报告

量子春天：现在收割，以后解密——深入探究谁在收割你的加密数据、如何操作，以及为何大部分”庄稼”最终烂在田间

by Simon McCorkindale

“收集”加密数据真正会让对手付出什么代价，读取所收集数据需要什么条件，以及真正的威胁隐藏在何处。本文从基本原理出发，围绕五道关卡框架（物理访问、存储经济学、可解密性、数据保质期及对手动机）展开论述，并以一项原创的全球互联网扫描为基础，呈现当今后量子密码学的实际部署现状。

摘要。“现在收集，日后解密”（HNDL）是各方敦促加快推进后量子密码学迁移的惯用理由。NIST（美国国家标准与技术研究院）这样说，CISA（美国网络安全和基础设施安全局）这样说，英国 NCSC（国家网络安全中心；新西兰设有同名机构）这样说，各大厂商说得更是响亮——但几乎没有人核查过这一论断的依据。究竟是谁在收集？从哪里收集？需要存储多少数据，又需要付出多少成本？而当量子计算机最终出现时，这些数据是否还有解密的价值？本文将 HNDL 视为一项待检验的主张，而非一个需要重复的事实。这一威胁真实存在，但范围有限。只有在数据价值能维持数十年、且数据量保持较小规模的情况下，它才能成立；对于大多数流量而言，在密码学层面失效之前，其在经济学层面早已行不通。更大、更隐性的问题，是那些已经存储在他人服务器中的加密数据。本文最初是一项独立的研究假设。写作过程中，我发现了数篇与之相关的 2026 年研究。其中部分证实了我的发现，一篇提出了异议，我均予以公开回应，而非刻意回避。我自己的扫描结果与规模最大的同期测量结论一致：后量子密钥交换已在互联网相当大且持续增长的份额中上线，主要由少数基础设施提供商驱动；而后量子签名——即证明身份的部分——在 31,839 张证书中仍为零。握手过程正在修复，身份验证却没有。

1. 这个名字错在哪里

每个农民都知道”收获”意味着什么。那是好事：是辛苦之后的回报，是当你发现这一年是否值得时的那一刻。所以”现在收集，日后解密”是个奇怪的名字，因为”收获”并不是现在正在发生的事。现在正在发生的是播种。有人正在悄悄汇集加密流量，存入某个地方，然后等待。他们并非在收割，而是在播种，并期盼时机到来。

他们等待的，是一台具有密码学意义的量子计算机，即 CRQC：一台足够强大、能够对当今密钥交换和签名所依赖的数学体系（RSA、Diffie–Hellman、椭圆曲线）运行 Shor 算法的机器。一旦这台机器出现，那堆满密文的存储库便将变得可读。在此之前，它不过是一堆极其昂贵的噪声。姑且将那个时刻称为”量子春天”，将漫长的等待称为”量子冬天”。这不是 AI 寒冬那种意义上的冬天——等待的东西永远不会到来——而是农业意义上的冬天：你知道季节终将到来，只是还要熬过严寒。

后量子密码学（PQC）是防御方的应答：来自 NIST 的新品种种子（密码算法）。ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1，以及更多提交给 NIST 并正在评估中的候选算法。量子收集者对它们无能为力。问题在于——而且这是一个相当严重的问题——PQC 对已存入库中的内容无能为力。昨天被收集的任何内容仍然面临被解密的风险；PQC 只能保护从今往后播下的种子。因此，有两个时钟同时运转：你的时钟，争分夺秒地在机器到来之前更换品种；他们的时钟，争分夺秒地在你还在明文播种时尽可能多地囤积旧数据。

给非密码学专业人士的一段话入门介绍。有两种不同的数学体系保护你的数据。一种用于加扰实际内容（主要是 AES）；量子计算机几乎无法撼动它，AES-256 将安然无恙。另一种用于两台计算机在最初就如何协商共享密钥（即用于 AES 加密内容的密码）以及如何证明各自身份。这就是 RSA 和椭圆曲线，而量子计算机对它们轻而易举（通常被称为公钥/私钥加密）。因此，当有人说”量子破解加密”时，他们指的是破解一开始的握手，而非加密锁本身。这就是为什么 HNDL 针对的是录制的握手过程：获得握手，就能获得密钥，进而获得其后传输的一切内容。

大多数人采用的框架是 Michele Mosca 的不等式2。取 X，即你的数据需要保持机密的时长；加上 Y，即你完成迁移所需的时长；再与 Z，即该机器出现所需的时长进行比较。若 X + Y > Z，则你今天发送的任何内容都已经输掉了这场竞赛。这是一个很好的算术模型。问题在于 Z 不断变化（且持续缩短），并且只朝一个方向移动。2019 年，破解 RSA-2048 的普遍估计大约需要 2000 万个噪声量子比特运行八小时；而到 2025 年 5 月，同一位研究者已将其降至不足 100 万个量子比特、约一周时间3。六年内缩减了二十倍，且这一进步来自更好的算法，而非更好的硬件。没有人建造出这台机器。但目标不断逼近，这恰恰是一个有耐心的对手决定播种是否值得的条件。

此后又有两次更新，尽管前提条件有所不同。2026 年 2 月，一篇关于 qLDPC 架构4的论文宣称可在不足 100,000 个物理量子比特下破解 RSA-2048；3 月，Google、以太坊基金会和斯坦福大学的一篇联合论文5将 256 位椭圆曲线（两者中较弱的一个）的破解所需量子比特数压缩至 500,000 个，运行时间仅需数分钟。两者均通过改变假设而非保持假设不变来实现这一目标，以量子比特数换取迄今尚未在规模上实现的连接性与解码技巧。这是一个注意事项，而非喘息之机。Z 是一个规划数字，这些论文不断调整它，却没有任何人实际建造出任何东西。

