企业后量子时代TLS/SSL证书指南

几十年来，TLS/SSL一直像一道无形的屏障，保护着互联网。“安全连接”意味着数据在互联网传输之前就已经被加密。RSA和椭圆曲线密码学等算法提供了这种保护。迄今为止，这些算法能够有效抵御传统计算机的攻击。但量子计算正在改写规则。理论上，像 Shor算法这样的算法可以破解RSA和ECC，其规模之大，传统计算机根本无法应对。如果足够强大的量子计算机问世（许多研究人员称之为“Q日”），那么如今的TLS/SSL基础设施可能会崩溃。

这种风险并非假设。攻击者已经在实施“先收割后解密”攻击：他们今天拦截加密数据并存储起来，然后等待量子计算机能够解密的时机。诸如金融交易、医疗记录或国家机密等敏感资产可能会在数年后突然泄露。

这篇博客探讨了后量子密码学(PQC)对SSL证书的意义，企业为何需要立即采取行动，以及他们可以采取哪些切实可行的步骤来做好准备。

量子计算为何威胁TLS？

为了理解量子威胁，我们首先来了解一下TLS/SSL目前的工作原理。一个安全的会话依赖于三个加密构建模块：

对称加密，例如AES

一旦会话密钥达成一致，对称加密算法就会对大部分数据进行加密。即使使用量子计算机，这些数据仍然相对安全。Grover算法仅提供二次方级的加速，这意味着AES-256的安全性实际上会降至AES-128，但对于企业级应用来说仍然足够强大。

非对称密钥交换，例如RSA或Diffie-Hellman

这就是问题所在。这些系统依赖于诸如大整数分解或离散对数问题这类难题的难度。而 Shor算法使得量子计算机能够在多项式时间内解决这两个问题。RSA-2048被认为能够抵御经典攻击，但在足够大的量子计算机上却可能被破解。像P-256这样的椭圆曲线密码也好不到哪里去，它们所谓的128位安全性在Shor算法面前几乎荡然无存。

数字签名（RSA、ECDSA）

同样的漏洞也存在于此。如果攻击者能够伪造证书签名，整个公钥基础设施信任链就会崩溃。

这就带来了一种被称为“先收割后解密”的特殊且危险的风险。试想一下，恶意攻击者截获了一家全球性银行长达十年的加密流量。攻击者今天可能无法破解，但未来量子计算机或许能够将其解码，从而泄露财务记录、商业机密或个人身份信息。

SSL证书是这一威胁的核心。SSL/TLS握手和证书验证都依赖于RSA或ECC算法。如果这些算法失效，那么用于保障网络通信安全的证书也会失效。这就是为什么企业不能将PQC视为“未来才会出现的问题”。今天保护数据的加密技术明天可能就失效了，而攻击者早已为此做好了准备。

TLS和PQC：正在发生哪些变化

TLS的设计初衷就是模块化，这也是它能够经受住多年来多次密码学变革的原因。如前所述，在量子计算时代，其主要漏洞在于密钥交换协议（RSA、Diffie-Hellman或ECDH）和数字签名（RSA、ECC）。这两者都会直接影响SSL证书。

一种切实可行的短期方案是混合握手。它结合了传统算法和量子安全算法。例如，握手过程可以不完全依赖椭圆曲线Diffie-Hellman算法，而是将其与Kyber等抗量子算法结合使用。这样，即使其中一个算法遭到破坏，会话仍然安全。Cloudflare和Google早在2022年就开始在Chrome浏览器和Cloudflare的边缘网络中试验这种混合方案。他们的试验结果表明：

密钥大小差异：椭圆曲线Diffie-Hellman公钥为32字节，Kyber-768公钥约为1,184字节。这大约是前者的37倍。

握手性能：尽管密钥较大，但增加的延迟很小（以毫秒为单位测量），带宽开销也是可控的。

兼容性：混合模型保证老客户仍然可以回退到经典算法，而现代客户则可以受益于 PQC。

为了在PQC时代保持有效性，SSL证书最终需要嵌入像Dilithium这样的量子安全签名方案。这意味着证书颁发机构、浏览器和服务器都需要进行调整。如果没有支持PQC的签名，即使密钥交换过程是安全的，证书本身未来也可能被伪造。

NIST PQC标准及行业应用

向后量子密码学的转变并非孤立发生。自2016年以来，美国国家标准与技术研究院（NIST）一直在举办一项全球竞赛，旨在寻找能够抵御量子攻击的算法。在数十份参赛作品中（其中大多数基于格密码学），最终涌现出几款入围决赛的算法。

