报告

量子春天：现在收割，日后解密——谁在收割你的加密数据、如何收割，以及为何大部分”庄稼”终将腐烂

by Simon McCorkindale

“收集”加密数据真正需要对手付出什么代价，要读取这批存储数据需要具备什么条件，以及真正的威胁究竟藏在哪里。本文从第一原理出发，梳理一个五道关卡框架（物理访问、存储经济、可解密性、数据有效期和对手动机），并结合对当今互联网实际部署的后量子密码学所做的原创性全网扫描，将框架落地。

简而言之。“现在收集，日后解密”（HNDL）是各方催促加快向后量子密码学迁移的惯用理由。美国国家标准与技术研究院（NIST）这样说，美国网络安全和基础设施安全局（CISA）这样说，英国国家网络安全中心（NCSC，新西兰也有同名机构）这样说，各大厂商更是喊得震天响——但几乎没有人认真核对过这套说法的推导过程。究竟是谁在收集？从哪里收集？他们需要存储多少数据，成本几何？等到量子计算机终于问世，这些数据还有多少值得一读？本文将 HNDL 视为一个有待验证的主张，而非一个需要反复引用的既成事实。这一威胁真实存在，但范围很窄：只有当数据价值能延续数十年、且数据体量保持较小时，它才能站得住脚；对绝大多数流量而言，它在经济层面的失败远早于密码学层面的失败。更大、更隐蔽的问题，是已经躺在他人存储库里的加密数据。本文最初是一项独立研究假设。撰写过程中，我发现了数篇 2026 年的研究与之相关：有的印证了我的发现，有的对此提出异议，我均在文中公开回应，而非事后篡改论点迎合它们。我自己的扫描结果与规模最大的同期测量结论一致：后量子密钥交换已在互联网相当大且持续增长的份额上运行，但主要由少数几家基础设施提供商推动；而后量子签名——证明你是谁的那个环节——在 31,839 张证书中仍为零。握手正在被修复；身份验证尚未。

1. 这个名字里那个说错了的部分

每个农民都知道”收获”是什么意思。那是最美好的时刻：一年辛劳画上句号，你终于知道这一年值不值。所以”现在收集，日后解密”是个奇怪的名字，因为正在发生的根本不是收获。正在发生的是播种。有人悄悄地搜集加密流量，塞进存储库，然后等待。他们没有在收割任何东西；他们在种下种子，祈盼天气转好。

他们等待的，是一台具有密码相关性的量子计算机，即 CRQC：一台足够强大、能对今日密钥交换和签名所依赖的数学体系（RSA、Diffie–Hellman、椭圆曲线）运行 Shor 算法的机器。一旦这台机器问世，那个堆满密文的存储库便会变得可读。在此之前，它只是一堆造价高昂的噪声。把那个时刻称为”量子春天”，把漫长的等待称为”量子寒冬”——不是人工智能寒冬那种”你等待的东西永远不会来”的寒冬，而是农耕意义上的寒冬：你知道季节终将到来，只是必须熬过眼前的严寒。

后量子密码学（PQC）是防御方的应对之策：来自 NIST 的新品种种子（密码算法）。ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1，以及更多提交 NIST 正在评估中的候选方案。量子收集者无法破解这些算法。但有一个重大缺陷：PQC 对已在存储库中的数据无能为力。昨天收集的任何内容仍旧可被收集；PQC 只保护从今往后种下的东西。因此有两个时钟同时在走：你的时钟，抢在机器到来之前换掉旧品种；他们的时钟，趁你还在露天播种旧东西，尽可能多地囤积进库。

写给非密码学人士：用一段话讲清楚基础知识。有两种不同的数学在保护你的数据。一种用于打乱实际内容（主要是 AES）；量子计算机对它几乎无能为力，AES-256 安然无虞。另一种是两台计算机最初如何协商出一个共享密钥（也就是用来加密上述内容的那个”密码”），以及它们如何证明自己的身份。那是 RSA 和椭圆曲线，而量子计算机轻而易举地就能破解它（通常称为公私钥加密）。所以当有人说”量子计算机能破解加密”，他们的意思是它能破解握手开始时的那个环节，而不是锁本身。这就是为什么 HNDL 关注的是录制下来的握手：拿到握手，拿到密钥，拿到随后传输的一切。