关于量子密钥分发（QKD），有必要简短说明，因为在讨论 PQC 时它常被一并提及。这一领域的研究与开发方兴未艾，前景可期，但不在本文讨论范围之内。NSA 的 CNSA 2.0、英国 NCSC 和法国 ANSSI 均明确表示，他们更倾向于你使用 PQC6。QKD 需要专用硬件，仅支持点对点通信，对于已经存满数据的存储库毫无作用。它保护的是某一专用线路上的未来通信。理想中安全的未来，或许在于两种方法的结合。

关于同期工作的说明。本文最初源于我对 2026 年当下收集加密数据的实际现状与困难的独立研究兴趣，以及一项数据扫描工作。写作过程中，我发现 2026 年在这些领域颇为活跃。Blanco-Romero 等人17对收集行为的存储经济学进行了建模，得出了我在第 4 节部分提出异议的结论。Wickramasinghe 等人16开展了一项互联网规模的纵向后量子 TLS 测量，其结果与我自己扫描的发现相互印证（第 10 节）。更广泛的调查则描绘了周边领域的全貌（Bertino 等人18；Chhetri 等人19）。我没有为迁就这些研究而修改原有论证结构，而是保留了原始框架，并在相关之处逐一回应。凡是他人捷足先登之处，我均如实说明；凡是我的独立数据与他人结论相符之处，我将这种一致性本身视为一项研究结果。

“现在收集，日后解密”这一口号所命名的季节，是最后才到来的。真正危险的工作发生在数年之前的播种阶段。能力曲线的形状仅供示意；其具体位置只能靠猜（即实际时间节点；不保证 CRQC 会在 2032 年之前出现！），但其方向并无悬念。

2. 五道关卡

通常的讨论在这里就走偏了。人们将 HNDL 视为一件要么正在发生、要么没有发生在你身上的单一事件。它并非单一事件，而是一个序列，对手想要的每一个字节都必须通过其中的每一道关卡。想象一下赶牲口：第一关，你能进入牧场吗；第二关，你有地方安置它们吗；第三关，一旦关入围栏，你真的能处置它们吗；第四关，等到你着手处置时，它们还有价值吗；第五关，综合以上考量，你当初真的会去做吗。任何一关失守，整件事不过是白白浪费了油钱和狗粮（参照牧羊的场景）。

本文接下来将逐一审视这五道关卡。在此之前，下方先对量子时代安全问题的更广泛家族给出概览。

问题攻击目标损害发生时间实施所需条件行动时机
HNDL，传输中的数据密钥交换（RSA、(EC)DHE）在CRQC出现时一个窃听装置、一个满载的存储仓库，以及一台尚不存在的机器现在播种
HNDL，静态数据存储数据的长期密钥在CRQC出现时一次成功的入侵，加上同一台机器现在播种
伪造旧签名RSA/ECDSA签名在CRQC出现时截获的证书，加上该机器稍后
攻击PQC芯片硅片中的PQC验证现在物理访问权限和故障注入设备现在
伪造证书，未来的中间人攻击信任链在CRQC出现时该机器，加上线路中的一个位置稍后

上方加粗的两项是真正意义上的HNDL，也是唯一两项需要对手今天采取行动、以便在更远的将来获得回报的威胁。正因如此，它们值得现在就进行调查和讨论。这也使得它们可供核查，因为今天的行动会留下痕迹。

3. 第一关：你能接触到它吗？

窃听光纤等电缆是件苦差事。你无法坐在卧室里用笔记本电脑完成这件事；你需要亲手接触实际的光纤，或者向拥有光纤的一方申请法院命令。仅此一点就排除了几乎所有人。剩下能做到的只有各国政府，而且为数不多。

记录最为详尽的案例也是最古老的案例之一，堪称经典。1971年，美国人派遣一艘经过改装的潜艇USS Halibut进入鄂霍次克海，寻找一条位于120米水深处的苏联军用电缆：常春藤钟声行动7。潜水员将一个六米长的感应装置套在一根大约与手腕等粗的电缆上，近到足以读取信号，却无需切断电缆。这一行动持续运作了将近十年。

有两个细节比谍战小说里的情节更值得关注。第一，他们发现这条电缆，是因为海滩上有一块告示牌写着此处有电缆，请勿抛锚。第二是后勤问题：多年来，获取情报的方式是潜水员每月亲自潜入水中更换录音带。必须有人下去取。后期版本改用核同位素发电机供电，可存储一整年的数据，这被视为巨大进步，因为这意味着一年只需下去一次。请记住这一点。收集工作中最难的部分从来不是窃听本身，而是如何处理之后积累的那一大堆数据。

现代版本

光纤改变了方法，但没有改变约束条件。2006年，AT&T技术员马克·克莱因（Mark Klein）描述了位于旧金山福尔索姆街611号（641A室）的一间上锁房间，其中光学分光器将骨干网流量复制到一个装有用于深度包检测的Narus STA 6400的机架中8。该装置自2003年起一直在运行。分光器从大约十六条骨干线路（约15 Gbit/s的流量）上复制完整的光信号，Narus设备则对其进行实时深度包检测。克莱因的文件成为电子前哨基金会起诉AT&T案件的证据，后续报道发现其他美国城市也存在类似的房间9。值得注意的历史镜像是：2003年，那些分光器复制的大部分内容是明文。如今，同样的窃听装置复制的是密文，而这正是HNDL作为一种担忧而存在的全部原因。

架构层面的论点依然成立。光纤上的分光器在光学层面复制你的流量。没有任何防火墙能看到它；没有任何入侵检测能发现它；你的终端设备毫不知情。但关键在于——这就是整个游戏的核心——它复制的是线路上的内容，而线路上的内容已经是加密的了。分光器无法攻破你的加密。它只是将副本存入仓库，然后等待。

