# 延长密钥没用：量子把指数压成多项式 ## 导语 提起 quantum computing（量子计算），大多数人脑子里蹦出的画面是"更快的电脑"——好像它只是把今天的 i9 换成一台能瞬间跑完 Excel 的超级机器。Aperture 这部近 37 分钟的纪录片《Quantum Computing and the end of the Internet as we know it》要打破的，正是这个无害的错觉。 它的核心论点冷得发烫：量子计算机不是"算得更快的经典电脑"，它是一种结构性地、永久性地摧毁当今互联网信任地基的机器。你刷的 HTTPS、转的账、签的合同、身份证件背后的非对称加密——它们的安全性，全部押在一个赌注上：**"分解大整数"和"算离散对数"对经典电脑来说太难了**。而 1994 年 Peter Shor 提出的一个算法，偏偏能让量子电脑把这两件事的时间复杂度从指数级压成多项式级。一旦足够大的量子机器出现，这个赌注就输了。 更扎心的是视频暗含的一个时间观：威胁不是"某天"才降临，倒计时其实**已经按下**。本文会拆解这部视频的主线，并补足它来不及展开的硬核原理——尤其是那个被大众彻底误解的点：**你以为把密码设长一点、把 RSA 密钥从 2048 位加到 8192 位就能续命，但在 Shor 面前，这条直觉彻底失效**。 ## 视频背景卡片 | 项目 | 内容 | |------|------| | 视频标题 | Quantum Computing and the end of the Internet as we know it | | 频道 | Aperture（@ApertureThinking）| | 时长 | 约 37 分钟 | | 播放量 | 72 万+（仍在增长）| | 核心主题 | 量子计算如何终结当前公钥加密体系，以及"后量子密码学"的全球大迁徙 | ## 核心内容拆解 ### 一、互联网的信任，押在一个数学赌注上 先得讲清楚被威胁的到底是什么。视频反复强调一个被普通人忽略的事实：你之所以敢在网上输银行卡号，不是因为"数据被锁起来了"，而是因为**非对称加密（public-key cryptography）**让两个素未谋面的人能在公开通道上协商出一个秘密。 这套体系的全部魔法，建立在两个"经典电脑算不动"的数学难题上：**大整数分解**（RSA 的命门）和**椭圆曲线离散对数**（ECC 的命门，你手机里的 TLS、Signal、比特币地址几乎都用它）。它们的共同特点是：正向计算容易，反向求解极难。两个 1024 位素数相乘，毫秒级；把乘积再拆回那两个素数，全世界的经典超算凑到一起、算到宇宙热寂也差得远。 > 这是经典加密的护城河：**计算难度随密钥长度呈（亚）指数增长**。每多一个 bit，破解工作量翻倍甚至更多。 这是视频的起点：互联网的"信任"不是物理实体，而是**一道由数学难度撑起来的悬崖**。一旦某种机器能把悬崖铲平，整座大厦的地基就没了。 ### 二、Shor 算法：把指数级压成多项式级（视频的核心，也是本文标题的由来） 接下来是全片最关键的转折，也是大多数科普没讲透的地方。1994 年，贝尔实验室的 Peter Shor 证明：**在量子计算机上，整数分解可以在多项式时间内完成**。 这句听起来平淡的话，分量重得吓人。我用一句话翻译它的杀伤力： > 经典暴力破解 RSA：密钥每加长 1 个 bit，破解时间**翻倍**（指数级）。所以你把 2048 位加到 4096 位，黑客工作量直接 ×2^2048。 > > Shor 算法：分解 n 位数的时间只随 n 的多项式增长。你把密钥翻倍，量子电脑的工作量只是按多项式**温和地**涨一点。 **这就是"延长密钥没用"的全部真相**。在经典世界，"把钥匙做长"是万能续命药；在 Shor 面前，它变成安慰剂。想把 RSA 续到能扛住量子，你得用大到天文数字的密钥，而那样的密钥会让正常加解密慢到无法使用——整个系统自我瘫痪。换句话说，**问题不是"什么时候量子电脑够快"，而是"经典公钥加密这条路线，本质上挡不住 Shor"**。