报告

量子春天：先收割，后解密——谁在真正收割你的加密数据、如何收割，以及为何大多数”庄稼”最终烂在地里

by Simon McCorkindale

“收集”加密数据真正耗费攻击者多少成本，读取这些存量数据需要什么条件，以及真正的威胁隐藏在何处。本文从基本原理出发，构建一个五道关卡的分析框架（物理访问、存储经济学、可解密性、数据有效期及攻击者动机），并以一项对当前互联网后量子密码学实际部署情况的原创全网扫描为基础，对上述问题进行实证分析。

摘要。“现在收集，以后解密”（HNDL）是各方催促加速向后量子密码学迁移的惯用理由。美国国家标准与技术研究院（NIST）如此主张，美国网络安全和基础设施安全局（CISA）如此主张，英国国家网络安全中心（NCSC，新西兰有同名机构）如此主张，各大厂商更是大声疾呼——但几乎没有人认真核查过其背后的逻辑。究竟是谁在收集数据？从何处收集？需要存储多少，成本几何？而当量子机器最终问世，这些数据中还有多少值得一读？本文将 HNDL 视为一个有待检验的主张，而非一个有待重复的事实。这一威胁真实存在，但范围狭窄。它只有在数据价值能延续数十年、且存量规模保持较小的情况下才站得住脚；对于大多数流量而言，在密码学层面失效之前，它早已在经济层面就已崩塌。更大、更隐蔽的问题，是那些已经躺在别人存储库中的加密数据。本文始于一项独立假设。在撰写过程中，我发现了若干 2026 年的研究与之相关：有些证实了我的发现，一项提出了异议，我均以开放态度逐一回应，而非事后修改论点以迁就它们。我自己的扫描结果与迄今规模最大的同期测量研究一致：后量子密钥交换已在互联网大量且持续增长的流量份额中实现部署，主要由少数基础设施提供商推动；而后量子签名——即证明身份的那一环——在 31,839 张证书中仍为零。握手协议正在被修复，身份认证却没有。

1. 这个名字里的那处错误

每个农民都知道”收获”意味着什么。那是最好的时刻：在漫长劳作之后迎来的回报，届时你终于知道这一年是否值得。所以”现在收集，以后解密”这个名字其实有些奇怪，因为”收获”恰恰不是眼下正在发生的事。眼下正在发生的是播种。某些人正在悄悄收集加密流量，将其存入仓库，然后静静等待。他们并非在收割，而是在播种，并期盼时机到来。

他们在等待的，是一台与密码学相关的量子计算机，即 CRQC：一台足够强大、能够对今日密钥交换与签名所依赖的数学基础（RSA、Diffie–Hellman、椭圆曲线）运行 Shor 算法的机器。一旦这台机器问世，那仓库里满满的密文便可被读取。在此之前，那不过是一堆造价高昂的噪声。姑且称那个时刻为”量子春天”，称这段等待为”量子寒冬”——不是那种所等之物永远不会到来的 AI 寒冬，而是农耕意义上的寒冬：你知道季节终将到来，只需熬过严寒。

后量子密码学（PQC）是防御方的回应：NIST 推出的新一代种子品种（密码学算法）——ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1，以及更多目前正在接受 NIST 评估的候选算法。量子收割者无法处理这些新算法。但有一个重大隐患：PQC 对仓库中已有的内容无能为力。昨天已被收集的任何数据依然有被破解的风险；PQC 只能保护从今往后播下的种子。因此有两个时钟同时运转：你的时钟，在机器到来之前竭力更换品种；以及他们的时钟，趁你仍在明处播种旧品种，拼命囤积。

给非密码学专业读者的一段入门说明。有两种不同的数学体系保护着你的数据。一种负责加扰实际内容（主要是 AES）；量子计算机对它几乎无可奈何，AES-256 依然安全。另一种负责两台计算机如何在一开始就就某个共享密钥（即用于 AES 加密内容的”密码”）达成一致，以及它们如何相互证明身份——那是 RSA 和椭圆曲线，量子计算机对它们不费吹灰之力（通常称为公钥/私钥加密）。因此，当有人说”量子计算机破解加密”，他们的意思是：它破解的是握手开始时的那一环，而非锁具本身。这就是为什么 HNDL 关注的是被录制的握手过程：拿到握手，就拿到了密钥，也就拿到了后续所有内容。

大多数人采用的分析框架是Michele Mosca 不等式2。取 X（你的数据需要保密的时长），加上 Y（你的迁移所需时长），再与 Z（机器问世所需时长）相比较。若 X + Y > Z，那么对于你今天发送的任何数据，这场竞赛你已经输了。这是一套不错的算术。问题在于 Z 一直在变动，且只朝一个方向移动。2019 年，破解 RSA-2048 所需的估算约为运行约 2000 万个噪声量子比特持续八小时；到 2025 年 5 月，同一位研究者已将其压缩至不足 100 万量子比特、约一周时间3。六年间缩减了二十倍，且这一进步来自更好的算法，而非更好的硬件。这台机器尚未被建造出来，但目标却在不断逼近——正是在这种条件下，一个有耐心的攻击者会判定：播种是值得的。

此后又发生了两次变动，尽管情形有所不同。2026 年 2 月，一篇关于 qLDPC 架构4的论文声称可在 10 万个物理量子比特以内实现 RSA-2048 的破解；3 月，一篇来自 Google、以太坊基金会与斯坦福大学的联合论文5将 256 位椭圆曲线（两者中较弱的一种）压缩至 50 万个物理量子比特、运行时间仅需数分钟。两篇论文均通过改变假设前提而非固守原有条件来实现这一目标，以量子比特数量换取连接性与解码技巧，而这些技巧尚无人在规模化场景下真正实现。这是一项警示，而非一次缓期。Z 是一个规划数字，而这些论文在没有任何人真正建造出任何东西的情况下，持续将其推移。