大多数人使用的框架是Michele Mosca 不等式2。取 X，即你的数据需要保密的时长；加上 Y，即你完成迁移所需的时间；与 Z，即机器问世还需多久，进行比较。如果 X + Y > Z，那么对于你今天发送的任何内容，你已经输掉了这场竞赛。这是一道好算术。麻烦在于 Z 不断移动，且只朝一个方向移动。2019 年，破解 RSA-2048 的主流估算约需 2000 万个噪声量子比特运行八小时；到 2025 年 5 月，同一位研究者已将其压缩至不到 100 万个量子比特、约一周时间3。六年内缩减了二十倍，而且这来自算法的改进，而非硬件的进步。没有人造出了那台机器，但目标不断靠近——而这恰恰是一个有耐心的对手认为播种值得一做的条件。

此后又有两次更新，尽管前提不尽相同。2026 年 2 月，一篇关于 qLDPC 架构4的论文声称可在 10 万个物理量子比特以内破解 RSA-2048；3 月，一篇来自 Google、以太坊基金会和斯坦福大学的论文5将 256 位椭圆曲线（两者中较弱的那个）压缩至 50 万个物理量子比特、运行时间仅需数分钟。两者都是通过改变假设而非固守假设来实现的，以量子比特数量换取连通性和解码技巧——而这些技巧在规模化上至今尚无人做到。这是一个注意事项，而非一纸宽限。Z 是一个规划数字，这些论文不断地搅动它，却没有任何人真正造出任何东西。

在谈论 PQC 时，量子密钥分发（QKD）经常被一并提及，此处简要说明。这一领域有大量研究与开发，前景可期，但不在本文讨论范围之内。NSA 的 CNSA 2.0、英国 NCSC 和法国 ANSSI 均明确表示更希望你使用 PQC6。QKD 需要专用硬件，仅支持点对点通信，且对已经堆满的存储库毫无作用。它只保护专用线路上的未来对话。理想的安全未来，或许是两种方案的结合。

关于并行研究的说明。本文最初源于我对 2026 年这一时代加密数据收集的实际情况与现实困难的独立研究兴趣，以及为收集数据而进行的扫描工作。撰写过程中，我发现 2026 年在这些领域颇为热闹。Blanco-Romero 等人17对收集行为的存储经济学进行了建模，并得出了一个我部分不认同的结论（见第 4 节）。Wickramasinghe 等人16对后量子 TLS 进行了互联网规模的纵向测量，其结果预示并印证了我自己扫描的发现（见第 10 节）。更广泛的综述则勾勒出了更大的全貌（Bertino 等人18；Chhetri 等人19）。我没有为了迎合这些研究而改造原有论点，而是保留了原始结构，并在相关之处逐一回应。凡是他人捷足先登之处，我坦然承认；凡是我的独立数据与他人一致之处，我将这种一致本身视为一项独立结果。

“现在收集，日后解密”这一口号所借用的那个农业季节，是最后才到来的。真正危险的工作发生在数年之前的播种阶段。能力曲线的形态仅供示意；其位置则见仁见智（即实际时间节点；并不承诺 CRQC 会在 2032 年到来！），其方向则无可争辩。

2. 五道关卡

通常讨论在这里就走偏了。人们把 HNDL 当作一件整体的事，认为它要么正在发生在你身上，要么没有。它不是一件整体的事，而是一个序列，对手想要的每一个字节都必须通过其中所有关卡。想想赶牲口的场景：第一道关，你能进到牧场吗；第二道关，你有地方安置它们吗；第三道关，等它们到了围栏里，你真的能拿它们怎么办吗；第四道关，等你终于腾出手来，它们还值什么吗；第五道关，综合以上，你当初会费这个劲吗。任何一道关卡失守，整个行动不过是白白耗费了柴油和狗粮（说的是赶羊那套）。