英国也有同样的故事，规模之大值得驻足思考。到2011年年中，GCHQ已在超过200条光纤链路上部署了探针，每条链路承载10 Gbit/s的流量，这一项目被称为TEMPORA10，同时可处理其中至少46条链路的数据。理论上，这每天可访问超过21拍字节的数据流；Guardian将其比作每24小时复制192次英国图书馆全部馆藏。但以下这一点对后续所有讨论至关重要：他们无法留存这些数据。内容仅被缓存三天，元数据则保留三十天。即便是在国家级规模上运作、半数拥有相关基础设施的国家行为者，在内容方面也只能维持一个滚动的三天窗口。请记住这一点；这是第二关提前登场。一项相关的联合行动针对的是大型云服务商自家数据中心之间的链路，这些链路当时在内部网络边界内是未加密的11：正如报道所述，TLS是在公共边界处添加和移除的。这是记录中最具启示性的事情。他们没有攻破加密；他们绕过了它，找到了数据短暂以明文存在的那唯一一处。服务商注意到后，对内部链路进行了加密，这一漏洞随之关闭。

你并非总是需要电缆

这里我必须拓宽这道关口，因为上面所说的一切都关乎有线线路，而世界上相当大一部分流量从未经过攻击者能够触及的有线线路。无线电是广播性的。任何在信号范围内的人都能接收到，无需接线，无需登陆站，无需授权书12。这使得任何一部分旅程经过无线传输的流量，其物理访问门槛几乎降至为零——事实证明，这样的流量相当多。

先说最明显的：WiFi。你笔记本电脑发送的每一个数据帧都向四面八方辐射，任何在范围内、使用廉价网卡开启监听模式的人都能全部截获。有两件事可以保护你。WiFi层自身的加密（WPA2、WPA3）对无线传输的数据帧进行了混淆，但这把锁比内层的TLS更独立且生命周期更短；它只保护从你的设备到接入点这一跳，而非端到端的会话，并且它已被反复降级、破解或绕过（针对WPA2的KRACK攻击、针对WPA3的Dragonblood攻击，以及将一切流量通过攻击者中继的”邪恶孪生”接入点）22。剥去WiFi层，剩下的就是底层的TLS，这又把你带回了收割问题：在破损的WiFi上运行的现代TLS 1.3仍具有前向保密性，仍然需要量子机器，但一个开放的咖啡馆网络，或者一个攻击者持有密钥的WPA2网络，却可以免费将你的加密TLS数据流交到他们手中。从HNDL的角度来看，WiFi嗅探是一种廉价的收集密文的方式；它无法攻破TLS，但对于目标周围几百米内的任何人来说，它几乎完全消除了”你能物理接触到它吗”这道关口。

再说移动通信。2G对窃听者来说是一份礼物。IMSI捕获器（伪基站，即”Stingray”）可以迫使手机降级到一种已被破解的加密算法，从而以明文读取流量。4G和5G要好得多，但针对它们的降级攻击仍是活跃的研究领域，同样的原则依然适用：无线层是软肋，而真正保护你的是叠加在其上的端到端加密。同样，收集成本低廉，而底层加密越来越成为攻击者与明文之间的唯一屏障。

还有一个令人惊讶的案例，因为它完全颠覆了针对特定高价值流量”窃听（截获）很难”的前提：卫星。2025年10月，来自加州大学圣地亚哥分校和马里兰大学的研究人员发表了《别抬头》（它荣获ACM CCS杰出论文奖），其研究发现近乎令人难以置信。他们在圣地亚哥的一处屋顶上，将一个价值800美元的现成卫星天线21指向天空，历时三年，发现他们能看到的地球静止轨道卫星链路中，大约一半正在传输完全未加密的敏感数据。没有TLS，没有VPN，什么都没有。不是”加密了但可以日后破解”；而是现在就可直接读取的明文。他们在明文中发现了某大型移动运营商卫星回传链路中的通话和短信内容、途经上空的飞机机上WiFi流量、军事资产追踪信息，以及（这是与HNDL真实目标最相关的部分）运行公共事业基础设施的工业控制和SCADA流量。而他们从加利福尼亚州的一个固定地点只能看到在轨卫星中约15%的信号。拥有分布在多个大洲天线阵列的国家行为者所能看到的要多得多。

这与电缆故事相比，在两个方面构成不同的威胁，且两者都与第一关的”令人宽慰的版本”背道而驰。第一，访问权限极其易得：只需几百美元和一片可见天空，而非一艘潜艇。第二，对受害者而言更为糟糕，这些流量中的大多数甚至不存在”先收集，日后处理”的问题，因为读取它们根本不需要未来的量子机器：它们本就是明文。量子因素仅对那些经过加密的卫星链路有意义；对于未加密的那一半，事后解密根本没有意义，因为压根就没有什么需要解密的。

关卡一裁决。 对于骨干光纤而言，门槛很高：涉及少数几个国家、物理接入或法律手段，以及真实的成本。但”拦截很难”这一说法，说的始终是线缆，而大量流量在关键环节并非经由线缆传输。无线电广播向覆盖范围内的所有人敞开；WiFi 和移动网络能让攻击者廉价获取你的加密数据流，将真正的防护工作全部压在 TLS 上；而卫星通信则更令人咋舌——大约一半的链路直接以明文传输数据。因此，这一关卡的真实面貌是：光纤骨干网的门槛高，而任何在无线信道中传输的流量，门槛则低到几乎不存在。这不是在弱化论点，而是在强化它——因为本文所关注的长保质期目标（使用 VSAT 链路的大使馆、使用卫星 SCADA 的公用事业单位、使用微波中继的国防设施），其拦截关卡往往形同虚设，唯一横亘在对手与数据载荷之间的，正是我们在本文后续部分深入审视的加密机制。

