报告

Cloudflare希望对后量子网络进行签名。比特币却找不到签名者。

by Simon McCorkindale

后量子密码学的答案现已基本达成共识。如何应用这些答案——尤其是在身份验证方面——才是难点所在。Cloudflare 成为证书颁发机构的举措，展示了网络领域的一种实现路径。比特币则说明了为何同一答案无法普遍移植。而欧洲斥资4750万欧元押注量子互联网，在2029年之前不会对任何人的迁移工作有所助益。

三周之内，四件大事相继发生，合在一起，构成了一个清晰的论点。

第一件是一份清单。Filippo Valsorda——Go 语言密码学维护者，也是该领域最为可靠的冷静声音之一——发布了一份更新版”密码学正确答案”，这一开发者速查表的传统可追溯至2009年 Colin Percival 的版本。自2018年以来，所有非对称算法的答案均已更改，大多数自2024年起更新，而这场过渡如今是一项耗时三年的工程。

第二件是基础设施层面的进展。Cloudflare 宣布有意成为公共证书颁发机构（CA），计划于2027年第一季度推出后量子证书——直接攻克网络迁移中最难解决的一环：身份验证。

第三件是一场无法简单套用清单的迁移。Coinbase 托管着约12%的全部比特币，它阐述了其对比特币后量子过渡所需条件的判断——答案远不止”选用 ML-DSA”那么简单。

第四件是另一个量子安全领域的故事。欧盟委员会向量子互联网联盟拨款4750万欧元，用于构建量子网络原型；今年早些时候，斯特拉斯克莱德大学的一篇论文量化了卫星量子密钥分发的实现难度究竟有多大。

综合来看：算法已就绪，密钥交换工作进展顺利，身份验证才是当前的工作重心，而基于物理原理的替代方案仍属研究项目，并非迁移计划。

正确答案，2026年版

Valsorda 的清单值得完整阅读，但对基础设施运营者而言，最关键的部分并不多。

密钥交换采用标准协议内的 X25519 + ML-KEM-768。即 TLS 中的 X25519MLKEM768、SSH 中的对应方案，以及 HPKE（混合公钥加密，即 IETF 制定的向公钥加密的标准）中的 X-Wing 组合方案。名称中不含 ML-KEM 的方案均列入规避清单。他的立场比多数人更为激进：如果引入混合方案会让你在经典密钥交换上多停留哪怕一个月，就直接跳至纯 ML-KEM-768。”先收割、后解密”的攻击使每一次经典握手都成为实实在在的安全隐患。

签名算法也已更迭——转向 ML-DSA-44。这是更大的一次转变。就在2026年1月，业界的建议还是对后量子身份验证持观望态度。Valsorda 现在明确表态：立即迁移，并且他拒绝在大多数场景中使用混合或”复合”签名。他的理由是：要么你已经能在 ML-DSA 出现问题时回退到经典密钥，要么你的时间跨度足够长，届时经典算法那一半无论如何也将失效。他还建议总体上减少签名的使用——HMAC 或随机会话令牌往往足以完成签名令牌所承担的工作。

对称密码学状态良好。Grover 算法对 AES-128 的威胁微乎其微，更遑论 AES-256。为你的加密备份举杯庆祝吧。工作的重心在非对称层。

TLS 协议栈与算法本身同等重要。他推荐使用内存安全的协议栈（rustls、Go 的 crypto/tls），或维护良好的 OpenSSL 分支（BoringSSL、AWS-LC）。他明确回避推荐 OpenSSL 本身，并指出低于3.5版本的 OpenSSL 根本不支持 X25519MLKEM768。如果你在云端，请使用云服务商的负载均衡器——但要确认你确实选择了后量子安全策略。在 RHEL 9 及其衍生版本上，后量子支持需手动开启。

对于网站而言，证书建议关乎底层管道。接入一个流行且受到良好支持的 ACME 客户端（自动证书管理环境，即 Let’s Encrypt 推广普及的协议）并保持更新，因为 Merkle 树证书将于2027年推出，你需要做好接收准备。这句话恰好是下一节内容的关键枢纽。

另有两点补充说明。该清单不考虑合规要求；CNSA 2.0（美国国家安全局的后量子套件）和 FIPS 140-3 环境将在某些地方有所替换。值得注意的是，CNSA 2.0 仍为固件签名背书有状态的基于哈希的签名方案（LMS/XMSS），而 Valsorda 将其列入通用规避清单。此外，他的脚注中列举了2026年多个小型 TLS 库中的大量 CVE——大多是证书验证绕过漏洞。出问题的往往不是算法本身。

