+PRINS | 高 | 同上，且牵涉外方进度 |
| 运维面 | SSH/TLS/SNMPv3 | 混合，老设备多 | 高 | 台账里最脏的一块，先盘 |
| 2G/3G语音 | A5/1 | 已被破译 | 无需量子 | 加速退网，残余IoT卡单独处置 |
| 信令网 | SS7/Diameter | 大量明文或弱保护 | 无需量子 | 防火墙+加密代理，老问题老办法 |
三个容易误判的点，展开说。
**其一，对称算法不是重灾区。** Grover算法只把AES-128的有效强度砍到64位，升到AES-256就重回安全区。5G现网的NEA2本来就是AES-128，空口这块的任务是「确认与升级」，不是推倒重来。
**其二，重灾区是所有「非对称」的部分。** RSA、DH、ECDH、ECDSA、SM2——只要算法安全性建立在「大数分解/离散对数」上，Shor算法就是降维打击。而恰恰非对称密码承担的是电信网里最贵的两个角色：**密钥协商**（IPsec、TLS握手）和**身份认证**（证书、AKA里的公钥部分）。锁芯全是它，门却有几百扇。
**其三，最疼的往往是最容易被漏掉的。** DPI/信令探针要做到「看得懂TLS里的业务」，依赖从网元外送会话密钥；HSM加密机里躺着CA根钥；OSS那堆十年没动过的网管服务器跑着什么版本的OpenSSH，没人说得清。**量子迁移的第一步不是买新算法，是先知道家底里有多少把锁、分别挂在哪扇门上。**
## 四、新锁长什么样：ML-KEM、ML-DSA与它们的体积问题
NIST在2024年8月正式发布的三项标准，就是运营商未来十年要打交道的「新锁」：
| 算法 | 标准号 | 类型 | 公钥/封装密钥 | 签名或密文 | 对比传统 |
|---|---|---|---|---|---|
| ML-KEM-768 | FIPS 203 | 密钥封装 | 1184字节 | 密文1088字节 | X25519仅32字节，膨胀约35倍 |
| ML-DSA-65 | FIPS 204 | 数字签名 | 1952字节 | 签名3309字节 | ECDSA P-256签名约70字节，膨胀约47倍 |
| SLH-DSA-128s | FIPS 205 | 哈希签名 | 32字节 | 签名7856字节 | 最保守，签名最大 |
（以上尺寸均出自NIST标准参数表；SM4等国密对称算法同AES逻辑，强度减半升256位即可，而SM2基于椭圆曲线，和ECC一起在Shor的风险清单里。）
数字背后是工程真相：**后量子密钥交换便宜，后量子签名昂贵**。
密钥交换这边，ML-KEM-768加上X25519的混合握手，一次TLS 1.3握手多背约2.2KB——谷歌早年CECPQ系列在真实CDN上的灰度实验显示延迟影响在个位数百分比甚至更低，消费互联网已经用海量流量验证过。**签名则是另一回事**：一张ML-DSA-65证书的签名体积是ECDSA的四十多倍，而TLS握手要验的是**证书链**——根CA、中间CA、终端实体三层下来，证书体积轻松膨胀十几倍。这对电信网意味着什么？意味着NB-IoT模组那可怜的内存、意味着5G小站启动时拉证书的F1口、意味着mTLS全开的SBA里AMF和NRF每次建链的报文交互，都在为几十倍的膨胀买单。
所以业界的现实打法是分两步走：**先换密钥交换（吃性能红利，堵住「先存后解」的主漏洞），再换签名体系（等硬件和协议生态跟上）**。这个次序不是谁拍脑袋，是被「先存后解」的威胁模型倒逼出来的——主动攻击者现在就能完成握手并留下密文，今天不换密钥交换，今天的数据就在裸奔。
## 五、换锁实录：互联网已跑通，运营商慢半拍
公网这边，故事已经从试点走向默认值：Chrome在2024年内先后默认启用了X25519+Kyber、再切到X25519+ML-KEM的混合密钥交换；Cloudflare宣布其入站TLS默认支持后量子握手；Signal的PQXDH协议2023年上线，苹果iMessage的PQ3协议2024年跟进。到2024年底，**消费互联网相当大比例的Web流量已经走在混合后量子握手上了**——这是公开可查的行业事实。
运营商侧，节奏慢一拍，但路线图已经分化成三条：