4. 关卡二：你有足够大的存储空间吗？

假设你已成功完成监听。现在你必须保存这些数据，可能长达十五年，以防万一某天那台机器真的出现。问题到了这里就碰上了数学，而数学并不友善。

用真实数字说话，而非泛泛而谈。AMS-IX，阿姆斯特丹互联网交换中心（各网络相互交换流量的大型公共对等互联节点之一），公布了其 2025 年数据13：全年流量达 35.66 艾字节，峰值速率 14.2 Tbit/s。法兰克福的 DE-CIX 是另一个同类交换中心，其流量约为 48 艾字节14。这些不是估算值，而是运营商自己公布的数字。而且 AMS-IX 只是其中一个交换节点，全球类似节点超过一千个。

假设你决定对 AMS-IX 进行为期一年的全量截取，你需要什么？

两个无人算清的瓶颈。左：对单个交换中心进行一年全量截取所需的磁带量。右：为何末端机器是瓶颈，而非点石成金的魔杖。临时密钥交换机制要求每个会话单独处理一次。

以 LTO-9 磁带、每盒 18 TB 计算，35.66 艾字节约需两百万盒磁带/年。按每盒约 100 美元计，仅空白磁带一项每年就需花费 1.98 亿美元，驱动器和人工成本尚不在其列。LTO-9 驱动器写入速度约为 400 MB/s；要跟上数据流入的速度，需要 2826 台驱动器全年无休、分秒不停地满负荷运转。这已不是一个服务器机房，而是一座工厂。

然后是没人算过的那部分成本。磁带是顺序存储介质，查找数据需要快进倒带。同样是这 2826 台驱动器，若全部用于读取，将整整一年才能读完一年的磁带——恰好一年，因为写入与读取速度相同。也就是说，这份档案每次只能被读取一遍，而且只有在停止采集的前提下才能完成。想检索两遍？再建一座工厂。

硬盘也救不了场。以每块 24 TB 计，需要约 150 万块硬盘，造价约 6 亿美元，光是算上散热，运行功耗约达 11 兆瓦——相当于一座小镇的用电量，只为让一年、一个交换节点的数据保持转动。若扩展到全球流量的哪怕百分之一，荒谬感便扑面而来：每年都要新增相当于好几个 AMS-IX 的容量，永无止境，而支撑这一切的前提，是某台尚不存在的机器，将来有一天或许能让你读取一遍。

本文的测算未涵盖其他因素：数据压缩与解压缩的时间成本，以及磁带的装卸操作。当然，存储介质不止磁带一种，而这里举的也是一个极端案例——单个节点一整年的数据全量截取。但这个例子足以说明数据体量的惊人规模（双关语不是故意的），以及随之而来的存储与处理经济学。

在这一点上，我与此前对这些经济学最为严谨的一项研究产生了分歧。Blanco-Romero 等人17对同一存储问题建立了模型，并得出”存储成本微不足道”的结论：以原始介质价格计（他们引用的 LTO 磁带价格约为 5 美元/TB），即便截取全球流量的 1%，每年成本也不过约 10 亿美元，完全在国家预算承受范围之内。他们的数学推算无误，我对介质成本本身也无异议。我的异议在于：介质成本并非核心约束。原始磁带是预算中最便宜的一项；真正咬人的，是实时写入所需的驱动器工厂、有朝一日读取数据所需的第二座工厂、在一堆不可压缩密文中检索任何内容所需的索引体系，以及维持这一切运转长达十五年所需的基础设施。按他们自己的说明，其模型聚焦于静态存储介质，不含拦截与检索环节的机器成本。这对于他们所研究的问题——协议层防御——而言是合理的范围界定；但一旦将这些排除在外的成本纳入考量，”微不足道”就变成了”只有在已经决定这批特定流量值得进行十五年工业级投入的前提下，才能负担得起”——这不过是另一种形式的选择性截取。我们与他们殊途同归（截取是有选择性的，而非不加区分的），只是对存储成本这一项的解读方向相反。他们自己的结论——防御者应优先保护生命周期价值最高的数据——与我的结论完全一致。

关卡二裁决。 无差别大规模截取是幻想。不是困难，不是昂贵，而是在算术上根本行不通。任何真实的对手都必须选择保留什么，而一旦开始选择，威胁就不再针对所有人，而是针对某个具体目标。若想判断自己是否正在被截取，别问他们能取走什么，而要问他们愿意为此存储十五年付多少钱。（此处以十五年作为任意但具有说明意义的时间跨度：凭猜测保存数据，十五年是很长的时间。）

5. 关卡三：这些数据真的能解密吗？

假设他们已完成监听，并付出代价保存了数据。机器终于到来。这堆数据能打开吗？完全取决于密钥是如何协商的——而这恰恰是整个”先存后解”讨论中解释最不充分的一环。

截获的数据是否有价值，取决于密钥的协商方式。RSA 密钥传输完全暴露于”先存后解”风险之下；临时 (EC)DHE 则要求对每个会话单独执行一次量子计算任务。无论哪种方式，握手签名仍可被伪造，因此通信双方的身份信息依然会泄露。

旧有方式——RSA 密钥传输——是最糟糕的噩梦场景。客户端用服务器的长期公钥加密会话密钥；只需破解那一把密钥，曾与该服务器发生过的所有通信记录便会同时开锁。一把钥匙，整批数据。这正是那句口号所默认的场景，也是它听起来如此骇人的原因。

