提起 quantum computing（量子计算），大多数人脑子里蹦出的画面是"更快的电脑"——好像它只是把今天的 i9 换成一台能瞬间跑完 Excel 的超级机器。Aperture 这部近 37 分钟的纪录片《Quantum Computing and the end of the Internet as we know it》要打破的，正是这个无害的错觉。
它的核心论点冷得发烫：量子计算机不是"算得更快的经典电脑"，它是一种结构性地、永久性地摧毁当今互联网信任地基的机器。你刷的 HTTPS、转的账、签的合同、身份证件背后的非对称加密——它们的安全性，全部押在一个赌注上："分解大整数"和"算离散对数"对经典电脑来说太难了。而 1994 年 Peter Shor 提出的一个算法，偏偏能让量子电脑把这两件事的时间复杂度从指数级压成多项式级。一旦足够大的量子机器出现，这个赌注就输了。
更扎心的是视频暗含的一个时间观：威胁不是"某天"才降临，倒计时其实已经按下。本文会拆解这部视频的主线，并补足它来不及展开的硬核原理——尤其是那个被大众彻底误解的点：你以为把密码设长一点、把 RSA 密钥从 2048 位加到 8192 位就能续命，但在 Shor 面前，这条直觉彻底失效。
| 项目 | 内容 |
|---|---|
| 视频标题 | Quantum Computing and the end of the Internet as we know it |
| 频道 | Aperture（@ApertureThinking） |
| 时长 | 约 37 分钟 |
| 播放量 | 72 万+（仍在增长） |
| 核心主题 | 量子计算如何终结当前公钥加密体系，以及"后量子密码学"的全球大迁徙 |
先得讲清楚被威胁的到底是什么。视频反复强调一个被普通人忽略的事实：你之所以敢在网上输银行卡号，不是因为"数据被锁起来了"，而是因为非对称加密（public-key cryptography）让两个素未谋面的人能在公开通道上协商出一个秘密。
这套体系的全部魔法，建立在两个"经典电脑算不动"的数学难题上：大整数分解（RSA 的命门）和椭圆曲线离散对数（ECC 的命门，你手机里的 TLS、Signal、比特币地址几乎都用它）。它们的共同特点是：正向计算容易，反向求解极难。两个 1024 位素数相乘，毫秒级；把乘积再拆回那两个素数，全世界的经典超算凑到一起、算到宇宙热寂也差得远。
这是经典加密的护城河：计算难度随密钥长度呈（亚）指数增长。每多一个 bit，破解工作量翻倍甚至更多。
这是视频的起点：互联网的"信任"不是物理实体，而是一道由数学难度撑起来的悬崖。一旦某种机器能把悬崖铲平，整座大厦的地基就没了。
接下来是全片最关键的转折，也是大多数科普没讲透的地方。1994 年，贝尔实验室的 Peter Shor 证明：在量子计算机上，整数分解可以在多项式时间内完成。
这句听起来平淡的话，分量重得吓人。我用一句话翻译它的杀伤力：
经典暴力破解 RSA：密钥每加长 1 个 bit，破解时间翻倍（指数级）。所以你把 2048 位加到 4096 位，黑客工作量直接 ×2^2048。
Shor 算法：分解 n 位数的时间只随 n 的多项式增长。你把密钥翻倍，量子电脑的工作量只是按多项式温和地涨一点。
这就是"延长密钥没用"的全部真相。在经典世界，"把钥匙做长"是万能续命药；在 Shor 面前，它变成安慰剂。想把 RSA 续到能扛住量子，你得用大到天文数字的密钥，而那样的密钥会让正常加解密慢到无法使用——整个系统自我瘫痪。换句话说，问题不是"什么时候量子电脑够快"，而是"经典公钥加密这条路线，本质上挡不住 Shor"。换密码长度修不了结构性缺陷，只有换数学才行。
（说明：上述对复杂度的拆解，是我在视频主线之上补足的延伸分析；视频用更感性的语言描述了同一件事，但没有展开到多项式 vs 指数的层面。）
视频最具冲击力的观点，是它对时间的重新定义。很多人以为：等量子计算机 2035 年造出来，我们到时候再换密码就行。这套"到时候再说"的逻辑，被一个叫 HNDL（Harvest Now, Decrypt Later，先收割后解密）的策略彻底击穿。