关于量子密钥分发（QKD），在讨论 PQC 时它常被一并提及，在此简要说明。这一领域有大量研究与开发工作，前景颇具希望，但不在本文讨论范围之内。美国国家安全局的 CNSA 2.0、英国 NCSC 以及法国 ANSSI 均明确表示，更倾向于使用 PQC6。QKD 需要专用硬件，仅支持点对点通信，且对于已经积满数据的存储库毫无用处。它只保护一条专用线路上的未来通信。理想的安全未来或许是两种方案的结合。

关于同期研究的说明。本文最初源于笔者对 2026 年当下加密数据收集的现实困境与可行性的独立研究兴趣，以及一项数据收集的扫描工作。在撰写过程中，我发现 2026 年在这些领域颇为热闹。Blanco-Romero 等人17对收集行为的存储经济学进行了建模，其结论与我存在部分分歧（见第 4 节）。Wickramasinghe 等人16开展了一项互联网规模的纵向后量子 TLS 测量，其结果与我自己扫描的数据相互印证（见第 10 节）。更广泛的综述性研究描绘了周边的整体图景（Bertino 等人18；Chhetri 等人19）。我没有为迁就这些研究而改动论证框架，而是保留了原有结构，并在相关处逐一与之对话。凡他人捷足先登之处，我如实说明；凡我的独立数据与之吻合之处，我将这种一致本身视为一项研究结果。

“现在收获，以后解密”这一口号所借用的农业意象，恰恰是最后才到来的那个季节。真正危险的工作发生在数年之前的播种阶段。图中能力曲线的形态仅为示意；其位置不过是人们的猜测（即实际时间节点；并非承诺 2032 年前 CRQC 必然问世！），其方向则无可置疑。

2. 五道关卡

通常的讨论在这里就走偏了。人们把 HNDL 当作一件非此即彼的事——它要么正在发生在你身上，要么没有。然而它并非一件事，而是一个连续的序列，攻击者想要的每一个字节都必须通过所有关卡。想象一下赶牲口的场景：第一道关卡，你是否能够进入牧场；第二道关卡，你是否有地方安置它们；第三道关卡，一旦它们进了围栏，你是否真的能拿它们做什么；第四道关卡，等你腾出手来的时候，它们是否还值钱；第五道关卡，综合以上所有因素，你当初是否会费这个劲。在任何一道关卡倒下，整个行动都不过是白白浪费了燃油和狗粮（说的是赶羊）。

本文其余部分将逐一审视这五道关卡。在此之前，下文先对量子时代安全问题的整体图谱作一概览。

问题攻击目标损害发生时间实施所需条件行动时机
HNDL，传输中的数据密钥交换（RSA、(EC)DHE）在 CRQC 出现时一个窃听装置、海量存储空间，以及一台尚不存在的机器现在播种
HNDL，静态数据存储数据的长期密钥在 CRQC 出现时一次成功入侵，加上同一台机器现在播种
伪造旧签名RSA/ECDSA 签名在 CRQC 出现时截获的证书，加上那台机器稍后
攻击 PQC 芯片硅片中的 PQC 验证现在物理访问权限及故障注入设备现在
伪造证书、未来的中间人攻击信任链在 CRQC 出现时那台机器，加上线路上的一个位置稍后

上方加粗的两项是真正意义上的 HNDL，也是唯一需要对手今天采取行动、日后才能获得回报的两种情形。这正是它们值得现在深入研究和讨论的原因，也正因如此，它们是可以核查的——因为今天的行动会留下痕迹。

3. 第一道关：你能获取到数据吗？

窃听光纤电缆是件苦差事。你不可能坐在卧室里用一台笔记本电脑完成它；你需要亲手接触实际的光纤本身，或者持有法院命令指向光纤所有者。光凭这一点，就能将几乎所有人挡在门外。剩下的只有各国政府，而且为数不多。

有据可查的最佳案例也是最古老的案例之一，而且精彩绝伦。1971 年，美国人派出一艘经过改装的潜水艇——USS Halibut——深入鄂霍次克海，去寻找一条躺在 120 米水下的苏联军用电缆：常春藤铃铛行动7。潜水员在一根粗如手腕的电缆上缠绕了一个六米长的感应装置，近到足以读取信号，却始终没有切断电缆。这一行动持续运作了将近十年。

有两个细节比间谍小说里的情节更值得关注。其一，他们找到这条电缆，是因为海滩上有块牌子写着电缆在此，禁止抛锚。其二是后勤保障：多年来，获取情报的方式是潜水员每个月亲自游下去更换磁带。有人必须去取回来。后来的版本采用核同位素发电机驱动，可以储存一年的数据，这被认为是巨大的进步，因为这意味着一年只需下去一次。记住这一点。数据采集最难的从来不是窃听本身，而是之后如何处理那一堆数据。

现代版本

光纤改变的是方法，而非制约。2006 年，AT&T 技术员 Mark Klein 描述了旧金山 611 Folsom Street（641A 房间）内一间上锁的房间，其中的光学分光器将骨干网流量复制到一个装有 Narus STA 6400 的机架中，用于深度包检测8。这套系统自 2003 年起便一直运行。分光器将大约十六条骨干线路（约 15 Gbit/s 的流量）的完整光束复制下来，Narus 设备实时对其进行深度包检测。Klein 的文件成为电子前哨基金会起诉 AT&T 案的证据，后续报道还发现了美国其他城市存在类似房间9。值得关注历史上的镜像：2003 年，那些分光器复制的大多是明文。如今，同样的窃听装置复制的是密文——这正是 HNDL 作为一种隐患存在的全部原因。