但现代 TLS 并非如此运作。TLS 1.3 要求使用临时 Diffie-Hellman 密钥交换，TLS 1.2 配合 ECDHE 同样如此。在这种机制下，每个会话都会生成各自的一次性临时密钥。服务器的长期密钥只用于签署握手，从不对内容进行加密，因此破解它对通信内容毫无帮助。若要读取某个临时会话的内容，必须单独破解该会话的密钥交换，然后是下一个，再然后是再下一个。没有一举破解全部的捷径：一个剪毛台，一次只能剪一只羊，而且每只羊都需要不少时间。

需要多长时间？Gidney 2025 年的估算3约为破解一个 RSA-2048 密钥需要大约一周的机器运行时间。椭圆曲线算法的破解成本更低，但数量级相近。因此，一百万个截获的临时会话所需的不是”一台量子计算机”，而是大约一百万个独立的量子计算任务。即便以乐观的每项任务一天计算，也需要数千台机器运行整整一年。密码相关量子计算机（CRQC）将是一种稀缺的国家级设施，像望远镜一样需要排期使用；没有人会把你的视频流媒体会话排进它的任务队列。反直觉的感受由此开始浮现：量子机器、CRQC，如今确实已足够强大、足够”快”，能为我们运行 Shor 算法——但当我们将任务数量纳入考量（每个任务都是量子算法的一次独立执行），便能开始理解经济性的递减：需要破解的加密会话数量，乘以量子计算机运行该算法的时间（目前预计从数小时到数周不等），仍是一个争议焦点，随着Z的不断降低，这个数字无疑还会持续变化。

有两点使这一切无法令人乐观。其一，前向保密保护的是内容，而非签名：未来的机器仍然可以伪造截获握手数据中的身份认证信息，因此通信双方的身份依然会泄露——而这往往才是真正有价值的部分。其二，更为严峻的是，证书层根本没有任何进展。如我自己的测量数据所证实（第 10 节），用于认证几乎整个互联网的签名算法仍是传统的 RSA 和 ECDSA。机密性层面的迁移已经起步；身份认证层面尚未出发。

还有第三个陷阱，它悄然瓦解了许多已有的成果。”服务器已迁移”并不等同于”会话是安全的”，因为协商出的加密算法始终只与两端中较弱的一方一样现代。Dubey 和 Varshney15 捕捉到了一个典型案例：一家印度银行（icici.bank.in）向一台现代设备提供了带有 TLS 1.3、X25519 和 AES-256 的 QUIC（量子前向安全、前向保密，一切皆如所愿），而同一域名在另一台设备访问时，却回退至使用 ECDHE-RSA 和 AES-128 的 TLS 1.2。同一台服务器、同一天、两个客户端，安全态势却截然不同。回退的会话仍具前向保密性，所以并非 RSA 传输那样的噩梦，但这是一次没有人选择、也没有人察觉的回退——如果任意一端稍微老旧一点，就可能降至 RSA 密钥传输，从而完全可被”先存后解”。你看不清远端的迁移，根本无法依赖。

6. 第四道关卡：然后呢？

这道关卡无人谈及，却是大多数计划的折戟之处。设想一下：你在一家大型零售银行的光纤上搭线，捕获其网站一整年的所有 TLS 会话——数百万客户的登录、余额查询、转账记录。你把它们全部存下来。十五年后，量子机器到来，你花费巨资的 CRQC 时间，将其全部解密。恭喜。你得到了什么？2026 年就已过期的会话 Cookie。密码已轮换三次，大多数现在还加了 MFA。十年前的账户余额。你以巨大的代价，得知某人在 2026 年一个周二早上查看了自己的余额。

其中确实存在持久性信息（姓名、出生日期、身份证号码），但那不过是废料山中的一条细脉，还需要从数百万个独立会话中拼凑还原。与此同时，同样的信息就坐落在银行的客户数据库里，结构化、已索引、随时更新，只需一次入侵即可触达。所以这里有一个应该被更频繁追问的问题：为何要在关卡前守候十年，从奶罐车上接着滴漏，期盼有朝一日能将其倒流还原，而整个奶罐就停在路旁的工厂里？

数据有保质期，且差距悬殊。会话 Cookie 的价值持续一小时；密码，数月；卡号，直到过期；银行账号，数十年；国家身份证号，一生；指纹或虹膜，一生且无法重新签发；基因组，一生加上所有亲属，且永不过期。外交电报的敏感性可持续四十年。一份武器设计图的寿命超过绘制它的工程师。”先存后解”只在保质期足够长的地方才有意义。其他地方，收成在机器到来之前就已烂在仓库里。

7. 第五道关卡：究竟谁会费这个心？

将最后两道关卡合并——数据量对比保质期——画面很快就变得清晰。以下是一些有实际操作细节的具体案例。

谁会费这个心？数据量对比保质期。左上角是拦截采集有意义的地方：数据量不大，且永久有效。右下角是这句口号叫得最响、却最没有意义的地方。各位置均为数量级判断。

大使馆专线。 目标：外交使团与其外交部之间的加密隧道。搭线点：当地 ISP，或其线路经过的交换局。如果你是东道国，这不过是一个电话，而非一次行动。如果使馆位于偏远驻地并通过卫星回传（许多使馆如此），对手甚至无需东道国配合：一口锅和一个屋顶就够了（第 3 节）。数据量：极小，每天一两个 GB；五十年的数据放在一个架子上。保质期：数十年。结论：这是教科书级别的案例，几乎可以肯定正在发生在所有人的大使馆上。如果你管理一个外交部却还未迁移，你就是这句口号存在的理由。

国防承包商。 目标：主承包商与分包商之间的站点间 VPN。数据量：可控，每年数十 TB 的 CAD 和测试数据。保质期：今年设计的机身，2075 年仍在飞行。结论：可行且值得。数据量小，记忆长。

