报告

Cloudflare 希望为后量子网络签名。比特币却找不到签名者。

by Simon McCorkindale

后量子密码学的答案现已基本达成共识。如何应用它们——尤其是在身份验证方面——才是难点所在。Cloudflare 成为证书颁发机构的举措展示了一种适用于 Web 的解决方式。比特币则说明了为何同样的答案并非放之四海而皆准。而欧洲那笔 4750 万欧元的量子互联网押注，对于 2029 年前需要完成迁移的任何人来说都无济于事。

三周之内，四件事相继发生，合在一起构成了一个清晰的论点。

第一件事是一份清单。Filippo Valsorda——Go 语言密码学维护者，也是该领域最为冷静可靠的声音之一——发布了一份更新版”密码学正确答案”，这一开发者速查表的传统可追溯至 2009 年 Colin Percival 的版本。自 2018 年以来，每一个非对称算法的答案都已改变，大多数自 2024 年起更新，而这场过渡如今已是一项历时三年的工程。

第二件事是基础设施层面的动向。Cloudflare 宣布计划成为公共证书颁发机构（CA），并计划于 2027 年第一季度推出后量子证书——直接切入 Web 迁移中最棘手的未解难题：身份验证。

第三件事是一场无法简单套用上述清单的迁移。Coinbase 是约 12% 比特币的托管方，它阐述了其认为比特币后量子过渡所需的条件——答案远不止”选择 ML-DSA”那么简单。

第四件事是另一条量子安全方向的新闻。欧盟委员会向量子互联网联盟（Quantum Internet Alliance）拨款 4750 万欧元，用于构建量子网络原型；斯特拉斯克莱德大学今年早些时候发表的一篇论文则量化了卫星量子密钥分发究竟有多难实现。

综合来看：算法已就绪，密钥交换正稳步推进，身份验证是当前工作的核心所在，而基于物理原理的替代方案仍属研究项目，而非迁移方案。

2026 年版正确答案

Valsorda 的清单值得全文阅读，但对于基础设施运营者而言，关键内容简明扼要。

密钥交换采用标准协议中的 X25519 + ML-KEM-768 组合。这意味着在 TLS 中使用 X25519MLKEM768，在 SSH 中使用其等效方案，以及在 HPKE（混合公钥加密，用于向公钥加密的 IETF 标准）中使用 X-Wing 组合。名称中不含 ML-KEM 的方案均列入避免使用名单。他的立场比多数人更为坚定：如果实现混合方案会导致你在经典密钥交换上多停留哪怕一个月，不如直接过渡到纯 ML-KEM-768。”先收割、后解密”的攻击方式使每一次经典握手都成为现实威胁。

签名算法也已更新——转向 ML-DSA-44。这是更重大的转变。就在 2026 年 1 月，建议还是对后量子身份验证持观望态度。Valsorda 现在明确表示应立即行动，并对大多数用例拒绝采用混合或”复合”签名。他的理由是：要么你已经能在 ML-DSA 遭破解时回退到经典密钥，要么你的时间跨度足够长，届时经典算法那一半也难逃失效命运。他还建议尽量减少签名的使用——HMAC 或随机会话令牌通常足以完成签名令牌所承担的工作。

对称加密无需担忧。Grover 算法对 AES-128 构不成实质性威胁，更遑论 AES-256。您的加密备份大可放心。非对称层才是需要付出努力的地方。

TLS 协议栈与算法本身同样重要。他推荐使用内存安全的协议栈（rustls、Go 的 crypto/tls）或维护良好的 OpenSSL 分支（BoringSSL、AWS-LC）。他明确表示不推荐 OpenSSL 本身，并指出低于 3.5 版本的 OpenSSL 根本不支持 X25519MLKEM768。如果您使用云服务，建议使用提供商的负载均衡器——但请务必确认已实际选择了后量子安全策略。在 RHEL 9 及其衍生版本上，后量子支持需手动启用。

对于网站而言，证书方面的建议关乎底层管道。接入一个主流且受良好支持的 ACME 客户端（自动证书管理环境，即 Let’s Encrypt 推广普及的协议），并保持更新——因为 Merkle Tree 证书将于 2027 年推出，您需要提前做好准备以便接收。这句话恰好是下一节的关键所在。