架构层面的核心论点依然成立。光纤上的分光器在光学层面复制你的流量。没有防火墙能看到它；没有入侵检测能捕捉到它；你的终端毫不知情。但是——这才是整个博弈的关键——它复制的是线路上的内容，而线路上的内容已经过加密。分光器并不能破解你的加密。它只是把一份副本存入仓库，然后等待。

英国也有同样的故事，其规模值得停下来细细审视。到 2011 年中，英国政府通信总部已在逾 200 条光纤链路上部署了探针，每条承载 10 Gbit/s 的流量，这一项目被称为 TEMPORA10，且能同时处理其中至少 46 条链路的数据。理论上，这意味着每天可获取超过 21 拍字节的流量；《卫报》将其比作英国图书馆全部藏书的 192 倍，每 24 小时一轮。但以下这点对后文至关重要：他们保存不住这些数据。内容仅缓存三天，元数据三十天。即便是一个在自己半拥有的基础设施上以国家规模运作的国家行为者，也只能将内容留存在一个滚动的三天窗口内。记住这个——它是提前到来的第二道关。一项相关的联合行动针对各大云服务商自有数据中心之间的链路，而当时这些链路在内部边界内是未加密的11：据报道，TLS 是在公共边缘处添加和移除的。这是现有记录中最具启发性的一件事。他们没有破解加密；他们绕了过去，找到那个数据短暂以明文形式存在的地方。服务商注意到了，随后对内部链路进行了加密，这一缺口由此关闭。

你并不总是需要电缆

接下来我必须拓宽这道关的范围，因为上述一切都是关于有线网络的，而世界上相当大一部分流量根本不经过攻击者能够触及的有线链路。无线电是广播式的。覆盖范围内的任何人都能接收到，无需拼接，无需登陆站，无需授权12。这将物理访问门槛彻底降低，适用于任何在传输过程中有一段经过空中的数据——而这样的数据其实相当多。

先从最显而易见的说起：WiFi。你的笔记本电脑发出的每一个帧都向四面八方辐射，覆盖范围内的任何人只需一块廉价网卡切换到监听模式，便可截获全部内容。有两件事在保护你。WiFi 层自身的加密（WPA2、WPA3）对空中传输的帧进行了加扰，但这是一把与 TLS 相互独立、寿命更短的锁；它保护的是从你的设备到接入点的这一跳，而非端到端的会话，而且它已被反复降级、破解或绕过（针对 WPA2 的 KRACK、针对 WPA3 的 Dragonblood、以及将一切流量通过攻击者中转的恶意接入点）22。剥去 WiFi 层，剩下的就是底层的 TLS，这又把你带回到采集的问题上：在遭破坏的 WiFi 上运行的现代 TLS 1.3 仍然具备前向保密性，仍然需要量子机器，但一个开放的咖啡馆网络，或一个攻击者已知密钥的 WPA2 网络，会免费将你的加密 TLS 流交到攻击者手中。从 HNDL 的角度来看，WiFi 嗅探是一种廉价的密文采集方式；它不能破解 TLS，但对于目标几百米范围内的任何人来说，它几乎完全消除了”你能否物理获取”这道关。

然后是移动网络。2G 对截听者来说简直是馈赠。IMSI 捕获器（伪基站，即”Stingray”）可以强制手机降级到一种已被破解的加密算法，并以明文读取流量。4G 和 5G 要好得多，但针对它们的降级攻击仍是活跃的研究领域，同样的原则依然成立：无线层是薄弱环节，而真正保护你的是叠加在上面的端到端加密。同样，采集成本低廉，而且底层加密越来越成为攻击者与明文之间唯一的屏障。

再说一个令人意外的案例，因为它从根本上颠覆了”窃听（截获）很难”这一前提——针对特定的高价值流量：卫星。2025 年 10 月，加州大学圣地亚哥分校和马里兰大学的研究人员发表了论文《别往上看》（该论文在 ACM CCS 上获得杰出论文奖），其发现几乎令人难以置信。他们在圣地亚哥某楼顶将一台价值 800 美元的现成卫星天线对准天空21，持续观测三年，发现他们所能观测到的地球静止轨道卫星链路中，大约有一半正在以完全未加密的方式传输敏感数据。不是”加扰后留待日后破解”，而是现在就可读，明文传输。在明文中，他们发现了一家主要移动运营商卫星回程链路中的通话和短信内容、飞越上空航班的机载 WiFi 流量、军事资产追踪信息，以及（这才是 HNDL 真正目标所在的部分）运行公用事业基础设施的工业控制和 SCADA 流量。而他们从加利福尼亚一个固定地点只能看到大约 15% 的在轨卫星。一个在多大洲部署天线的国家行为者所能看到的远不止于此。

这与电缆的故事在两个方面有所不同，而且两者都与第一道关那个令人安心的版本相悖。其一，访问极为简单：花几百美元、找一处能看到天空的地方即可，而非需要一艘潜水艇。其二，对受害者而言更为糟糕的是，这些流量大多数甚至不构成”现在采集”的问题，因为读取它们根本不需要未来的量子机器：它们本来就是明文。量子角度只对那些已经加密的卫星链路有意义；对未加密的那一半而言，”延迟解密”根本无从谈起，因为压根儿没有什么东西需要解密。