零售银行。 目标：所有消费者流量。数据量：每年 PB 级。保质期：绝大多数内容仅有数小时至数月。结论：不值得。你每年花费上亿美元的磁带，最终只是了解到一些 2026 年的密码。不如直接去盗数据库。可能已经有人这么做了。

基因组实验室。 目标：传输至云存储的测序数据。数据量：单个基因组的标准测序原始数据约数百 GB；一个繁忙的中心每年产生 PB 级数据。保质期：永久，且牵连受试者的全部家属。结论：本文中最有价值的目标，但仅就数据量而言，传输途中的拦截仍然无望。然而，若直接盗取静态数据库，突然就变成了拥有无限保质期的 60 TB 数据。这正是上图中的那支箭，也是其中最重要的一步移动。

8. 羊毛已在仓库里

这让我们来到”先存后解”中一个远未获得足够关注的部分。过去十年每一次大规模数据泄露，都在他人的存储中留下了加密档案：人事档案、健康保险公司、信用机构、连锁酒店——这些数据大概率仍在那里，等候的正是与被搭线光纤同一台机器。而且这是一个更好的目标，原因有三。

第一，没有前向保密。静态数据由长期密钥而非一次性会话密钥保护；一旦破解密钥，整个档案即告洞开。这在默认情况下就是 RSA 密钥传输的情形：一网打尽，一击得手。第二，筛选问题已经解决。窃取了基因库的对手无需从废料山中淘金，有人已经代为完成了排序、索引和去重工作。第二道关卡的难题由受害者自己完成了。第三，保质期通常极长：一份被盗的基因组，2045 年不会失效。

这一切都不需要潜艇。你只需要一封网络钓鱼邮件，让某位毫无戒心的员工中招。这就是为什么能够实施静态数据”先存后解”的行为者数量，远远多于能够搭线海底电缆的行为者数量；这也是为什么大多数迁移建议中的优先级顺序完全搞反了。所有人都在山丘上追赶羊群，而整批羊毛（加密数据、数据库）已经打包成捆，存在门开着的仓库里。

9. 我们仍不知道的事

坦诚于认知的局限：第 3 至 8 节中的所有推理，均基于一份在设计上就不完整的公开记录。机密项目是保密的。已披露的材料已经陈旧，大多来自 2013 年，而技术已今非昔比。存储成本在下降；量子资源估算下降得更快。这里的任何一项计算都可能偏移一个数量级，部分结论也可能随之改变。不属于推测的，是当前线路上实际部署的状况——因为那可以被测量。所以我测量了，这使整个论点更加清晰，告诉我们防御在哪道关卡上占优，又在哪道关卡上尚未开战。

10. 丈量牧场

当我开始扫描互联网、为本文研究当前量子安全态势收集数据时，我发现唯一可比的已发表研究是一项针对约 32,000 个域名的单视角研究15。（这里的视角仅指扫描发起的位置。单视角扫描从一个位置向所有服务器发出询问；多视角扫描从多个位置发出，以捕捉因请求来源不同而给出不同答复的服务器——通常是因为全球 CDN 仍在逐区域推送某项设置。）我自己的计划是扫描更广，同时从多个视角进行，以观察某项服务的答复是否因接听请求的区域前端不同而有所差异。就在我进行这项工作期间，Wickramasinghe 等人16发表了一项互联网规模的纵向研究：在 2025 年 7 月至 2026 年 3 月的三轮扫描中，从十一个视角对百万个域名进行了逾二十亿次 TLS 握手。这是一项在各个维度上都比 qgrove 更大规模、更严谨的测量。因此，我将以下内容呈现为独立佐证：一项规模较小、单轮次、基于不同基础设施构建的扫描，最终得出了相同的数字。

我构建了 qgrove20，一个运行在全球边缘网络上的扫描器，它对每个域名建立原始连接，并读取服务器实际选择的密钥交换组。这一单一数值决定了被捕获的会话是否面临”先存后解”风险，且可直接从握手的明文部分读取，无需解密任何内容。该扫描器为开源项目，以下所有数字均可从已发布的数据集中复现。扫描目标共选取了 116,589 个域名，使用了多种方法和来源。

正在推进的部分：握手（机密性的密钥交换）

在能够进行现代 TLS 通信的可达服务器中，35.5% 已协商混合后量子密钥交换——即经典 X25519 曲线与 ML-KEM-768 的配对，正是当前版本 Chrome 的默认设置。对于一项如此近期才最终确定的标准而言，这是一个相当大的比例，且仍在攀升。但 35.5% 是从边缘测量所得，边缘无法看到大型 CDN 后面的站点。当我通过另一种方式重新探测那些站点以填补这一盲区时，画面发生了显著变化：CDN 前置的站点群体接近 100% 混合化，因为 CDN 已为所有人一次性开启了 PQC。将两者合并，总体估算上升至 61.1%。两个数字都是真实的，但含义各不相同。诚实的标题是：仅从该 CDN 边缘运行的扫描系统性地低估了 PQC，因为互联网上 PQC 普及率最高的站点，恰恰是它在结构上无法看到的那些。

两个层以截然不同的速度演进。左图：混合后量子密钥交换，边缘可测值与汇总总体估计值对比。右图：证书签名，迁移尚未启动。来源：qgrove，2026年7月。

尚未推进的部分：签名（用于身份验证）

现在来看另一半——也是真正应该让人担忧的部分。我检查了31,839张证书的签名算法，其中使用后量子签名的数量为零。不是”极少”，而是零。整个互联网的身份验证完全依赖经典的ECDSA和RSA，而未来的量子计算机伪造这两者的签名与破解旧式密钥交换同样轻而易举。机密性层面的迁移已经开始；身份验证层面连第一步都尚未迈出。这并非我的样本的特殊情况：此前的单一视角研究15和与我同期进行的互联网级研究16均报告了后量子证书同样为零的结果，而架构评审报告18也解释了为何签名侧是更艰难、更缓慢的工作：它拖拽着整个证书颁发机构层级体系以及每一个验证客户端一同前行。这就是值得铭记的核心分歧：加密通信内容与证明身份是两项不同的工作，由两套不同的数学完成，而目前只有其中一项正在被修复。