本文其余部分将逐一审视这五道关卡。在此之前，下面先概览量子时代安全问题的整体图景。

问题攻击目标损害何时显现实施所需条件何时采取行动
HNDL，传输中的数据密钥交换（RSA、(EC)DHE）CRQC出现时一个窃听装置、海量存储空间，以及一台尚不存在的机器现在播种
HNDL，静态数据存储数据上的长期密钥CRQC出现时一次成功入侵，加上同样那台机器现在播种
伪造旧签名RSA/ECDSA签名CRQC出现时捕获的证书，加上那台机器稍后
攻击PQC芯片硅片中的PQC验证当下物理访问和故障注入装置现在
伪造证书，未来中间人攻击信任链CRQC出现时那台机器，加上线路上的位置稍后

顶部加粗的两项才是真正意义上的HNDL，也是唯一两种对手必须今日采取行动、却在更遥远未来方能获益的情形。正因如此，它们值得我们现在就加以研究和探讨。同样正因如此，它们是可查证的——因为今日的行动会留下痕迹。

3. 第一道关卡：你能接触到它吗？

窃听光纤等线缆是件苦差事。你不能坐在卧室里用笔记本电脑完成；你需要亲手接触实际的光纤，或者向拥有该光纤的机构申请法院命令。光是这一点就将绝大多数人拒之门外。剩下的只有各国政府，而且为数不多。

有据可查的最佳案例也是最古老的案例之一，堪称经典。1971年，美国人派遣经过改装的潜艇”大比目鱼”号（USS Halibut）进入鄂霍次克海，寻找一条躺在120米水深处的苏联军用电缆：这就是常春藤钟行动7。潜水员将一个六米长的感应装置缠绕在一根大约腕部粗细的电缆上，近到足以读取信号，却始终未切断电缆。这一行动持续运转了将近十年。

有两个细节比间谍小说里的情节更值得关注。其一，他们找到这条电缆，是因为海滩上有一块告示牌写着此处有电缆，禁止抛锚。其二是后勤保障：多年来，获取情报的方式是潜水员亲自游下去每月更换磁带。必须有人去取回数据。后来的版本使用核同位素发生器供电，可存储一整年的数据，这被认为是巨大进步，因为这意味着一年只需下潜一次。请记住这一点。采集工作中最难的从来不是窃听本身，而是事后如何处理那堆数据。

现代版本

光纤改变了方法，却没有改变制约因素。2006年，AT&T技术员马克·克莱因（Mark Klein）描述了旧金山福尔松街611号（641A室）的一间上锁房间，光学分光器在那里将骨干网流量复制到一个机架中，机架内装有一台用于深度包检测的Narus STA 64008。该系统自2003年起便一直运行。分光器将大约十六条骨干网线路（约15 Gbit/s的流量）的完整光束复制下来，Narus设备实时对其进行深度包检测。克莱因的文件成为电子前哨基金会诉AT&T案的证据，后续报道还发现美国其他城市也存在类似的房间9。值得注意的历史镜像是：2003年，那些分光器复制的大部分内容是明文。今天，同样的窃听装置复制的是密文，而这正是HNDL之所以成为一种隐忧的根本原因。

架构层面的问题依然存在。光纤上的分光器在光学层复制你的流量。防火墙看不见它；入侵检测系统捕捉不到它；你的终端毫不知情。但——这才是整个博弈的关键——它复制的是线路上的内容，而线路上的内容已经是加密的。分光器无法破解你的加密。它只是将一份副本存入仓库，静静等待。

英国也有同样的故事，其规模值得驻足审视。到2011年中期，英国政府通信总部（GCHQ）已在200多条光纤链路上部署了探针，每条链路承载10 Gbit/s的流量，这一项目名为TEMPORA10，可同时处理其中至少46条链路的数据。理论上，这每天可接入超过21拍字节的数据流；《卫报》将其比作大英图书馆全部藏书的192倍，每24小时一轮。但以下这一点对本文后续的所有内容至关重要：他们存不住这些数据。内容仅缓存三天，元数据保存三十天。即使是一个在国家层面运作、半数基础设施归其所有的国家级行为者，对内容也只能维持一个滚动的三天窗口。请记住这一点；这是第二道关卡的提前登场。还有一项相关的联合行动，针对大型云服务商自有数据中心之间的链路——当时这些链路在内部边界内是未加密的11：据报道，TLS是在公共边缘”添加和移除”的。这是现有记录中最具启示性的一点。他们并未破解加密；他们绕过了它，去到那个数据短暂以明文存在的地方。服务商注意到了这一点，随即对内部链路进行了加密，这个漏洞由此堵上。