第一道关裁定。对于骨干光纤而言，这道关门槛很高：少数几个国家、物理访问权限或法律手段、真实的成本投入。但”截获很难”这一说法从来都只是针对电缆而言，而大量流量在关键环节根本不走有线链路。无线电向覆盖范围内的任何人广播自身；WiFi 和移动网络以低廉的代价将你的加密流交到攻击者手中，真正承担保护重任的只剩 TLS；而卫星——令人咋舌的是——将大约一半链路的明文直接拱手相送。因此，这道关的如实描述是：对于光纤骨干网，门槛很高；对于任何有一段经过空中的流量，门槛低到几乎不存在。这非但没有削弱本文的论点，反而使其更加尖锐——因为对于本文所关注的长保质期目标（使用 VSAT 链路的大使馆、使用卫星 SCADA 的公用事业、使用微波中继的国防设施），截获这道关往往已经大开，而站在对手与数据载荷之间的唯一屏障，正是我们在本文余下部分所要审视的加密技术。

4. 第二道关：你有足够大的存储空间吗？

假设你已经接上了水龙头。现在你必须将这些数据保存——可能长达十五年——以防那台机器有朝一日出现。问题到了这里就撞上了数学，而数学并不温柔。

用真实数字说话，别打马虎眼。AMS-IX，即阿姆斯特丹互联网交换中心（各大网络在此互相交换流量的主要公共对等点之一），公布了其2025年数据13：全年流量35.66艾字节，峰值14.2 Tbit/s。法兰克福的DE-CIX是另一家同类交换中心，流量约为48艾字节14。这些不是估算值，而是运营商自己公布的数字。而AMS-IX只是一家交换中心，全球同类机构超过一千家。

那么，假设你决定对AMS-IX进行一年的全量采集，你需要什么？

两个从未被纳入成本核算的瓶颈。左图：将一家交换中心一年的全量数据写入磁带所需规模。右图：终端机器为何是瓶颈而非万能钥匙——临时密钥交换意味着每个会话都是一项独立任务。

以LTO-9磁带每盘18 TB计算，35.66艾字节需要约两百万盘磁带。每盘约100美元，仅空白磁带一项每年就需1.98亿美元，驱动器和人工费用还一分未算。一台LTO-9驱动器的写入速度约为400 MB/s；要跟上数据流入的速度，需要2,826台驱动器全速不停运转，每天每秒无一例外。这已经不是机房，而是一座工厂。

然后是那个没人算进去的成本。磁带是顺序访问介质，查找数据需要从头卷带。同样这2,826台驱动器，若仅用于读取，将耗费整整一年才能读完一年的磁带——因为读写速度相同。这意味着档案库每年只能被读取一次，而且只有在停止继续采集的前提下才能做到。想检索两次？再建一座工厂。

硬盘也救不了场。以每块24 TB计算，大约需要150万块硬盘，成本约6亿美元，仅算上冷却系统后耗电约11兆瓦——相当于一座小城的用电量，只为让一家交换中心一年的数据保持运转。若扩展到全球流量的哪怕1%，荒谬感便会扑面而来：每年都要建好几个AMS-IX规模的存储系统，永无止境，而这一切都建立在一台尚不存在的机器终将有朝一日允许你读取一次数据的假设上。

本文的测算尚未涵盖的其他因素包括：数据压缩与解压缩的时间成本，以及磁带装卸的时间成本。当然，存储介质也不止这一种，而且上述场景是单一节点全年数据的极端示例，但它足以说明数据体量之庞大，以及存储和处理所带来的经济压力。

在此，我与对这一经济问题迄今最为严谨的研究产生了分歧。Blanco-Romero等人17对同一存储问题建立了模型，并得出结论：数据留存在经济上”微不足道”——按原始介质价格（他们引用的LTO磁带约为5美元/TB），即便是全球流量1%的采集量，每年成本也仅约10亿美元，完全在一个国家的预算承受范围之内。他们的算术没有问题，我也不质疑介质成本本身。我质疑的是：介质成本并非真正的约束瓶颈。原始磁带是预算中最便宜的一项；实时写入所需的驱动器工厂、读取所需的第二座工厂、在不可压缩的密文堆中检索数据所需的索引系统，以及维持整套系统运转十五年的物理基础设施，才是真正咬人的成本。他们的模型按其自述，只聚焦于静态存储介质，排除了拦截与检索机制。对于他们所研究的问题——协议层面的防御——这是合理的范围界定；但一旦将那些被排除在外的成本纳入，”微不足道”就变成了”只有当你已经认定这批特定流量值得一项长达十五年的工业级投入时，才勉强负担得起”，而这本质上不过是另一种形式的选择性采集。我们最终殊途同归——采集是有选择性的，而非不分青红皂白——只是我从存储成本这一行得出了与他们相反的推导路径。他们自己的结论——防御者应优先处理生命周期价值最高的数据——与我的结论完全一致。

第二道关裁定。无差别采集是妄想。不是困难，不是昂贵，而是在数学上根本行不通。每一个真实的攻击者都必须选择保存什么，而一旦做出选择，这个威胁就不再针对所有人，而是针对特定的人。如果你想知道自己是否正在被采集，别再问他们能拿走什么，而要问他们愿意为什么数据付出十五年的存储成本。（此处以十五年作为一个随意但具说明性的时间跨度：在没有明确用途的情况下，持有数据长达十五年，已属漫长。）

5. 第三道关：这些数据真的能解密吗？

假设他们已经完成窃听，也付出了存储成本。那台机器终于到来。这堆数据能打开吗？这完全取决于密钥是如何协商的，而这也是整个”现在收割，以后解密”讨论中被解释得最不充分的一个环节。

采集的数据是否有价值，取决于密钥的协商方式。RSA密钥传输模式完全暴露于”现在收割，以后解密”的威胁之下；临时（EC）DHE模式则要求对每个会话分别执行一次量子计算任务。无论哪种情况，握手签名仍可被伪造，因此通信双方的身份信息依然会泄露。