逻辑很简单：国家级对手现在就在光纤骨干网上截获并囤积全世界的加密流量。他们今天解不开，没关系——先把你的密文存进冷库，等量子机成熟，再批量回放解密。
这造成的后果是颠覆性的：对于"寿命长"的数据，量子威胁从"未来的事"变成了"现在的事"。哪些数据寿命长？
所以结论很冷酷：即使量子机 2035 年才来，你 2026 年加密的这些数据，今天就已经"实质泄露"了——只是解锁的日期被推迟而已。视频用"互联网的终结"这种重词，根子就在这里：终结的不是网络本身，而是"加密=长期安全"这个我们默认了三十年的假设。
为了不变成纯恐吓，必须给出诚实的进度刻度。视频展示了当前量子硬件的真实位置（这部分结合 2024–2025 的公开突破）：
而要跑 Shor 攻破 RSA-2048，业界普遍估计需要 约 2000 万个物理量子比特（含纠错开销，Gidney & Ekerå 2019 的估算约 2000 万物理比特、8 小时）。从几百到两千万，中间隔着 4–5 个数量级的工程鸿沟。所以"明天就崩"是危言耸听，但"方向不可逆、终点确定"才是视频想传达的清醒判断。
关键区分：今天媒体爱炒的"量子霸权"（在某个人造任务上比超算快）和"密码学相关量子计算机"（CRQC，能真正破 RSA）是两回事。前者已经有了，后者还远——但后者一定会来。
既然加长密钥是死路，出路在哪？视频给出的答案（也是全球密码学界的共识）是 Post-Quantum Cryptography（PQC，后量子密码学）：换一套连量子电脑也攻不破的数学难题。
注意，这和"用量子对抗量子"完全不同。PQC 是纯软件层面的、运行在经典电脑上的新算法，不需要量子硬件。它的根基是几类被认为"对量子也难"的问题，最主要的是格密码（lattice-based cryptography）。2024 年 8 月，NIST（美国国家标准与技术研究院）正式发布了三大后量子标准：
| 标准 | 原名 | 用途 |
|---|---|---|
| FIPS 203 | ML-KEM / Kyber | 密钥封装（替代 RSA/ECC 的密钥协商） |
| FIPS 204 | ML-DSA / Dilithium | 数字签名（替代 RSA 签名） |
| FIPS 205 | SLH-DSA / SPHINCS+ | 基于哈希的签名（无格，纯保守备胎） |
核心洞察是反直觉的：防御量子的关键不是更多的算力或更长的密钥，而是换一种连量子电脑都"算不动"的数学结构。格问题的难度，对经典和量子都成立。这才是结构性修复，而不是续命。
（顺带澄清一个常见误解：对称加密（AES）和哈希（SHA）基本没事。量子对它们只有 Grover 算法的"平方级"加速，把 AES-256 的安全强度从 256 位降到约 128 位，依然牢不可破。所以死的是公钥体系，不是所有加密——把 AES-256 换成"量子版 AES-512"纯属多余，重点必须放在替换 RSA/ECC 上。）
视频后半段把镜头从"算法"转向"工程"，而这恰恰是最被低估的部分。发明 PQC 不难（已经有了），难的是把整个互联网的公钥基础设施（PKI）迁过去。这件事被业内比作"Y2K 的进阶地狱版"，理由有三：
加密无处不在且不可见。密码学藏在每一个 TLS 握手、每一张数字证书、每一个固件签名、每一条银行报文里。很多组织根本不知道自己系统里哪儿用了 RSA——Cisco 有个著名的项目就叫 "Where's the Crypto?"（密码在哪儿），因为没人答得上来。
签名寿命可能比迁移周期还长。一份 2018 年用 RSA 签的固件根证书，可能要到 2038 年才退役；如果量子机 2032 年就来了，那这个签名在余下的生命周期里就是裸奔的。
过渡期必须"双跑"。新旧算法不能一刀切，要跑混合模式（hybrid）——同时用经典 + 后量子，两把锁都打开才放行。这会让协议变复杂、性能下降、攻击面增大（历史上混合方案出过实现 bug）。
美国政府和 NSA 给出的时间表是 2035 年前完成全面 PQC 迁移（NSM-10、CISA 的 "Quantum-Readiness" 路线图）。考虑到一个大型机构光是盘点资产就要数年，这个 deadline 一点也不宽裕。