Cloudflare 成为 CA：网络规模下的身份验证难题

后量子密钥交换是一项配置变更；后量子身份验证则是一个供应链问题。每一个 TLS 连接都依赖由 CA 颁发、受浏览器信任的证书链，而 ML-DSA 签名体积庞大——约为2.4 KB，而当今椭圆曲线签名仅为64字节。若每次握手都传输数个此类签名，将产生我们在10 KB 与40 KB 的性能悬崖一文中所描述的延迟问题。

Cloudflare 9月29日的公告（由 Quantum Computing Report 报道）即是其回应。这是一份关于尚未落地的服务的厂商公告，应以此视角解读。但其设计选择具有重要参考价值。

Merkle 树证书（MTC）避免了每次连接都传输大体积签名。CA 不再单独为每张证书签名，而是将证书批量汇入一个公开的仅追加日志，仅对日志的检查点签名。服务器随后提交一段简短证明——若干哈希值——证明其证书已记录在该日志中。Cloudflare 共同参与撰写了 IETF 草案，Chrome 已将 MTC 列为后量子网络身份验证的首选方案，Cloudflare 计划于2027年第一季度正式投入生产签发。Quantum Computing Report 援引 Chrome Beta 测试数据显示，MTC 在中位数指标上略快于经典证书链；但该数据来自 Cloudflare 自身的测试，并非独立测量。

向后兼容性是靠收购得来的，而非内生构建。一个新的根证书需要数年时间才能覆盖全球设备，且永远无法覆盖那些已停止更新的设备。因此，Cloudflare 签署协议，收购了一个成熟的 GlobalSign 根证书（自2012年起受信），同时向 Chrome、Apple、Microsoft 和 Mozilla 根证书计划申请新根证书，以面向 Chrome 新量子抗性根证书计划打造面向后量子未来的信任锚。旧根证书服务旧设备，新根证书面向后量子未来。

自动化是签发的前提条件。Cloudflare 将以 ACME 为优先，并仅向支持 ACME 续期信息（ARI，RFC 9773）的客户端签发证书，该机制允许 CA 告知客户端何时续期。其目标是在发生安全事件时能够提前续期窗口、快速替换证书，而不必在即时吊销与维持客户站点在线之间两难取舍。

其卖点是抵御集中化风险的韧性。Cloudflare 指出，大量免费的自动化证书生态系统依赖 Let’s Encrypt 运转，并将自身定位为第二家大型、免费、自动化的签发机构——同时提供可复现构建、经认证的硬件安全模块（HSM）以及公开的运营仪表板。至于这一降低集中化风险的方案，恰恰来自一家已为全球逾20%网络流量提供前端服务的公司，其中的讽刺意味，留待读者自行体会。

实用的结论是：对于公共网站而言，后量子身份验证将主要通过 CA、浏览器和 ACME 客户端推进落地——前提是你具备接收它的自动化能力。分析机构 Futurum 指出了另一面：公共证书并非大多数企业后量子风险敞口的所在。内部 PKI——私有 CA、VPN、设备证书、服务间身份验证——才是，而这部分没有人会替你解决。

比特币：当迁移无法一键推送时的样貌

如果说 Cloudflare 展示的是网络身份验证问题被集中化解决的路径，那么Coinbase 的文章则呈现了在没有中心的情况下会发生什么。这是一篇带有明确商业利益的厂商文章——Coinbase 的机构托管业务左右了其中若干诉求——因此应将其视为利益相关方立场，而非中立分析。文中所列举的约束条件，远不止适用于加密资产。

通用排名不能直接移植。Coinbase 直接点明了这一问题：TLS 或 PKI 领域对签名方案的排名，不能套用到比特币上，因为每一笔比特币签名都被永久存储，并由每个节点验证。签名大小和验证成本的权重，远超 TLS 握手中的情形——而且也不存在类似 MTC 的技巧，因为没有 CA 可供批量处理。”使用 ML-DSA-44″对于网络服务器而言是正确答案，对于区块链而言则是一个开放性问题。