旧有的RSA密钥传输方式是最坏的情形。客户端用服务器的长期公钥加密会话密钥；一旦破解那一把密钥，所有曾与该服务器通信的历史记录便会同时开锁。一把钥匙，开所有的门。这正是那句口号默默预设的场景，也是它听起来如此骇人的原因。

但现代TLS并非如此运作。TLS 1.3要求使用临时Diffie-Hellman，TLS 1.2配合ECDHE也能达到同样效果。在这些协议下，每个会话都会生成自己专属的一次性密钥。服务器的长期密钥仅用于签名握手，从不加密内容，因此破解它对通话内容毫无用处。要读取一个临时会话，就必须破解该会话的密钥交换，然后是下一个，再然后是再下一个。没有一网打尽的捷径：一个剪羊毛台，一次只剪一只羊，而且每只羊都要花上一段时间。

要花多长时间？Gidney在2025年的估算3大约是：破解一个RSA-2048密钥需要约一周的机器运算时间。椭圆曲线的成本略低，但属于同一量级。因此，一百万个被捕获的临时会话并不只需要”一台量子计算机”，而是需要大约一百万个独立的量子计算任务。即便以乐观的每任务一天计算，也需要数千台机器运行一年。量子密码分析计算机将是一种稀缺的国家级设施，像望远镜一样需要排期预约；没有人会把你的视频流会话拿去排队。反直觉的地方正在于此：没错，量子机器已经足够强大，足够”快速”，可以为我们运行Shor算法——但当我们考虑到任务数量（每次都是量子算法的一次独立执行）时，经济账便开始发生根本性转变：需要破解的加密会话数量，乘以量子计算机运行该算法所需的时间（目前预计从数小时到数周不等，争议尚存，且随着Z值下降还将继续演变），仍然是一个不容小觑的规模。

但有两点让这一切难以乐观。其一，前向保密保护的是内容，而非签名：未来的机器仍然可以伪造捕获到的握手中的身份认证，因此谁与谁通信的信息依然会泄露——而这往往才是真正有价值的部分。其二，更糟糕的是，证书层丝毫未动。为整个互联网进行身份认证的签名，至今仍是传统的RSA和ECDSA——我自己的测量结果也印证了这一点（见第10节）。机密性这一侧已开始迁移；身份认证这一侧还没迈出起跑线。

还有第三个隐患，它悄悄瓦解了许多已有的成果。”服务器完成迁移”并不等同于”会话是安全的”，因为实际协商的加密算法，永远取决于通信双方中较弱的一端。Dubey和Varshney15捕捉到了一个典型案例：一家印度银行（icici.bank.in）向一台现代设备提供了使用QUIC、TLS 1.3、X25519和AES-256的连接（抗量子、具备前向保密，各项指标均达到理想水平）；而同一域名，从另一台设备访问时，却回退到了TLS 1.2，使用ECDHE-RSA和AES-128。同一台服务器，同一天，两个客户端，两种截然不同的安全状态。回退后的会话仍具备前向保密性，并非RSA传输的噩梦场景，但这是一次无人选择、无人察觉的回退；如果任何一端的设备再老旧一点，就可能降级到RSA密钥传输，从而完全暴露于采集风险之下。一场你看不见对端情况的迁移，是一场你无法依赖的迁移。

6. 第四道关：然后呢？

这是最少被人谈及的一道关，也是最多数据堆在此折戟的一道关。设想一下：你在一家大型零售银行门外的光纤上安装了窃听装置，捕获了该银行网站一年内的所有TLS会话——数百万客户在此登录、查询余额、转账汇款。你将这一切全部存储起来。十五年后，那台机器终于来了，你耗费了巨额量子密码分析计算机算力，将其全部解密。恭喜你。你得到了什么？2026年就已过期的会话Cookie。密码已经轮换了三次，而且大多数现在都启用了多因素认证。十年前的账户余额。你耗费巨资，换来的不过是：某人在2026年某个周二的早晨查了一次账户余额。

其中确实存在一些持久性数据（姓名、出生日期、身份证号码），但那不过是废料山中的一层薄矿脉，而且你还得从数以百万计的独立会话中将其拼凑出来。与此同时，同样的信息就整整齐齐地躺在银行客户数据库里——结构化、已索引、最新鲜，而且只需一次入侵便可触手可及。因此，有一个问题理应被更频繁地提出：既然整个储罐就停在路边的工厂里，又何必在门口守上十年，苦苦收集奶罐上滴落的点滴，妄想有朝一日将其复原？

数据有其保质期，且差异极为悬殊。一个会话 cookie 的价值不过一小时；密码，数月；卡号，直至过期；银行账号，数十年；身份证号码，终身有效；指纹或虹膜，终身有效且无法重新签发；基因组，终身有效，还涉及你所有的血亲，且永不过期。一份外交电报的尴尬期长达四十年。一份武器设计图纸的寿命甚至超过了绘制它的工程师。HNDL 只有在保质期较长的场景下才有意义。其他地方，作物在机器到来之前便早已烂在仓库里。

7. 第五道关：究竟谁会真的费心？

将最后两道关卡放在一起，以数据量对比保质期，画面很快便会变得清晰。以下是几个实例，并附上具体的逻辑推演。

究竟谁会真的费心？数据量与保质期之对比。左上角是采集有意义的区域：量少，且可永久保存。右下角则是这一口号被最大力鼓吹、却最缺乏实际意义的地方。各位置均为数量级判断。