换密码长度修不了结构性缺陷，只有换数学才行。 （说明：上述对复杂度的拆解，是我在视频主线之上补足的延伸分析；视频用更感性的语言描述了同一件事，但没有展开到多项式 vs 指数的层面。） ### 三、"先收割，后解密"：倒计时其实早就开始了 视频最具冲击力的观点，是它对**时间**的重新定义。很多人以为：等量子计算机 2035 年造出来，我们到时候再换密码就行。这套"到时候再说"的逻辑，被一个叫 **HNDL（Harvest Now, Decrypt Later，先收割后解密）**的策略彻底击穿。 逻辑很简单：国家级对手现在就在光纤骨干网上**截获并囤积**全世界的加密流量。他们今天解不开，没关系——先把你的密文存进冷库，等量子机成熟，再批量回放解密。 这造成的后果是颠覆性的：**对于"寿命长"的数据，量子威胁从"未来的事"变成了"现在的事"**。哪些数据寿命长？ - 国家机密、外交电报（保密期 30–50 年以上） - 你的身份证号、生物特征、基因数据（一辈子） - 区块链上已发生的交易、早期比特币地址的私钥 - 你今天发出的、用 RSA/ECC 签名的长期合同 所以结论很冷酷：**即使量子机 2035 年才来，你 2026 年加密的这些数据，今天就已经"实质泄露"了**——只是解锁的日期被推迟而已。视频用"互联网的终结"这种重词，根子就在这里：终结的不是网络本身，而是"加密=长期安全"这个我们默认了三十年的假设。 ### 四、今天的量子硬件：离攻破 RSA 还差得远，但方向已定 为了不变成纯恐吓，必须给出诚实的进度刻度。视频展示了当前量子硬件的真实位置（这部分结合 2024–2025 的公开突破）： - **Google Willow（2024 年 12 月）**：105 个物理量子比特，首次让表面码（surface code）纠错做到"低于阈值"——即**增加更多物理量子比特，逻辑错误率反而指数下降**。这是从"越加越错"到"越加越准"的质变。 - **Microsoft Majorana 1（2025 年 2 月）**：基于拓扑量子比特（topological qubit），用"马约拉纳零模"在硬件层面天然抑制部分噪声，目标是降低纠错开销。 - **现状**：能稳定操控的物理量子比特在百到千量级。 而要跑 Shor 攻破 RSA-2048，业界普遍估计需要 **约 2000 万个物理量子比特**（含纠错开销，Gidney & Ekerå 2019 的估算约 2000 万物理比特、8 小时）。从几百到两千万，中间隔着 4–5 个数量级的工程鸿沟。所以"明天就崩"是危言耸听，但**"方向不可逆、终点确定"**才是视频想传达的清醒判断。 > 关键区分：今天媒体爱炒的"量子霸权"（在某个人造任务上比超算快）和"密码学相关量子计算机"（CRQC，能真正破 RSA）是两回事。前者已经有了，后者还远——但后者一定会来。 ### 五、真正的解药：不是更长的钥匙，而是全新的数学 既然加长密钥是死路，出路在哪？视频给出的答案（也是全球密码学界的共识）是 **Post-Quantum Cryptography（PQC，后量子密码学）**：**换一套连量子电脑也攻不破的数学难题**。 注意，这和"用量子对抗量子"完全不同。PQC 是**纯软件**层面的、运行在经典电脑上的新算法，不需要量子硬件。它的根基是几类被认为"对量子也难"的问题，最主要的是**格密码（lattice-based cryptography）**。2024 年 8 月，NIST（美国国家标准与技术研究院）正式发布了三大后量子标准： | 标准 | 原名 | 用途 | |------|------|------| | **FIPS 203** | ML-KEM / Kyber | 密钥封装（替代 RSA/ECC 的密钥协商）| | **FIPS 204** | ML-DSA / Dilithium | 数字签名（替代 RSA 签名）| | **FIPS 205** | SLH-DSA / SPHINCS+ | 基于哈希的签名（无格，纯保守备胎）| 核心洞察是反直觉的：**防御量子的关键不是更多的算力或更长的密钥，而是换一种连量子电脑都"算不动"的数学结构**。