将容器与签名解耦。这篇文章中最具普遍借鉴意义的理念是：输出格式（锁定资金的结构）应与签名算法解耦，从而无需重新设计系统即可添加、替换或补充签名方案。Coinbase 在此基础上支持 BIP-360 的 P2MR 和 P2TRv2 等提案，并主张采用”1-of-2″过渡方式，即同一笔资金可用经典密钥或后量子密钥任一方式支出。这是在共识规则中体现的密码敏捷性——即无需重建系统即可更换算法的能力。

状态管理风险极高。有状态的基于哈希的签名体积更小、速度更快，但状态复用可能导致即时伪造。Coinbase 指出，地理分布式签名集群——大型运营商实现高可用性的标准方式——难以维持有状态签名所需的排他锁。任何考虑将 LMS 或 XMSS 用于固件签名的人，都应当将那段内容读两遍。

密钥丢失问题没有完美的答案。永久暴露公钥的币、复用密钥、休眠持仓和丢失的助记词，共同构成了Coinbase正确归类为独立治理问题的领域：冻结、限速、日落或救援，各有受损方。本文要求任何救援机制本身都须经证明是量子安全的，而这并非理所当然。

比特币是极端情形：无中央权威、交易不可逆，且签名永久留存。但”长期存续且无法重新签署的签名制品”同样适用于法律记录、工程证书和存档合同。

延伸之路：量子网络

量子互联网联盟奖项是量子网络领域的真正进展。该联盟汇聚了12个欧盟成员国的50余家机构，将建设一个原型网络，通过数百公里的城域规模光纤连接量子计算机，其中因斯布鲁克大学和AQT获得540万欧元用于构建囚禁离子网络节点。安全通信是其明确的应用方向之一，此外还包括分布式量子计算和精密授时。

有必要明确这究竟是什么：这是量子网络的研究原型，量子密钥分发（QKD）是其中一种应用。对于任何面临2029年截止期限的人而言，这并非一条迁移路径。

物理原理解释了原因所在。光纤中的QKD受指数衰减限制，在没有中继器的情况下传输距离约为100公里，而大规模可用的中继器目前尚不存在；卫星是拟议中的解决方案。这正是斯特拉斯克莱德论文切入的地方。

参考文献： arXiv:2602.11833 — Sidhu, McCarthy, Paterson & Oi，《基于纠缠的卫星量子密钥分发的操作极限》（2026年2月）

该团队对一颗近地轨道卫星同时向两个地面光学站发送纠缠光子对（采用BBM92协议，无需信任卫星）进行了建模，并进行了严格的有限密钥安全分析，考虑了每次过境仅有数分钟数据所带来的统计代价。

距离是硬性上限。在典型的500公里轨道高度下，仅当两个地面站相距约1,800公里以内时，模型才能生成密钥——大约占卫星实际可视范围的37%。要实现洲际覆盖，每个跨度至少需要四个地面站。

夜间条件是必要前提。密钥生成在夜间有效，经过谨慎的数据筛选，在黄昏时段也可运行。完全日照条件下则无法生成密钥。

模型已属乐观，而现实更为严苛。以中国墨子号卫星为近似参照，模型预测每次过境可生成数百千比特的密钥。而墨子号实际报告的最终密钥在多次过境后仅约百比特量级。作者将大部分差距归因于实际过境几何构型和信道损耗，并承认其固有误码率假设过于乐观。

理想配置下的年度总量数据——两个相距500公里的地面站之间每年约870兆比特——对于AES密钥分发而言绰绰有余。但QKD分发的是密钥，而非对通信方身份的认证。这仍需依赖经典签名或后量子签名——正如本文其余部分所示，这才是难点所在。这也是NSA不建议将QKD用于国家安全系统的核心原因，英国NCSC自2020年以来也持相同立场：后量子密码学成本更低、更易维护，且无论如何都是必须部署的。

新西兰视角

Valsorda的清单实际上就是我们扫描测试所依据的核查表。我们对118家新西兰关键基础设施实体进行的2026年6月重新扫描发现，52.2%的实体正在协商后量子密钥交换——但仅有25家在其自身的源服务器上实现了这一点。九个端点仍仅支持TLS 1.2，完全排除了X25519MLKEM768的可能性；TLS 1.3是前提条件。四十九个经典源服务器尚未采取行动。每一个都是尚未落实的”正确答案”，而通常的阻碍因素正是Valsorda所指出的那些：老旧的OpenSSL、未配置后量子策略的负载均衡器、需要手动启用的操作系统。