**路线一：算法迁移派。** 走IETF标准通道——TLS 1.3的混合密钥交换草案已成行业事实标准，IKEv2有了RFC 9370多密钥交换扩展，允许在现有ECDH之上叠加ML-KEM做混合协商。设备商的核心网、路由器产品线陆续宣布PQC支持计划，GSMA安全工作组也发布了面向运营商的后量子迁移指引。这条路线的本质是「加密管道升级」，不动业务逻辑，是5G现网近两年就能落地的部分。
**路线二：量子密钥分发派。** 物理层直接发密钥。英国BT与东芝2022年在伦敦建成了62公里的商用QKD光纤链路给金融客户供钥，这是被反复报道的标杆案例。国内走得更产品化：中国电信组建中电信量子集团，把「量子密话」做成普通用户可订购的业务，据公开报道用户规模已达百万级——尽管其安全模型（量子密钥协商+国密加密）与纯PQC路线不同，但**两条路线在「给移动网换安全底座」这件事上是殊途同归**，现网里QKD与PQC混合组网已是常见架构讨论。
**路线三：等标准、等设备商、等合规驱动的「沉默大多数」。** 大量区域性运营商的现状：采购条款里还写着RSA-2048，网元的证书五年没轮换过，安全部门忙着应付眼下的渗透测试。这条路线没有官方名称，但在全球运营商群体里占比恐怕最大。
差距的本质不是钱，是**密码敏捷性（crypto agility）**——互联网公司天然跑在可灰度、可回滚的软件栈上，换个算法套件是发个配置；运营商的密码资产长在设备合同、CA体系、SIM生命周期和跨网漫游协议里，每一项都以年为单位。**这就是为什么NIST把过渡期定到2035年——十年，对一个电信网的完整换锁周期来说，其实并不宽裕。**
## 六、坑在哪：一个老网优的担心清单
把方法论讲完，说点论文里不会写的现网坑。以下是我的工程判断，供参考。
**坑一：证书链膨胀撞上老中间盒。** 现网里DPI、防火墙、负载均衡对TLS握手的处理逻辑是按「几百字节证书」调优的。混入ML-DSA之后证书链暴涨十几倍，轻则触发分片重组问题，重则直接握手失败——**而故障表现会是「升级PQC后部分终端上不了网」这种最难排查的假障**。灰度期间握手成功率、建链时延指标要盯到分钟级。
**坑二：混合不是双保险，是兼容性债务。** X25519+ML-KEM混合握手的安全逻辑是「两条通道攻破其一即失效」，但工程逻辑是「两套实现都要对，握手才成功」。存量老终端不支持混合套件，服务端就得同时挂传统+混合两套，协商逻辑的分支组合是回归测试的噩梦。
**坑三：密码资产台账是最大短板。** 我见过太多网络，安全部说不清全网还有多少台设备在用SSHv1、多少条IPsec隧道用的DH group 2、多少张测试SIM卡还在2G网络上跑A5/1。迁移项目的第一个月别碰算法，先做**全网密码资产扫描**——这活儿枯燥，但决定了后面五年。
**坑四：HSM与CA生态慢半拍。** 根CA换ML-DSA是全局事件，签出来的证书老终端不认就是全网性事故。合理的路径是证书体系双轨并行、CA按层级分批切换，并且把SLH-DSA（哈希签名，信任假设最保守）留给根CA这一层。
**坑五：别把2G退网和PQC混为一谈，但它们会相遇。** A5/1今天就是破的，不需要等量子机；而退网不彻底留下的物联网存量卡，会是你2035年密码台账里最顽固的一页。两件事一个 urgency（紧急度）不同、但共享同一份资产清单。
**坑六：合规时钟比量子时钟先响。** 对多数运营商来说，真正的Deadline不是CRQC（密码相关量子计算机）问世，而是NIST IR 8547式的监管排期和国内商用密码改造要求。监管不会等你确认量子机是否真的造出来了——**2035年在合同里，不在实验室里。**
## 七、行动清单：2026年就该干的六件事
1. **立项做密码资产台账**：全网扫IPsec参数、TLS版本、证书算法、HSM清单、SIM/USIM发行批次，输出一张「锁的地图」。
2. **新采购写进密码敏捷条款**：明确要求设备支持混合密钥交换、算法套件可软件升级、证书链体积可配置——现在写的条款，决定2032年要不要全量换硬件。
3. **对外服务先灰度混合握手**：门户网站、App API、自助服务这些自有系统，2026年内完成X25519+ML-KEM灰度，把「先存后解」的口子先堵住用户数据这一侧。