格问题的难度，对经典和量子都成立。这才是结构性修复，而不是续命。 （顺带澄清一个常见误解：**对称加密（AES）和哈希（SHA）基本没事**。量子对它们只有 Grover 算法的"平方级"加速，把 AES-256 的安全强度从 256 位降到约 128 位，依然牢不可破。所以**死的是公钥体系，不是所有加密**——把 AES-256 换成"量子版 AES-512"纯属多余，重点必须放在替换 RSA/ECC 上。） ### 六、迁移本身，才是"终结互联网"的真正难题 视频后半段把镜头从"算法"转向"工程"，而这恰恰是最被低估的部分。**发明 PQC 不难（已经有了），难的是把整个互联网的公钥基础设施（PKI）迁过去**。这件事被业内比作"Y2K 的进阶地狱版"，理由有三： 1. **加密无处不在且不可见**。密码学藏在每一个 TLS 握手、每一张数字证书、每一个固件签名、每一条银行报文里。很多组织根本不知道自己系统里哪儿用了 RSA——Cisco 有个著名的项目就叫 **"Where's the Crypto?"（密码在哪儿）**，因为没人答得上来。 2. **签名寿命可能比迁移周期还长**。一份 2018 年用 RSA 签的固件根证书，可能要到 2038 年才退役；如果量子机 2032 年就来了，那这个签名在余下的生命周期里就是裸奔的。 3. **过渡期必须"双跑"**。新旧算法不能一刀切，要跑**混合模式（hybrid）**——同时用经典 + 后量子，两把锁都打开才放行。这会让协议变复杂、性能下降、攻击面增大（历史上混合方案出过实现 bug）。 美国政府和 NSA 给出的时间表是 **2035 年前完成全面 PQC 迁移**（NSM-10、CISA 的 "Quantum-Readiness" 路线图）。考虑到一个大型机构光是盘点资产就要数年，这个 deadline 一点也不宽裕。 ### 七、Mosca 定理：一个让你"现在就该动"的简单公式 视频在收尾附近传达的决策逻辑，用滑铁卢大学 Michele Mosca 的一个著名公式概括最清楚，业内称为 **Mosca 定理**： > **如果（数据保密寿命 X）+（系统迁移时间 Y）>（量子计算机到来时间 Z），那么你现在就有麻烦。** 这个公式厉害在它把抽象威胁变成了一个可算的决策门槛。代入现实数字感受一下：假设你要保护的数据需保密 **30 年**（X），你的系统从评估到完成 PQC 迁移要 **10 年**（Y），而业界估计 CRQC 可能在 **15 年内**出现（Z）。30 + 10 = 40 > 15 → **结论：你必须今天就启动迁移，不是"等量子来了再说"**。 X 和 Y 加起来必须小于 Z，而你完全无法压缩 X（数据的固有寿命改不了），唯一能争取的就是尽早开始压缩 Y。这就是为什么所有严肃机构都在喊"现在就动手"——不是因为他们怕明天的量子机，而是因为他们怕**今天的拖延**。 ## 知识结构图 ```mermaid flowchart TD A["今日互联网信任地基
RSA / ECC 公钥加密"] --> B{"足够大的量子计算机
+ Shor 算法"} B -->|"复杂度: 指数→多项式"| C["RSA/ECC 被结构性攻破
HTTPS / 银行 / 签名失效"] A -.->|"HNDL: 现在就截获密文"| D["加密数据已被囤积
等量子机回放解密"] C --> E D --> E["倒计时早已启动"] E --> F{"怎么办？"} F -->|"加长 RSA 密钥"| G["✗ 无用
指数已被压成多项式"] F -->|"换更长对称密钥 AES-512"| H["△ 错位
对称本就没事, 死的是公钥"] F -->|"迁移到 PQC 新数学
NIST FIPS 203/204/205"| I["✓ 唯一结构性出路"] I --> J["迁移本身 = 真正难题
加密无处不在 / 混合双跑 / 比 Y2K 更难"] J --> K["Mosca 定理决策门
数据寿命X + 迁移时间Y > 量子到来Z ?