另有两点补充说明。该清单不考虑合规要求；CNSA 2.0（美国国家安全局的后量子套件）和 FIPS 140-3 环境在某些方面会有所不同。值得注意的是，CNSA 2.0 仍为固件签名背书有状态哈希签名（LMS/XMSS），而 Valsorda 将其列入通用避免清单。此外，他的脚注中还列举了 2026 年大量较小型 TLS 库的 CVE 漏洞——大多为证书验证绕过类问题。真正出问题的往往不是算法本身。

Cloudflare 成为 CA：Web 规模下的身份验证难题

后量子密钥交换是一项配置变更；后量子身份验证则是一个供应链问题。每一个 TLS 连接都依赖于由 CA 签发、受浏览器信任的证书链，而 ML-DSA 签名体积庞大——单个签名约 2.4 KB，而当今椭圆曲线签名仅 64 字节。若每次握手中包含数个此类签名，就会产生我们在10 KB 与 40 KB 悬崖一文中所描述的性能下降问题。

Cloudflare 于 9 月 29 日发布的公告（由 Quantum Computing Report 报道）正是其解答。这是一份关于尚不存在的服务的供应商公告，应以此视角解读。但其设计选择颇具启发性。

Merkle Tree 证书（MTC）避免了每次连接都传输大体积签名的问题。CA 不再对每张证书单独签名，而是将证书批量汇入公开的仅追加日志，并仅对日志检查点进行签名。服务器随后出示一个简短证明——若干哈希值——以证明其证书已包含在该日志中。Cloudflare 共同撰写了 IETF 草案，Chrome 已将 MTC 列为实现后量子 Web 身份验证的首选方案，Cloudflare 计划于 2027 年第一季度投入生产发行。Quantum Computing Report 援引 Chrome Beta 测试数据显示，MTC 在中位数情况下比经典证书链更快；但这是 Cloudflare 自身的测试数据，并非独立测量结果。

向后兼容性是买来的，而非构建出来的。一个新根证书需要数年时间才能覆盖全球设备，且永远无法覆盖那些已停止更新的设备。因此，Cloudflare 已签署协议，收购一个由来已久的 GlobalSign 根证书（自 2012 年起受信任），同时向 Chrome、Apple、Microsoft 和 Mozilla 根证书项目申请新根证书，以面向 Chrome 新量子抗性根证书项目所代表的后量子未来。旧根证书服务于旧设备，新根证书面向后量子未来。

自动化是签发的前提条件。Cloudflare 将以 ACME 优先，且仅向支持 ACME 续期信息（ARI，RFC 9773）的客户端签发证书——该机制允许 CA 告知客户端何时续期。目标是在发生事故时能够提前续期窗口并快速替换证书，而非在及时吊销与保持客户网站在线之间两难取舍。

其定位是增强集中化风险的抗性。Cloudflare 指出，当前大量免费、自动化的证书生态系统都依托 Let’s Encrypt 运行，并提出自身将成为第二家大型、免费、自动化的签发机构——同时提供可复现构建、经证明的 HSM 及公开运营仪表板。至于这种集中化风险的降低，恰恰来自一家已承载全球超过 20% Web 流量的公司，这其中的讽刺意味就留给读者自行体会。

实用的结论是：对于公共网站而言，后量子身份验证将主要通过 CA、浏览器和 ACME 客户端来实现——前提是您具备接收它的自动化能力。分析机构 Futurum 也指出了相应问题：公共证书并非大多数企业后量子风险的核心所在。内部 PKI——私有 CA、VPN、设备证书、服务间身份验证——才是，而没有人会替您解决这些问题。

比特币：当迁移无法一键推送时

如果说 Cloudflare 展示了 Web 身份验证问题正在被集中解决，那么Coinbase 的文章则展示了在没有中心的情况下会发生什么。这是一篇带有明确商业利益的供应商文章——Coinbase 的机构托管业务塑造了其多项诉求——因此应将其视为利益相关方立场，而非中立分析。但其中揭示的约束条件，远不止于加密资产领域。

通用排名无法直接移植。Coinbase 直言不讳：TLS 或 PKI 对签名方案的排名无法映射到比特币上，因为每一笔比特币签名都将永久存储，并由每个节点验证。体积和验证成本的重要性远超 TLS 握手中的情形，也不存在类似 MTC 的技巧，因为没有 CA 可以进行批量处理。”使用 ML-DSA-44″对 Web 服务器而言是正确答案，而对区块链来说则是一个开放性问题。

将容器与签名解耦。这篇文章中最具普适性的思路是：输出格式（锁定资金的结构）应与签名算法解耦，从而无需重新设计系统即可添加、替换或补充签名方案。Coinbase 因此支持 BIP-360 的 P2MR 和 P2TRv2 等提案，以及”1-of-2″过渡方案——即同一笔资金可用经典密钥或后量子密钥中的任意一种来支付。这是以共识规则来表达的密码敏捷性（即无需重构系统即可更换算法的能力）。