2022年7月，美国国家标准与技术研究院（NIST）公布了其首套标准：

CRYSTALS-Kyber（用于密钥交换）：一种基于晶格的密钥封装机制（KEM）。选择Kyber是因为它高效、密文小，并且能够抵御已知的量子攻击和经典攻击。

CRYSTALS-Dilithium（用于数字签名）：另一种基于格的算法，因其强大的安全证明和高效的验证速度而被选中。

NIST还为特殊用例命名了Falcon（一种紧凑的签名方案）和 SPHINCS+（一种基于哈希的备份方案）。

其他候选方案，如SIKE（超奇异同源密钥封装），在2022年被研究人员用经典攻击破解，这凸显了NIST的审查过程为何如此严格。

野外收养

大型科技公司并未等待最终文件出台。Cloudflare、谷歌和微软已经开展了基于混合PQC握手的实际TLS实验。Chrome和Firefox也已开始添加后量子算法的代码路径。在证书方面，DigiCert和Entrust等领先的证书颁发机构（CA）正在参与工作组，测试支持PQC的证书。

作为TLS客户端的浏览器和操作系统也在积极准备。例如，Chrome的早期版本已经支持混合模式下的Kyber，而OpenSSL也发布了包含PQC原语的实验性分支。

为什么企业现在需要关注这个问题

企业应了解，PQC迁移将分阶段进行，而非一蹴而就。长期有效的证书、遗留系统和嵌入式设备都会使过渡过程变得复杂。今天截获的敏感数据在10年或20年后可能仍然具有价值。等到标准得到普遍部署时，可能已经为时过晚，无法保护已经泄露的数据。

好消息是，所有必要的要素都已具备。随着NIST标准的最终确定和行业应用的推进，通往量子安全SSL的道路已经清晰可见。真正的问题在于，各组织机构将以多快的速度采取行动。

企业准备情况检查表

迁移到量子安全SSL并非一蹴而就，而是一个涉及证书、基础设施和人员的多年过程。以下是帮助企业做好准备的分步清单。

库存所有证书

务必审核所有TLS/SSL证书，而不仅仅是那些面向公共互联网的证书。这还包括内部用于 API、VPN 和物联网设备的证书。检查所有类型的证书，从DV、OV和EV证书到通配符证书和多域证书。这能让您清楚地了解证书的续订计划，并有助于发现那些可能在未来迁移过程中引发问题的长期有效证书。

缩短更新周期

公共SSL/TLS证书的有效期现已限制为398天，但许多组织仍然使用有效期更长的私有CA证书。这些证书可能会在PQC过渡期间造成迁移延迟。通过使用ACME SSL自动化强制执行更短的续订周期，企业可以降低环境中长期存在过时算法的风险。

与供应商和证书颁发机构接洽

请与您的证书颁发机构(CA)沟通，了解他们的PQC路线图。他们是否正在测试基于 Dilithium的签名？过渡期间是否会支持混合证书？现在就获得这些信息，可以帮助您规划采购，并使合同条款与未来的需求保持一致。

升级您的TLS基础架构

请检查您的Web服务器、负载均衡器和中间件是否支持混合TLS。OpenSSL、BoringSSL和WolfSSL均已提供PQC测试分支。企业应使用这些版本搭建实验室环境，以评估性能开销、握手时间和与客户端设备的兼容性。

试点混合部署

不要等到生产环境才开始测试。先在预发布环境中部署低风险的应用。例如，测试内部服务之间的混合TLS握手（ECDH+Kyber）。衡量性能影响：握手包大小、CPU 使用率和连接成功率。这样可以在扩展之前获得基准指标。

随时了解最新信息并培训团队

应指定专人跟踪来自NIST、CA/浏览器论坛和浏览器厂商的更新信息。IT和安全人员也应接受PQC概念培训，以便了解混合证书、更大的密钥长度以及迁移带来的合规性影响。

为量子安全型SSL未来做好准备

传统的公钥加密技术，例如目前支撑TLS/SSL的RSA或ECC，可能会被足够强大的量子计算机破解。这不再是理论问题，而是NIST、ENISA等机构以及主要浏览器厂商正在积极应对的现实问题。那么，这对SNI以及更广泛的SSL生态系统意味着什么呢？

TLSv1.3需要采用后量子加密算法，例如基于格的Kyber、Dilithium或基于哈希的签名。这些算法目前正在进行标准化和性能开销测试。

由于ECH已经能够有效隐藏SNI，下一步是将ECH与基于PQC的密钥交换相结合。这不仅能确保主机名加密，还能保证加密握手本身能够抵御未来的量子攻击。

企业很可能会先采用混合握手（经典握手+PQC）。这种方法既能与现有客户端兼容，又能逐步过渡到完全量子安全的TLS。

DigiCert和GlobalSign等证书颁发机构(CA)正在试验PQC证书颁发。依赖TLS实现内部微服务或面向公众的应用程序的组织需要密切关注这些进展，并开始规划迁移。

为量子安全的SSL未来做好准备并非出于恐慌，而是出于远见。正如SNI曾经是一个小小的扩展，却推动了HTTPS的大规模普及一样，量子安全的TLS也将是一次悄无声息却至关重要的升级，确保加密通信在未来几十年内依然有效。