另外两项发现，均具有低调的参考价值

第一，各行业情况。人们或许会预期安全意识较强的行业（银行、国防、政府）处于领先地位。但事实并非如此。在我标记的各个行业中，混合后量子密码的采用率约在27%至39%之间，领先者是通用大众网站和CDN控制平面，而非金融（28%）或国防（29%）。采用率的驱动因素并非谁最需要它，而是谁的CDN率先开启了这一选项。这已成为所有独立测量中一以贯之的发现。规模最大的并行研究对此给出了最为精确的量化：约70%的后量子TLS流量归因于仅仅两家提供商——Cloudflare和Fastly16；而那些设定了最早2030–31年过渡期限的司法管辖区，其采用率反而低于期限较晚的地区，因为政策紧迫性与CDN市场份额之间并无关联。另一项研究在协议版本层面发现了同样的滞后现象：即便是普通的TLS 1.3，其采用率在政府（70%）、国防（68%）、能源与关键基础设施（76.5%）和电信（78.6%）15等行业中仍然落后，而云计算和社交媒体的采用率则达到95–100%。三项不同扫描，呈现同一规律。如果你的服务提供商翻转了这一开关，你便受到了保护；如果没有，你便没有，而你所在的行业与此几乎毫无关系。

第二，我构建多视角测量装置的初衷：服务器的响应是否会因发起请求的地理位置不同而有所差异？我从横跨北美、欧洲、日本和新西兰的八个地点对1,787个域名进行了探测。因地点不同而给出不同响应的域名占比为0.17%，即三个域名；当我对这三个域名进行复测时，其中两个被证实是普通的负载均衡器抖动而非地理差异，最终约有一个域名（约占1,787分之一）存在真实、稳定的区域性差异。在此，独立核验具有重要意义。那项针对百万域名、来自十一个视角的大型研究报告了相同量级的效果：其稳定样本中有0.05%的域名根据客户端位置协商出不同的默认设置16，他们与我一样，将其归因于CDN配置在各区域间的渐进传播。两个团队，测量装置迥异，结果分别为0.05%和0.06%：扫描地点在本质上无关紧要。

qgrove扫描结果的数据及其局限性说明。数据集：qgrove20，116,589个唯一域名，共202,258次测量（对所有域名进行广度扫描，并对4,000个域名子样本进行多视角深度扫描），2026年7月，全量数据已公开发布。以下注意事项请提前知悉：（1）仅边缘数据得出的数字（35.5%）在设计上存在低估，汇总数字（61.1%）合并了两种测量方法，合并前已校准至99.9%的一致性；（2）约四分之一的可达服务器仍仅支持旧版TLS协议，无法支持后量子密码，这也是为何混合方案占比在现代TLS服务器中为35.5%，而在所有可达服务器中仅为27%——两个数字均已如实报告，均未经美化；（3）证书及无前向保密性相关数据来自大样本，并非每个域名均有覆盖；（4）各行业的精选列表是可靠的核心样本，并非详尽的普查结果。

11. 收束全文

“先收割，后解密”这一口号方向正确，但夸大了威胁的规模。HNDL确实存在：各国确实在实施流量监听，确实在留存所截获的数据，而他们等待的那台机器，即便尚无人造出（至今如此），在纸面上也每年都在逼近。但它只有在极为有限的情形下才能通过全部五道关卡：存储量足够小，可以保存一代人之久，且内容在被开启时仍具有价值——外交电报、国防项目、任何涉及生物特征或基因组的数据，以及小批量的长期有效机密。对于互联网及其用户的绝大多数而言，威胁在第二道或第四道关卡便已消亡，不是因为密码学本身足够坚固，而是因为经济账算不过来。存储的成本高于明文的价值，而等到能够解密时，这些数据早已过时。

与此同时，真正令人警觉的HNDL版本几乎无人关注，因为它不涉及光纤窃听，也不适合做成幻灯片：那就是某人已经悄然带走的加密存档。没有前向保密性，没有存储量问题，没有潜艇，保质期以一生计算。

因此，切实可行的建议虽不够光鲜，却是如此：梳理你的数据中哪些的X以数十年计。对大多数组织而言，这是一份很短的清单，通常也不是供应商向你报价的那份清单。优先迁移那部分数据（任何静态存储于长期密钥下的数据，以及任何传输中仍使用RSA密钥传输的数据），然后以合理的节奏处理其余部分。同时，密切关注那个尚无人启动的领域：目前文献中的所有测量结果，包括我的在内，均发现后量子密钥交换已在互联网的大片区域上线并持续增长，但值得统计的后量子证书签名一个都没有。迁移的机密性部分正顺利推进，主要原因是几家大型CDN拨动了一个开关；身份验证部分尚未开始。当量子计算机出现时，它伪造签名与破解密钥同样轻松，因此一个已迁移握手流程却未迁移证书的互联网，不过是一栋换了新锁、任何人却都能径直穿门而入的房子。那是下一块待守的牧场，而眼下它连一道篱笆都没有。