是 → 必须今天就动手"] K --> L["2035 全面 PQC 迁移 deadline"] ``` ## 实战启示 **如果你是开发者 / 架构师：** 第一件事不是去买什么"量子防火墙"，而是**做一次加密资产盘点（crypto inventory）**。把你系统里所有用到 RSA、ECC、DH 的地方——TLS 配置、证书签发链、JWT 签名、固件升级验签、数据库字段加密的密钥包装——全部列出来，标注每份数据的"保密寿命"。这一步省不掉，因为 PQC 迁移的 80% 工作量在"找到密码学藏在哪里"，而不在替换算法。Google、Cloudflare、Signal 已经在跑 **ML-KEM（Kyber）的混合模式**试点，可直接参考其工程实践。 **如果你是技术决策者：** 把 Mosca 定理当 KPI 来用。算清楚你组织最敏感数据的 X（寿命）、你估的 Y（迁移周期）、外部估的 Z（量子机时间，业界多用 10–20 年区间）。一旦 X + Y > Z，立刻把 PQC 迁移提上路线图，而不是放进"未来研究"。优先级排序是：**先保护长寿命数据（身份、根证书、固件签名）→ 再做 TLS/会话密钥 → 最后是短期会话**。短期会话最不怕 HNDL，因为它今天截获、明天就过期。 **如果你是普通读者：** 你需要升级的认知是——"加密"从来不是一劳永逸的状态，它是一种**有保质期的赌注**，赌的是"破解它的算力在你数据失效前不会出现"。量子时代把这个赌注的期限从"几十年"压到了"看你什么时候换算法"。所以以后看到任何系统宣称"军事级加密"而无视它用的是不是后量子算法，你心里要有杆秤：**密钥再长，抵不过一次数学范式更替**。这也解释了为什么大厂这两年都在悄悄把"Kyber / Dilithium"塞进协议里——他们赌的不是量子机 2026 年来，而是赌 HNDL 的截获从 2015 年就开始了。 ## 延伸学习路径 1. **NIST PQC 官方页面**（csrc.nist.gov → Post-Quantum Cryptography）— 直接读 FIPS 203/204/205 的标准文本与迁移指南，最权威的"解药"出处。 2. **Cloudflare Research 博客：The TLS Post-Quantum Experiment** — 看一线厂商如何在真实 TLS 流量上灰度部署 Kyber 混合模式，工程味十足。 3. **Michele Mosca 经典论文《Cybersecurity in an Era with Quantum Computers》** — Mosca 定理的原始出处，短短几页，却定义了整个行业的决策框架。 4. **Google 博客：Meet Willow, Our State-of-the-Art Quantum Chip（2024）** — 理解"低于阈值纠错"为何是从量变到质变的关键里程碑，补足视频没讲透的硬件细节。 5. **Daniel J. Bernstein & Tanja Lange《Post-Quantum Cryptography》(书)** — 该领域的标准教材，想深入格密码、编码密码、多变量密码的硬核读者必读。 ## 一句话总结 量子计算机真正的杀伤力，不在于算得更快，而在于 Shor 算法把"分解大整数"从指数难题降维成多项式题——于是加长密钥这种续命手段彻底失效，唯一出路是用全新的后量子数学重建互联网的信任地基，而且这场比 Y2K 更难的大迁徙，今天就必须启动。 ## 参考来源 1. [Quantum Computing and the end of the Internet as we know it — Aperture](https://www.youtube.com/watch?v=ZvO5kikFVOk) — 本文分析的核心视频 2. [NIST Post-Quantum Cryptography Standardization / FIPS 203, 204, 205](https://csrc.nist.gov/projects/post-quantum-cryptography) — 后量子标准官方来源 3. [Google Research — Meet Willow, Our State-of-the-Art Quantum Chip (2024)](https://blog.google/technology/research/google-willow-quantum-chip/) — 低于阈值量子纠错的里程碑 4. [CISA Post-Quantum Cryptography Initiative / Quantum-Readiness Roadmap](https://www.cisa.gov/quantum) — 美国政府迁移路线图与 deadline 5. [Gidney & Ekerå (2019), "How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits"](https://arxiv.org/abs/1905.09749) — 攻破 RSA-2048 所需量子资源的权威估算 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。