不是非得接触线缆不可

这里我必须拓宽这道关卡的范围，因为上述一切都是关于有线的，而世界上相当多的流量从未经过攻击者能够触及的线缆。无线电是广播式的。任何在范围内的人都能接收，无需接入、无需登陆站、无需授权令12。这使得对于任何在传输过程中途经空中的内容，物理访问的门槛几乎降至零，而事实证明，这类内容数量相当可观。

从最显而易见的说起：WiFi。你的笔记本电脑发出的每一帧数据都向四面八方辐射，范围内任何持有廉价网卡并开启监听模式的人都能截获全部内容。有两件事保护着你。WiFi层自身的加密（WPA2、WPA3）对空中传输的帧进行了加扰，但这是一把独立的、寿命更短的锁，与其内部的TLS不同；它保护的是从你的设备到接入点这一跳，而非端到端的会话，且它已被反复降级、破解或绕过（针对WPA2的KRACK攻击、针对WPA3的Dragonblood攻击、将所有流量通过攻击者中继的恶意双胞胎接入点）22。剥去WiFi层，你剩下的是内部的TLS，这又将问题带回到采集的核心：在已被破解的WiFi之上运行的现代TLS 1.3仍然具备前向保密性，仍然需要量子机器，但一个开放的咖啡馆网络，或者攻击者已知密钥的WPA2网络，会让攻击者免费获取你加密的TLS数据流。从HNDL的角度来看，WiFi嗅探是一种廉价的密文采集方式；它并未破解TLS，但对于距离目标数百米范围内的任何人，它几乎完全消除了”你能否物理接触到它”这道关卡。

再说移动网络。2G对于窃听者来说简直是天赐之物。IMSI捕获器（伪基站，即”黄貂鱼”）可以强迫手机降级到一个已被破解的密码算法，并以明文读取流量。4G和5G好得多，但针对它们的降级攻击仍是活跃的研究领域，同样的原理依然成立：无线电层是软肋，而运行于其上的端到端加密才是真正保护你的东西。同样，采集成本低廉，而其下层的加密越来越成为攻击者与明文之间的唯一屏障。

还有一种情况令人意外，因为它从根本上颠覆了”窃听（拦截）很难”这一前提，至少对于某一特定的高价值流量而言如此：卫星通信。2025年10月，来自加州大学圣地亚哥分校和马里兰大学的研究人员发表了论文《别往上看》（荣获ACM CCS杰出论文奖），其发现近乎令人难以置信。他们将一台价值800美元的现成卫星天线从圣地亚哥的屋顶对准天空21，历时三年，发现他们能看到的地球静止轨道卫星链路中，大约有一半正在以完全未加密的方式传输敏感数据。没有TLS，没有VPN，什么都没有。不是”加密后待日后破解”，而是现在就可以直接读取，明文传输。在明文中，他们发现了一家主要移动运营商卫星回程链路中的通话和短信内容、途经上空飞机的机载WiFi流量、军事资产追踪，以及（这一点对于HNDL真正目标而言至关重要）运行公用基础设施的工业控制和SCADA流量。而他们从加利福尼亚州某一固定地点只能看到约15%的在轨卫星。一个在多大洲架设天线的国家级行为者所能看到的远不止于此。

这与线缆故事的不同之处在于两个方面，且两者都与第一道关卡那个令人宽慰的版本相悖。其一，访问门槛极低：几百美元加上一片天空视野，而非一艘潜艇。其二，对受害者而言更为糟糕的是，这些流量大多甚至不构成”现在采集”的问题，因为读取它们根本不需要未来的量子机器：它们本来就是明文。量子角度只对那些已加密的卫星链路有意义；对于未加密的那一半，”先解密，后破解”根本无从谈起，因为压根儿没有什么需要解密的。