大使馆专线。目标：外交使团与其外交部之间的加密隧道。窃听点：当地ISP，或其线路所经过的交换节点。若你是东道国，一个电话便可搞定，根本无需任何特别行动。而如果使馆位于偏远驻地、通过卫星进行回传（许多使馆确实如此），那么对手甚至不需要东道国的配合：一口天线碟和一处屋顶便已足够（第3节）。数据量：极小，每天一两个GB；五十年的数据放在一个书架上就能装下。保质期：数十年。结论：这是教科书级别的案例，几乎可以肯定，此刻正在世界各国的大使馆发生。如果你主持一个外交部的运作，却还未启动迁移，那你就是这一口号存在的原因。

国防承包商。目标：主承包商与其分包商之间的站点间VPN。数据量：可控，每年数十TB的CAD及测试数据。保质期：今年设计的机体到2075年仍在飞行。结论：可行且值得。体量小，记忆长。

零售银行。目标：全部消费者流量。数据量：每年PB级。保质期：绝大部分数据的保质期为数小时至数月。结论：不值得。你将每年花费一亿美元的磁带费用，最终只是学到了一些2026年的密码。不如直接攻取数据库。或许已经有人这样做了。

基因组学实验室。目标：传输至云存储的测序数据。数据量：覆盖度适中的单个基因组原始数据约为数百GB；一个繁忙的中心每年产生PB级数据。保质期：永久，且涉及受试者的整个家族。结论：本文所述目标中价值最高的一个，而仅就数据量而言，传输拦截依然无望。但若窃取静态数据库，它的体量便骤降至六十TB，且保质期无限。这正是上方图表中的箭头所指，也是图表上最重要的动态。

8. 羊毛早已入仓

这将我们带到了HNDL中一个远未获得足够重视的部分。过去十年每一次重大数据泄露，都在他人的存储系统中留下了加密档案：人事档案、健康保险公司、信用局、连锁酒店，所有这些数据大概率仍在那里，等待着与被窃听光纤所在的同一台机器相遇。而这是一个更好的目标，原因有三。

第一，没有前向保密性。静态数据由长期密钥保护，而非每次会话后即丢弃的一次性密钥；一旦破解密钥，整个档案便全部开放。这在默认情况下属于RSA密钥传输的情形：一锅端，一次搞定。第二，筛选问题已然解决。窃取了基因组数据库的对手无需筛查海量数据，因为其他人早已完成了排序、索引和去重工作。第二道关卡的难题已由受害者代为完成。第三，保质期通常极为漫长：一份被盗的基因组到2045年也不会过时。

所有这些都不需要潜水艇。你只需要一封钓鱼邮件，让它落到某个毫无戒心的员工手中。这就是为什么有能力实施静态数据HNDL的行为者数量，远多于能够窃听电缆的行为者，也是为什么大多数迁移建议中的优先顺序恰好是反的。所有人都在山上追羊；而整整一批羊毛（加密数据、数据库）早已打包，静静地躺在敞开着门的仓库里。

9. 我们仍不知道的事

坦诚地说明局限性：第3至第8节的所有推理均基于公开记录，而公开记录在设计上本就是不完整的。机密项目是机密。已披露的材料已然陈旧，大多来自2013年，而技术早已发生变化。存储成本在下降；量子资源估算下降得更快。这里的任何计算都可能发生数量级的偏移，部分结论也将随之改变。而不容置疑的是，当前线路上实际部署的内容是可以被测量的。我做到了，这使整个论证更加清晰，让我们知道哪道防线正在获胜，哪道防线尚未开始作战。

10. 丈量牧场

当我开始扫描互联网，为本文收集当前量子安全态势研究数据时，所能找到的唯一可比较的已发表研究只有一项约32,000个域名的单视角研究15。（此处的视角仅指你进行扫描的地点。单视角扫描从一个位置向所有服务器提问；多视角扫描从多个位置提问，以捕捉那些根据请求来源位置给出不同答案的服务器——通常是因为全球CDN仍在逐区域推送某项设置。）我自己的计划是覆盖更广，同时从多个视角进行扫描，以观察一项服务的响应是否取决于由哪个区域前端接听。就在我进行扫描期间，Wickramasinghe等人16发表了一项互联网规模的纵向研究：在2025年7月至2026年3月期间，历经三轮，来自十一个视角点，针对百万域名进行了逾二十亿次TLS握手分析。在每一个维度上，这都是比qgrove更大、更严谨的测量。因此，我将以下内容作为独立验证呈现：一项规模较小、基于不同基础设施的单轮扫描，最终得出了相同的数字。

我构建了qgrove20，这是一个运行于全球边缘网络的扫描器，针对每个域名，它建立原始连接并读取服务器实际选择的密钥交换组。这一个值就决定了被捕获的会话是否暴露于HNDL风险之中，且无需解密任何内容，直接从握手的明文部分即可读取。该扫描器为开源项目，以下所有数字均可从已发布的数据集中复现。扫描目标共计116,589个域名，通过多种方法与来源混合筛选而得。

正在变化的内容：握手过程（用于保密性的密钥交换）

在支持现代TLS的可达服务器中，35.5%已协商混合后量子密钥交换：经典X25519曲线与ML-KEM-768的组合，正是当前版本Chrome所采用的配置。对于一项如此近期才定稿的标准而言，这是一个相当可观的数字，且仍在攀升。但35.5%是从边缘测量的，而边缘无法看到大型CDN背后的站点。当我通过另一种方式重新探测那些站点填补这一盲区时，画面发生了显著变化：由CDN前置的群组几乎100%为混合模式，因为CDN一次性为所有人开启了PQC。将两者合并，总体估算上升至61.1%。两个数字都是真实的，但意味着不同的事情。诚实的结论是：仅从该CDN边缘运行的扫描会系统性地低估PQC，因为互联网上PQC部署最完善的站点，正是它在结构上无法看到的那些。