这一切并非主张无所作为，而是主张在购买驱虫药之前先清点羊群。基于真实风险敞口的迁移是物有所值；跟着口号走的迁移，只会让你花了一大笔钱浸泡驱虫，却发现牧场里依然虫患猖獗。

qgrove扫描器、域名列表、完整方法论及202,258行数据集可在github.com/spinsphere/qgrove获取。所有图表均为作者自制。关于情报项目的论述基于公开报道、诉讼记录及解密文件；作者不持有任何非公开信息，亦无此类暗示。

Kaysec提供后量子就绪与密码敏捷性咨询服务，主要服务于本文所述数据保质期确实较长的组织。kaysec.spinsphere.xyz

参考文献

  1. NIST. FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）：后量子密码标准。 2024. csrc.nist.gov
  2. M. Mosca. “量子计算机时代的网络安全：我们准备好了吗？” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “如何用不足百万个含噪声量子比特分解2048位RSA整数。” arXiv:2505.15917, 2025年5月. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen（Iceberg Quantum，悉尼）. “Pinnacle架构：利用量子LDPC码将破解RSA-2048的物理量子比特数降至100,000个。” arXiv:2602.11457, 2026年2月. 为仿真与资源估算，非硬件实验演示。 arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi（Google Quantum AI / 加州大学伯克利分校），J. Drake（以太坊基金会），D. Boneh（斯坦福大学）. “抵御量子威胁的椭圆曲线密码学防护：资源估算与缓解措施。” arXiv:2603.28846, 2026年3月. arxiv.org/abs/2603.28846
  6. NSA，CNSA 2.0；英国NCSC，后量子密码准备工作的后续步骤；ANSSI，后量子密码立场文件。
  7. “常春藤钟”行动，1971–1981年。USS Halibut号，鄂霍次克海。感应式窃听，非侵入性；每月派遣潜水员取回数据，后改用放射性同位素热电发生器供电。参见Sontag与Drew所著《盲人摸象》（1998年）。
  8. M. Klein，宣誓声明及证据，Hepting v. AT&T（N.D. Cal. 2006）；EFF案件材料。641A机房，611 Folsom St；2003年投入运营，2006年披露；约16路分路骨干线路（合计约15 Gbit/s），Narus STA 6400。
  9. R. Gallagher 与 H. Moltke。”NSA在美国八座城市隐藏的监控枢纽。”The Intercept，2018年6月。theintercept.com
  10. GCHQ TEMPORA项目披露，2013–2014年（The Guardian；Der Spiegel）。200余个探针，每路10 Gbit/s，理论日容量约21.6 PB；内容缓存约3天，元数据约30天。
  11. MUSCULAR项目披露，2013年（The Washington Post）。数据中心间链路；TLS在公共边缘终止。
  12. Lawfare，”评估俄罗斯对海底电缆的威胁”，论述为何登陆站访问权使常规深海窃听缺乏吸引力。
  13. AMS-IX 2025年数据：年流量35.66 EB，峰值14.2 Tbit/s。ams-ix.net
  14. DE-CIX法兰克福2025年流量约48 EB；法兰克福峰值18.22 Tbit/s；全球平台峰值25 Tbit/s，2025年4月。
  15. A. Dubey 与 V. Varshney。”互联网后量子就绪度测量研究：2026年。”arXiv:2606.16473，2026年6月。对32,011个域名的单一视角扫描；TLS 1.3占52.41%，TLS 1.2占15.70%，QUIC占31.89%；混合密钥交换49.3%，PQC证书0%；记录了固定域名上的客户端TLS版本回退现象。arxiv.org/abs/2606.16473
  16. N. Wickramasinghe、F. Li、S. Jha、A. Shaghaghi。”注意差距：后量子TLS部署中的政策与现实。”arXiv:2607.29005，2026年7月。新南威尔士大学悉尼分校与佐治亚理工学院。纵向研究，三轮次，2025年7月至2026年3月；超过20亿次握手，100万个域名，11个观测点。arxiv.org/abs/2607.29005
  17. J. Blanco-Romero、F. Almenares Mendoza、C. García Rubio、C. Campo、D. Díaz Sánchez。”论’先收割、后解密’攻击的实际可行性。”arXiv:2603.01091，2026年3月。马德里卡洛斯三世大学。arxiv.org/abs/2603.01091
  18. E. Bertino、R. Kompella、A. Kundu、C. Nita-Rotaru、J. Vaidya、A. A. Yavuz。”抗量子网络：原语、协议与最佳实践综述。”arXiv:2605.04129，2026年5月。arxiv.org/abs/2605.04129
  19. G. Chhetri、S. Somvanshi、P. Hebli、S. Brotee、S. Das。”后量子密码学与量子安全：全面综述。”arXiv:2510.10436，2025年。德克萨斯州立大学。arxiv.org/abs/2510.10436
  20. qgrove：分布式多视角TLS后量子态势测量工具。数据集与方法论，2026年7月。github.com/spinsphere/qgrove
  21. W. M. Zhang、A. Dai、K. Ryan、D. Levin、N. Heninger、A. Schulman。”别抬头看：GEO卫星明文传输敏感内部链路。”第32届ACM SIGSAC计算机与通信安全会议论文集（CCS ’25），台北，2025年10月（杰出论文奖）。接收设备约800美元；所观测GEO卫星链路中50%传输明文IP流量，包括含通话与短信内容的蜂窝回传、公用事业工业控制/SCADA、军事资产追踪及机载WiFi。satcom.sysnet.ucsd.edu
  22. 关于WiFi拦截及其局限性：WPA2/WPA3保护的是无线跳段，而非端到端会话；参见KRACK攻击（Vanhoef & Piessens，2017年）、Dragonblood攻击（Vanhoef & Ronen，2020年）以及恶意热点/降级攻击等一般性攻击手法。无线电的广播特性使密文收集成本低廉；TLS仍是承重的安全层。