4. **内部传输网排期试点**：选一段非核心的IPsec承载段做RFC 9370混合协商试点，重点观测中间盒兼容性和建链时延。
5. **测试床先行**：实验室里跑通mTLS双轨（ECDSA+ML-DSA）证书链，量出真实膨胀倍数，别等设备商用版本给你惊喜。
6. **把AI请进安全运营**：密码资产扫描、握手失败归因、证书到期预测，这些高维日志筛查正是AIOps的舒适区——量子迁移是个五到十年的长项目，没有自动化，人盯不下来。
## 结语
Gidney那篇论文最有意思的地方，不是100万这个数字，而是他论文摘要里的第一句话：*「规划向后量子密码系统的过渡，需要理解量子攻击的成本。」*——这是写给整个密码社区的，但听懂这句话的应该是每一个管着关键基础设施的人。
量子计算机今天还破不了你网里任何一把锁。但「先存后解」把时间轴拧了过来：**威胁的时钟从数据被偷那一刻就开始走了，而不是从量子机开机那一刻**。运营商存着全网人十年的通信记录，手里握着全网人十年的密钥资产——这张网今天的每一次「还没来得及加密」，都在给未来的某间解密机房囤积原料。
换锁这件事，互联网公司已经把路蹚出来了，标准已经落地，倒计时已经挂上墙。留给运营商的问题只有一个：这把锁，是排进今年的计划，还是排进2035年的整改通报。
## 参考来源
1. [How to factor 2048 bit RSA integers with less than a million noisy qubits（arXiv:2505.15917）](https://arxiv.org/abs/2505.15917) — Craig Gidney，2025年5月：本文量子破解成本估算的原始出处，100万量子比特、一周内破RSA-2048
2. [How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits（arXiv:1905.09749）](https://arxiv.org/abs/1905.09749) — Gidney & Ekerå，2019年：2000万量子比特的旧估算，六年对比的基准点（该文献在2025论文摘要中被明确引用）
3. [NIST Releases First 3 Finalized Post-Quantum Encryption Standards](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards) — NIST官方新闻稿，2024年8月：FIPS 203/204/205正式发布
4. [NIST IR 8547 (Initial Public Draft): Transition to Post-Quantum Cryptography Standards](https://csrc.nist.gov/pubs/ir/8547/ipd) — NIST过渡路线图草案：2030年弃用、2035年禁用112位安全强度算法
5. [ETSI Quantum-Safe Cryptography](https://www.etsi.org/technologies/quantum-safe-cryptography) — ETSI量子安全密码技术专题页：欧洲电信标准化体系下的QSC标准工作入口
---
> 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。
> 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
> [!tip] 51学通信知识星球
> **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。
> **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。
> **当前规模**：5200 篇主题 / 990 个回答，198 元/年。
> **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。
> **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。