两个层级的变化速度截然不同。左图：混合PQC密钥交换，边缘可测值与汇总总体估算之对比。右图：证书签名，迁移尚未启动。数据来源：qgrove，2026年7月。

未有变化的内容：签名（用于身份验证）

现在来看另一半，也是应该让人担忧的部分。我查看了31,839份证书的签名算法。使用后量子签名的数量为零。不是”很少”，而是零。互联网完全依赖经典ECDSA和RSA进行自身认证，而未来的量子计算机伪造这两者，就像破解旧有密钥交换一样轻而易举。保密层已开始迁移；认证层却连第一步都未迈出。这并非我的样本的特殊性：我之前的单视角研究15与与我同期的互联网规模研究16在后量子证书方面均报告了同样的绝对零值，而架构评审18也解释了为何签名方面是更难、更慢的工作：它将整个证书颁发机构体系及每一个验证客户端都拖拽在身后。这是值得铭记的分歧：加密对话与证明你是谁，是两项不同的工作，由两段不同的数学来完成，而目前只有其中一项正在被修复。

另外两项发现，均有其不声不响的价值

首先，来看各行业情况。你或许预期安全意识较强的行业（银行、国防、政府）会处于领先地位，但事实并非如此。在我标记的每个行业中，混合后量子密码学的采用率介于约27%至39%之间，领先者是面向大众的普通网站和CDN控制平面，而非金融（28%）或国防（29%）行业。采用率的驱动力不在于谁需要它，而在于谁的CDN开启了它。这一结论在所有独立测量中反复出现。一项大规模同期研究对此作出了最为精确的量化：约70%的后量子TLS流量归因于两家提供商——Cloudflare和Fastly16；而那些设有最早2030至31年过渡截止日期的司法管辖区，其采用率反而低于截止日期较晚的地区，原因在于政策紧迫性与CDN市场份额毫无关联。另一项研究在协议版本层面发现了同样的滞后现象：即便是普通的TLS 1.3，在政府（70%）、国防（68%）、能源与关键基础设施（76.5%）及电信（78.6%）15领域的采用率也相当落后，而云服务和社交媒体则达到95%至100%。三项不同的扫描，呈现出相同的规律：如果你的服务提供商开启了该设置，你就受到了保护；如果没有，你就没有受到保护——而这与你所处的行业几乎毫无关系。

其次，是我构建多节点测量装置的初衷：服务器的响应是否会因请求方在地球上所处位置的不同而发生变化？我从横跨北美、欧洲、日本和新西兰的八个地点，对1,787个域名进行了探测。按地理位置给出不同响应的域名占比为0.17%，即三个域名；在重新测试后，其中两个被证实不过是普通的负载均衡器抖动，而非地理差异，最终仅有约一个域名（在1,787个中）表现出真实且稳定的区域性差异。此处，独立核验显得尤为有价值。那项针对一百万个域名、来自十一个节点的大规模研究，报告了相同量级的相同效应：其稳定样本中有0.05%的域名会根据客户端所在位置协商出不同的默认设置16，他们与我一样，将其归因于CDN配置在各区域间的逐步传播。两个团队，装置迥异，结果分别为0.05%和0.06%——扫描地点的选择基本上无关紧要。

qgrove扫描结果的数据及其局限性。数据集：qgrove20，116,589个唯一域名，202,258次总测量（对所有域名进行广度扫描，并对4,000个域名子样本进行多节点深度扫描），2026年7月，完整公开发布。以下注意事项值得预先说明：（1）仅边缘节点的数据（35.5%）在构造上存在低估，汇总数据（61.1%）则合并了两种测量方法，合并前已校准至99.9%的一致性；（2）约四分之一的可达服务器仍仅支持较旧的TLS版本，无法进行后量子密码学协商，这正是混合占比在现代TLS服务器中为35.5%、在所有可达服务器中仅为27%的原因——两项数据均已如实报告，未对任何一项加以粉饰；（3）证书及无前向保密性的数据来自大样本，而非全部域名；（4）分类整理的行业列表是经过论证的核心样本，并非详尽的普查结果。

11. 综合结论

“现在收割、日后解密”这一说法方向正确，但夸大了威胁的规模。HNDL是真实存在的：各国有据可查地设有监听接入点，有据可查地留存其所截获的内容，而它们所等待的量子机器，即便尚未造出，在纸面上每年都在迫近。但只有在极少数情况下，它才能同时通过全部五道关卡——即存储量足够小，可以保存数十年，且内容在被读取时仍具有价值：外交通信、国防项目、任何生物特征或基因组数据，以及小批量的长效机密。对于互联网及其用户中的大部分而言，威胁止步于第二道或第四道关卡——不是因为密码学本身坚不可摧，而是因为经济账算不过来。存储的成本超过了明文的价值，而等到能够解读之时，这些数据早已过时失效。

与此同时，HNDL中真正令人警醒的那个变种几乎无人提及，因为它既不涉及光纤窃听，也无法做成一张精彩的幻灯片：那就是某人已经带走的加密档案。没有前向保密性，没有数据量问题，没有潜水艇，保质期以人的一生来计算。

因此，实际可行的建议虽不那么光鲜，却有其道理。弄清楚你的哪些数据的X值以数十年计。对大多数组织而言，这是一份很短的清单，通常也不是供应商向你报价的那份清单。优先迁移这部分数据（所有使用长期密钥保护的静态数据，以及所有在传输中仍使用RSA密钥传输的数据），其余部分则以合理的节奏推进。同时，留意那个尚未有人着手解决的问题：目前所有文献中的测量结果，包括我自己的，都发现后量子密钥交换已在大量网页中上线并持续增长，但值得一提的后量子证书签名却一个都没有。密码学迁移的保密性那一半已全面推进，主要是因为几家大型CDN拨动了一个开关；而身份验证那一半尚未开始。当量子计算机到来时，它伪造签名与破解密钥同样轻而易举，因此，一个完成了握手迁移却未完成证书迁移的互联网，就如同一栋换了新锁、却让任何人都能径直穿墙而入的房子。这是下一块待垦之地，而眼下它连一道篱笆都没有。