状态管理至关重要。有状态哈希签名体积更小、速度更快，但状态复用可能导致即时伪造。Coinbase 指出，地理分布式签名集群——任何大型运营商实现高可用性的标准方式——难以维护有状态签名所需的独占锁。任何考虑将 LMS 或 XMSS 用于固件签名的人，都应将这段话仔细读上两遍。

丢失密钥的问题没有简洁的答案。 永久暴露公钥的币、重复使用的密钥、休眠持仓和丢失的种子助记词，共同构成了 Coinbase 合理地视为独立治理问题的领域：冻结、限速、日落或救援，每种方案都有利益受损方。本文要求任何救援机制本身须经证明具备量子安全性，而这并非理所当然。

比特币是极端案例：无中央权威、交易不可逆，且签名永久留存。但”无法重新签名的长期签署工件”同样适用于法律记录、工程证书和归档合同。

延伸话题：量子网络

量子互联网联盟奖项是量子网络领域的真实进展。该联盟汇聚了横跨欧盟12个成员国的50余家机构，将建设一个连接量子计算机的原型网络，通过横跨数百公里的城域光纤互联，因斯布鲁克大学与 AQT 为此获得540万欧元用于建设囚禁离子网络节点。安全通信是该项目明确提出的应用方向之一，同时还涵盖分布式量子计算与精密授时。

有必要厘清其本质：这是一个量子网络研究原型，量子密钥分发（QKD）只是其中一项应用。它并不能为任何面临2029年截止期限的人提供迁移路径。

物理原理揭示了原因。光纤中的 QKD 受指数级损耗限制，在没有目前尚未规模化中继器的情况下，传输距离约为100公里；卫星是所提议的解决方案。这正是斯特拉斯克莱德大学论文切入的地方。

参考文献： arXiv:2602.11833 — Sidhu、McCarthy、Paterson 与 Oi，《基于纠缠的卫星量子密钥分发的操作极限》（2026年2月）

该团队对一颗低地球轨道卫星同时向两个光学地面站发送纠缠光子对进行了建模（采用 BBM92 协议，该协议无需信任卫星），并进行了严格的有限密钥安全分析，充分考虑了每次过境仅有数分钟数据所带来的统计代价。

距离是硬性上限。 在典型的500公里轨道高度下，该模型仅当两个地面站相距约1,800公里以内时才能生成密钥——大致相当于卫星实际可见范围的37%。大陆级覆盖每跨度至少需要四个地面站。

夜间条件不可或缺。 密钥生成仅在夜间有效，经过仔细数据筛选，黎明黄昏时段亦可进行。白天全光照会将其抑制。

模型较为乐观，现实则不尽如此。 经调整以近似中国”墨子号”卫星的参数后，模型预测每次过境可生成数百千比特的密钥。而”墨子号”实际报告在多次过境后最终密钥仅约百比特量级。作者将大部分差距归因于真实过境几何条件与损耗，并承认其内禀误码率假设较为乐观。

理想配置下的年度总量——两个相距500公里的地面站之间每年约870兆比特——足以生成大量 AES 密钥。但 QKD 分发的是密钥，而非对交换对象的身份认证。身份认证仍需依赖经典签名或后量子签名——正如本文其余部分所示，这才是难点所在。这也是美国国家安全局不推荐 QKD 用于国家安全系统的核心原因，英国国家网络安全中心自2020年起亦持相似立场：后量子密码学成本更低、更易维护，且无论如何都是必需的。

新西兰视角解读

Valsorda 的清单实际上就是我们扫描测试所依据的核查表。 我们对118家新西兰关键基础设施实体进行的2026年6月复扫发现，52.2%的实体正在协商后量子密钥交换——但仅有25家在其自有源服务器上完成了部署。九个端点仍仅支持 TLS 1.2，这完全排除了 X25519MLKEM768 的使用可能；TLS 1.3 是前提条件。四十九个经典源服务器尚未迁移。每一个都是”正确答案”尚未落地的案例，而通常的阻碍因素正是 Valsorda 所点明的那些：旧版 OpenSSL、未配置后量子策略的负载均衡器、需要手动启用的操作系统。

