当前位置：
2026年10月27日，美国国家标准与技术研究院（NIST）发布《向后量子密码标准过渡》（NIST IR 8547）。报告概述了NIST推动各机构组织将现有系统从易受量子攻击的密码算法迁移至抗量子标准的官方思路与时间表，为联邦机构、产业合作伙伴和标准组织开展迁移提供核心技术依据。
Credit: J. Wang/NIST and Shutterstock
2024年8月，美国国家标准与技术研究院（NIST）发布了旨在抵御未来量子计算机攻击的后量子密码（Post-Quantum Cryptography, PQC）标准。如今，NIST发布了这份名为《向后量子密码标准过渡》（NISTIR 8547）的报告，概述了NIST从易受量子攻击的算法过渡到抗量子标准的官方方法与时间表。它是旨在向联邦机构、行业合作伙伴和标准组织说明在PQC标准迁移过程中“需要改变什么、何时改变”的核心技术文件。
根据报告，NIST将在2030年后将易受量子攻击的公钥密码算法列为“弃用”（deprecated），在2035年后禁止其用于NIST标准和指南所规范的用途；在弃用阶段，数据所有者需评估风险并决定是否继续使用。美国联邦高价值资产和高影响系统须不迟于2030年12月31日完成密钥建立环节的后量子密码迁移，不迟于2031年12月31日完成数字签名环节的后量子密码迁移；联邦系统整体仍以2035年完成迁移为目标。
报告重点提出了以下迁移要求与策略：
1. 迁移时机与威胁认知
后量子密码迁移无需等到密码分析相关量子计算机问世后再启动。“先收集、后解密”（harvest now, decrypt later）已是现实威胁：攻击者可以先截获并存储加密数据，待量子技术成熟后再实施解密。对于需要长期保密的数据，这一风险尤为突出。
行动建议：各机构应将后量子密码迁移列为当前运营优先事项，首先开展密码资产盘点和迁移规划，并尽早部署支持后量子密码的产品与服务。
2. 迁移的全栈工程属性
后量子密码迁移并非简单替换算法，而是涉及网络协议与安全技术、软件密码库、硬件安全模块（HSM）和可信平台模块（TPM）、公钥基础设施（PKI）以及各类信息技术应用与服务的系统性工程。考虑到硬件研发、设计和制造周期较长，供应商应尽快将后量子密码支持能力集成到硬件产品中，使硬件供应与整体生态系统的迁移进度相衔接。
行动建议：统筹软件、固件、硬件、证书基础设施和业务系统的全链条改造，同时评估组织自身系统组件及整个密码供应链的依赖关系，避免仅关注算法本身。
3. 基于风险优先级的迁移策略
高优先级系统：联邦高价值资产、高影响系统，以及其他处理高度敏感数据或易受量子攻击的系统，应优先迁移，其中包括保护预计到2030年仍具任务敏感性数据的系统。高价值资产和高影响系统的密钥建立、数字签名迁移截止日期分别为2030年12月31日和2031年12月31日；其他高度敏感系统也应给予同等优先级。
较低风险及受遗留条件约束的系统和应用：可在2030—2035年弃用过渡期内逐步完成改造，但这一窗口不改变高价值、高影响及其他高敏感系统应遵守的更早时限，联邦系统整体迁移目标仍为2035年。
4. 关于混合密码协议的定位
组织可在密钥建立或数字签名中结合使用传统算法与后量子算法，以降低单一组件算法出现密码分析或实现缺陷所带来的风险。但混合方案也会增加实现与架构复杂度，提高成本，并可能降低性能；早期实现还可能引入实现错误、侧信道等安全风险。此类方案通常应作为过渡性措施，后续仍可能需要迁移至仅使用后量子算法的密码工具。
NIST不强制要求所有应用采用混合方案，而是在适当情况下予以支持。是否采用，应由具体应用结合实现成本、性能影响、工程复杂度以及独立安全评估等因素审慎决定。
5. 算法替换范围界定
NIST预计，AES-128/192/256、Ascon-AEAD128，以及满足相应安全强度要求的SHA-2、SHA-3和Ascon哈希/XOF等对称密码与哈希算法，无需因量子威胁而整体替换；但部分仅提供112比特经典安全强度的对称密码标准将于2030年禁用，相关应用也应迁离。此次迁移的重点是易受Shor算法攻击的公钥密码算法，包括RSA、ECDSA、EdDSA以及有限域和椭圆曲线上的传统DH、MQV等数字签名与密钥建立机制。
6. 基础设施密码敏捷性与遗留系统处置
机构应将密码敏捷性纳入基础设施建设，以便在后量子密码标准演进时平稳更新算法，降低再次大规模重构的风险。同时，应梳理无法支持后量子密码的遗留系统，优先制定替换或退役计划，避免无限期保留无法改造的系统。
NIST IR 8547侧重说明迁移涉及的标准与要求，NIST国家网络安全卓越中心（NCCoE）的“向后量子密码迁移”（Migration to PQC）项目则提供配套实践支持。该项目通过跨行业协作，开展密码可见性、风险管理实践、密码敏捷性和后量子密码实现等示范，为组织提供从“明确要做什么”到“掌握如何做”的工具与蓝图。
原文链接：