这些并不是主张无所作为的理由，而是在买药之前先清点羊群的理由。基于真实风险敞口的迁移是物有所值的投入；跟着口号走的迁移，只会让你花了一大笔钱泡了个药浴，牧场里的寄生虫却依然满地爬。

qgrove扫描器、域名列表、完整方法论及202,258行数据集均可在github.com/spinsphere/qgrove获取。所有数据均为作者本人所得。有关情报项目的陈述均基于公开报道、诉讼记录及解密文件；作者不掌握任何非公开信息，亦未暗示存在此类信息。

Kaysec提供后量子准备就绪及密码学敏捷性咨询服务，主要服务对象为那些数据具有本文所述保质期的组织。kaysec.spinsphere.xyz

参考文献

  1. NIST. FIPS 203 (ML-KEM)、FIPS 204 (ML-DSA)、FIPS 205 (SLH-DSA)：后量子密码学标准。 2024. csrc.nist.gov
  2. M. Mosca. “量子计算机时代的网络安全：我们准备好了吗？” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “如何用不到一百万个含噪声量子比特分解2048位RSA整数。” arXiv:2505.15917，2025年5月. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen（Iceberg Quantum，悉尼）. “Pinnacle架构：利用量子LDPC码将破解RSA-2048的成本降至10万个物理量子比特。” arXiv:2602.11457，2026年2月。为模拟及资源估算，并非硬件演示。arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi（Google Quantum AI / UC Berkeley），J. Drake（以太坊基金会），D. Boneh（斯坦福大学）. “保护椭圆曲线加密货币免受量子漏洞攻击：资源估算与缓解措施。” arXiv:2603.28846，2026年3月. arxiv.org/abs/2603.28846
  6. NSA，CNSA 2.0；英国NCSC，后量子密码学准备的后续步骤；ANSSI，后量子密码学立场文件。
  7. 常春藤铃铛行动（Operation Ivy Bells），1971至1981年。USS Halibut号，鄂霍次克海。感应式窃听，非侵入性；早期由潜水员每月取回数据，后改用放射性同位素热电发生器供电。参见Sontag & Drew，《盲人摸鱼》（1998年）。
  8. M. Klein，宣誓声明及证据，Hepting v. AT&T（北加州联邦地区法院，2006年）；EFF案件材料。641A室，Folsom街611号；2003年投入运营，2006年披露；约16条分流骨干电路（合计约15 Gbit/s），Narus STA 6400。
  9. R. Gallagher and H. Moltke. “NSA在美国八座城市隐藏的间谍枢纽。” The Intercept，2018年6月. theintercept.com
  10. GCHQ TEMPORA项目披露，2013至2014年（卫报；明镜周刊）。200余个探针，速率10 Gbit/s，理论日容量约21.6 PB；内容缓存约3天，元数据约30天。
  11. MUSCULAR项目披露，2013年（华盛顿邮报）。数据中心间链路；TLS在公共边缘终止。
  12. Lawfare，”评估俄罗斯对海底电缆的威胁”，探讨为何登陆站接入使常规深海窃听缺乏吸引力。
  13. AMS-IX 2025年数据：年流量35.66 EB，峰值14.2 Tbit/s. ams-ix.net
  14. DE-CIX法兰克福2025年流量约48 EB；法兰克福峰值18.22 Tbit/s；全球平台峰值25 Tbit/s，2025年4月。
  15. A. Dubey and V. Varshney. “互联网后量子准备就绪测量研究：2026年。” arXiv:2606.16473，2026年6月。对32,011个域名进行单节点扫描；TLS 1.3占52.41%，TLS 1.2占15.70%，QUIC占31.89%；混合密钥交换占49.3%，后量子证书占0%；记录了在固定域名上的客户端TLS版本回退行为. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “直面差距：后量子TLS部署中的政策与现实。” arXiv:2607.29005，2026年7月。新南威尔士大学悉尼分校与乔治亚理工学院。纵向研究，共三轮，2025年7月至2026年3月；超过20亿次握手，100万个域名，11个节点. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “关于”现在收割、以后解密”攻击的实际可行性研究。” arXiv:2603.01091，2026年3月。马德里卡洛斯三世大学。 arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “抗量子网络：基础原语、协议与最佳实践综述。” arXiv:2605.04129，2026年5月。 arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “后量子密码学与量子安全：综合调研。” arXiv:2510.10436，2025年。德克萨斯州立大学。 arxiv.org/abs/2510.10436
  • qgrove：分布式多视角 TLS 后量子态势测量。数据集与方法论，2026年7月。 github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “别往上看：GEO卫星明文传输的敏感内部链路。” 第32届ACM SIGSAC计算机与通信安全会议论文集（CCS ’25），台北，2025年10月（杰出论文奖）。约800美元的接收设备；所观测的GEO卫星链路中，50%传输明文IP流量，涵盖蜂窝回程（含通话与短信内容）、公用事业工业控制/SCADA系统、军事资产追踪及机载WiFi。 satcom.sysnet.ucsd.edu
  • 关于WiFi拦截及其局限性：WPA2/WPA3仅保护无线跳段，而非端到端会话；参见KRACK攻击（Vanhoef & Piessens，2017年）、Dragonblood攻击（Vanhoef & Ronen，2020年），以及恶意双胞胎/降级攻击等同类攻击手法。无线信号的广播特性使密文采集成本极低；TLS仍是承载安全保障的核心层。