视频在收尾附近传达的决策逻辑，用滑铁卢大学 Michele Mosca 的一个著名公式概括最清楚，业内称为 Mosca 定理：
如果（数据保密寿命 X）+（系统迁移时间 Y）>（量子计算机到来时间 Z），那么你现在就有麻烦。
这个公式厉害在它把抽象威胁变成了一个可算的决策门槛。代入现实数字感受一下：假设你要保护的数据需保密 30 年（X），你的系统从评估到完成 PQC 迁移要 10 年（Y），而业界估计 CRQC 可能在 15 年内出现（Z）。30 + 10 = 40 > 15 → 结论：你必须今天就启动迁移，不是"等量子来了再说"。
X 和 Y 加起来必须小于 Z，而你完全无法压缩 X（数据的固有寿命改不了），唯一能争取的就是尽早开始压缩 Y。这就是为什么所有严肃机构都在喊"现在就动手"——不是因为他们怕明天的量子机，而是因为他们怕今天的拖延。
flowchart TD
A["今日互联网信任地基<br/>RSA / ECC 公钥加密"] --> B{"足够大的量子计算机<br/>+ Shor 算法"}
B -->|"复杂度: 指数→多项式"| C["RSA/ECC 被结构性攻破<br/>HTTPS / 银行 / 签名失效"]
A -.->|"HNDL: 现在就截获密文"| D["加密数据已被囤积<br/>等量子机回放解密"]
C --> E
D --> E["倒计时早已启动"]
E --> F{"怎么办？"}
F -->|"加长 RSA 密钥"| G["✗ 无用<br/>指数已被压成多项式"]
F -->|"换更长对称密钥 AES-512"| H["△ 错位<br/>对称本就没事, 死的是公钥"]
F -->|"迁移到 PQC 新数学<br/>NIST FIPS 203/204/205"| I["✓ 唯一结构性出路"]
I --> J["迁移本身 = 真正难题<br/>加密无处不在 / 混合双跑 / 比 Y2K 更难"]
J --> K["Mosca 定理决策门<br/>数据寿命X + 迁移时间Y > 量子到来Z ?<br/>是 → 必须今天就动手"]
K --> L["2035 全面 PQC 迁移 deadline"]
如果你是开发者 / 架构师： 第一件事不是去买什么"量子防火墙"，而是做一次加密资产盘点（crypto inventory）。把你系统里所有用到 RSA、ECC、DH 的地方——TLS 配置、证书签发链、JWT 签名、固件升级验签、数据库字段加密的密钥包装——全部列出来，标注每份数据的"保密寿命"。这一步省不掉，因为 PQC 迁移的 80% 工作量在"找到密码学藏在哪里"，而不在替换算法。Google、Cloudflare、Signal 已经在跑 ML-KEM（Kyber）的混合模式试点，可直接参考其工程实践。
如果你是技术决策者： 把 Mosca 定理当 KPI 来用。算清楚你组织最敏感数据的 X（寿命）、你估的 Y（迁移周期）、外部估的 Z（量子机时间，业界多用 10–20 年区间）。一旦 X + Y > Z，立刻把 PQC 迁移提上路线图，而不是放进"未来研究"。优先级排序是：先保护长寿命数据（身份、根证书、固件签名）→ 再做 TLS/会话密钥 → 最后是短期会话。短期会话最不怕 HNDL，因为它今天截获、明天就过期。
如果你是普通读者： 你需要升级的认知是——"加密"从来不是一劳永逸的状态，它是一种有保质期的赌注，赌的是"破解它的算力在你数据失效前不会出现"。量子时代把这个赌注的期限从"几十年"压到了"看你什么时候换算法"。所以以后看到任何系统宣称"军事级加密"而无视它用的是不是后量子算法，你心里要有杆秤：密钥再长，抵不过一次数学范式更替。这也解释了为什么大厂这两年都在悄悄把"Kyber / Dilithium"塞进协议里——他们赌的不是量子机 2026 年来，而是赌 HNDL 的截获从 2015 年就开始了。
量子计算机真正的杀伤力，不在于算得更快，而在于 Shor 算法把"分解大整数"从指数难题降维成多项式题——于是加长密钥这种续命手段彻底失效，唯一出路是用全新的后量子数学重建互联网的信任地基，而且这场比 Y2K 更难的大迁徙，今天就必须启动。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。