后量子网络身份认证将通过自动化实现——请确认您已具备相应能力。 Cloudflare 的模式将 ACME 和 ARI 支持作为证书签发的条件，而 MTC 仅能覆盖那些证书工具链具备接收能力的站点。仍在手动续签证书的组织——在付费、手动验证证书中较为普遍——将是最后完成迁移的一批。记录每张证书续签方式（而不仅仅是到期时间）的证书清单，现已成为迁移的前提条件。

CDN 的经验同样适用于证书。 在我们的扫描中，通过 Cloudflare 前置的端点（如储备银行和 Payments NZ）很可能按照 Cloudflare 自身的时间表较早在边缘获得后量子身份认证，而非按照其自身计划。这固然是好事，但与我们在密钥交换中看到的权衡如出一辙：KiwiRail 在四月份拥有后量子保护，仅仅是因为 Imperva 提供了这一能力，而一旦情况改变，其源服务器便回退至经典模式。CDN 提供的后量子密码学保护，稳定性仅与 CDN 合同等同。持久的安全态势是在边缘和源服务器均实现后量子保护——无论是证书还是密钥交换，皆然。

内部 PKI 是更艰巨的任务，且目前无人在衡量它。 我们的扫描测试的是公钥交换，因为这正是”先收割、后解密”攻击当前所威胁的对象。私有 CA、VPN 网关、设备与服务证书，以及代码与固件签名，都需要各自的迁移方案，涉及更长的准备周期和更多的供应商依赖。对于新西兰各银行而言，其加密决策在很大程度上由澳大利亚母公司主导，依赖链延伸至悉尼和墨尔本。

比特币的经验具有普遍意义。 在设计时融入加密敏捷性，使下一次算法替换不再是一次全面重建。对有状态签名保持高度审慎。并在决定如何处置之前，识别出那些无法重新签名的长期签署工件——七年期反洗钱/反恐融资记录、工程知识产权、法律档案。

QKD 不是等待的理由。 奥克兰至悉尼的距离略超2,000公里，已超出斯特拉斯克莱德基准下单颗卫星链路的建模覆盖范围，且新西兰目前没有欧洲那样的 QKD 项目。与此同时，新西兰仍是”五眼联盟”中唯一没有正式 PQC 迁移截止期限的成员，而业界的2029年目标——现已被 Valsorda 描述为行业共识——距今不过三年多。南十字电缆在四月至六月间表明，一家运营商可以在数周内将自有源服务器迁移至后量子密钥交换。正确配置的标准 TLS 库，以及能够跟上节奏的证书工具链，就是当下可用的路径。

参考文献

  1. Valsorda, F.（2026年10月12日）。（后量子）密码学正确答案。words.filippo.io/right-answers
  2. Goldsmith, S. / Cloudflare（2026年9月29日）。为整个互联网构建证书颁发机构。blog.cloudflare.com
  3. Abdel-Kareem, M. / Quantum Computing Report（2026年9月30日）。Cloudflare 推出公共证书颁发机构，抵御量子威胁保障网络安全。quantumcomputingreport.com
  4. IETF。默克尔树证书（互联网草案，PLANTS 工作组）。datatracker.ietf.org
  5. Agrawal, S. / Coinbase（2026年10月13日）。携手推进比特币后量子就绪工作。coinbase.com
  6. Flint, R. / Quantum Zeitgeist（2026年10月13日）。Coinbase 致力于保护比特币资金免受量子攻击。quantumzeitgeist.com
  7. Quantum Zeitgeist（2026年10月14日）。量子互联网联盟获得4750万欧元用于网络原型建设（来源：AQT）。quantumzeitgeist.com
  8. Sidhu, J. S.、McCarthy, S. E.、Paterson, C. 与 Oi, D. K. L.（2026年2月）。基于纠缠的卫星量子密钥分发的操作极限。arXiv:2602.11833
  9. 美国国家安全局。后量子网络安全资源——量子密钥分发与量子密码学。nsa.gov
  10. Kaysec（2026年6月3日）。七周之后：新西兰关键基础设施 PQC——2026年6月更新。kaysec.spinsphere.xyz
  11. Kaysec（2026年4月15日）。新西兰关键基础设施：首次公开 PQC 就绪性评估。kaysec.spinsphere.xyz

Kaysec 是 Spinsphere 的后量子安全业务部门，Spinsphere 是一家总部位于新西兰的量子技术公司。我们为新西兰各组织提供密码资产清查、”现在收割，以后解密”风险评估、TLS 配置审计以及后量子密码迁移规划服务。欢迎联系我们。

若数据寿命长，则防护需趁早。