后量子网络身份认证将通过自动化实现——因此请确认你已具备相应能力。Cloudflare的模式将ACME和ARI支持作为签发条件，而MTC只能覆盖证书工具链能够接收它们的站点。仍在手动续签证书的组织——在付费、人工验证证书中较为常见——将排在队列末尾。现在，记录每张证书*如何*续签（而不仅仅是何时到期）的证书清单，已成为迁移的前提条件。

CDN的经验同样适用于证书。我们扫描中通过Cloudflare前置的端点，例如新西兰储备银行和Payments NZ，可能会按照Cloudflare自身的时间表而非自己的时间表，在边缘节点率先获得后量子身份认证。这固然可喜，但这与我们在密钥交换中看到的权衡取舍如出一辙：KiwiRail在四月份获得后量子保护，仅仅是因为Imperva提供了该功能，一旦这种关系发生变化，其源服务器便会回退至经典密码学。CDN交付的后量子密码保护，其稳定性取决于CDN合同。持久的保障来自边缘节点*和*源服务器同时实现后量子——证书与密钥交换均如此。

内部PKI是更大的工程，且目前无人对其进行度量。我们的扫描测试公开的密钥交换，因为这正是”现在收割、未来解密”所威胁的对象。私有CA、VPN网关、设备与服务证书，以及代码和固件签名，均需各自完成迁移，涉及更长的前置周期和更多的供应商依赖。对于新西兰的银行而言，其密码学决策大多由澳大利亚母公司主导，这一依赖链延伸至悉尼和墨尔本。

比特币的经验具有普遍意义。设计时应考虑密码敏捷性，使下一次算法替换不再是一次全面重建。对有状态签名保持审慎。并在决定如何处置之前，识别出那些无法重新签署的长期签名制品——七年期的反洗钱/反恐融资记录、工程知识产权、法律存档。

QKD不是等待的理由。奥克兰到悉尼的距离略超2,000公里，超出了斯特拉斯克莱德基准下单颗卫星链路的建模覆盖范围，而新西兰也没有欧洲那样的QKD项目。与此同时，新西兰仍是唯一没有正式后量子密码迁移截止期限的五眼联盟成员，而业界2029年的目标——目前被Valsorda描述为共识——距今仅剩三年多。南十字海底电缆的案例表明，一家运营商可以在数周内将其源服务器迁移至后量子密钥交换。正确配置的标准TLS库，加上能够跟上步伐的证书工具链，是当下可行的路径。

参考文献

  1. Valsorda, F.（2026年10月12日）。（后量子）密码学正确答案。words.filippo.io/right-answers
  2. Goldsmith, S. / Cloudflare（2026年9月29日）。为整个互联网构建证书颁发机构。blog.cloudflare.com
  3. Abdel-Kareem, M. / Quantum Computing Report（2026年9月30日）。Cloudflare推出公共证书颁发机构以抵御量子威胁。quantumcomputingreport.com
  4. IETF。默克尔树证书（互联网草案，PLANTS工作组）。datatracker.ietf.org
  5. Agrawal, S. / Coinbase（2026年10月13日）。携手推进比特币后量子就绪。coinbase.com
  6. Flint, R. / Quantum Zeitgeist（2026年10月13日）。Coinbase希望保护因量子攻击而损失的比特币资金。quantumzeitgeist.com
  7. Quantum Zeitgeist（2026年10月14日）。量子互联网联盟赢得4750万欧元网络原型项目资助（来源：AQT）。quantumzeitgeist.com
  8. Sidhu, J. S., McCarthy, S. E., Paterson, C., & Oi, D. K. L.（2026年2月）。基于纠缠的卫星量子密钥分发的操作极限。arXiv:2602.11833
  9. 美国国家安全局。后量子网络安全资源——量子密钥分发与量子密码学。nsa.gov
  10. Kaysec（2026年6月3日）。七周之后：新西兰关键基础设施后量子密码——2026年6月更新。kaysec.spinsphere.xyz
  11. Kaysec（2026年4月15日）。新西兰关键基础设施：首次公开后量子密码就绪评估。kaysec.spinsphere.xyz

Kaysec 是 Spinsphere 的后量子安全业务部门，Spinsphere 是一家总部位于新西兰的量子技术公司。我们为新西兰各组织提供密码学资产清点、”现在收割，以后解密”风险评估、TLS 配置审计及后量子密码迁移规划服务。欢迎联系我们。

若需长期保存，即刻加以保护。