第一道关卡裁决。对于骨干光纤，这道关卡很高：屈指可数的几个国家、物理访问或法律施压、真实的代价。但”拦截很难”这一说法历来是针对线缆的，而大量流量在关键节点上并非有线传输。无线电向范围内的任何人广播；WiFi和移动网络让攻击者以低廉代价获取你的加密数据流，只剩TLS来承担真正的保护工作；而卫星通信，令人震惊地，对其中约半数链路直接交出了明文。因此，关卡的实情是：骨干光纤门槛高，任何途经空中的流量门槛低至几乎为零。这非但没有软化论点，反而使其更加尖锐——因为对于本文所关注的那些长保质期目标（使用VSAT链路的大使馆、使用卫星SCADA的公用事业单位、使用微波中继的国防设施），拦截这道关卡往往大开方便之门，而攻击者与有效载荷之间唯一的屏障，恰恰是我们在本文其余部分所探讨的那层加密。

4. 第二道关卡：你有足够大的存储空间吗？

假设你已经完成了窃听。现在你必须保存这些数据，可能长达十五年，以防万一那台机器有朝一日出现。故事在这里遭遇了算术，而算术并不友好。

用真实数字而非泛泛而谈。AMS-IX，即阿姆斯特丹互联网交换中心（各网络之间互相交换流量的主要公共对等点之一），发布了其2025年数据13：全年流量35.66艾字节，峰值14.2 Tbit/s。法兰克福的DE-CIX是另一家此类交换中心，流量约为48艾字节14。这些不是估算值，而是运营商自己公布的数字。而且AMS-IX只是一家交换中心。全球这类交换中心超过一千家。

那么，假设你决定对AMS-IX进行一年的全量采集，你需要什么？

两个无人计算成本的瓶颈。左图：对一家交换中心进行一年全量采集所需的磁带量。右图：为何终端机器是瓶颈而非万能魔杖——临时密钥交换意味着每个会话都要单独处理。

以LTO-9磁带每盒18 TB计，35.66艾字节大约需要两百万盒磁带。按每盒约100美元计算，仅空白磁带就需要1.98亿美元每年，还不包括任何驱动器或人工成本。LTO-9驱动器的写入速度约为400 MB/s；为跟上输入流量，你需要2,826台驱动器全速不停地运转，每天每秒，全年无休。这不是一个服务器机房，而是一座工厂。

然后是没人计算的部分。磁带是顺序存储的；要查找任何内容，你必须快进浏览。同样这2,826台驱动器，如果只用来读取，将需要整整一年才能读完一年的磁带——恰好是一年，因为写入和读取速度相同。因此，这个存档只能被读取一次，而且只有在停止采集的情况下才能做到。想搜索两次？再建一座工厂。

磁盘并非救星。以每块24 TB计，你需要大约150万块硬盘，价值约6亿美元，算上散热之后耗电约11兆瓦——相当于一座小城镇的用电量，只为让一家交换中心一年的数据持续运转。若扩展到哪怕全球流量的1%，情况就变得荒谬：相当于若干个AMS-IX，年复一年，永无止境——理由是一台尚不存在的机器，终有一天能让你把这些数据读一遍。

本文的算术未涵盖的其他因素：压缩/解压缩数据的时间成本，以及磁带的装卸时间。当然，还存在其他存储介质，而且这是一个极端示例——来自单一节点整整一年的数据——但它有助于说明数据体量之庞大（一语双关），以及与存储和处理数据相关的经济代价。

在此，我与对这一经济问题最为严谨的既有研究产生了分歧。Blanco-Romero等人17对相同的存储问题建立了模型，并得出结论认为，数据留存在”经济上微不足道”：以原始介质价格计（他们引用的LTO磁带价格接近5美元/TB），即便采集全球流量的1%，每年成本也仅约10亿美元，在国家预算范围内绰绰有余。他们的算术无懈可击，我也不质疑介质成本。我质疑的是：介质成本并非决定性约束。原始磁带是预算中最便宜的一项；真正让人肉痛的，是实时写入所需的那座驱动器工厂、读取回放所需的第二座工厂、在一堆无法压缩的密文中检索任何内容所需的索引系统，以及让整套装置运转十五年所需的物理基础设施。他们的模型，按其自述，仅针对静态介质进行了隔离分析，未将拦截与检索机制纳入其中。对于他们研究的问题——即协议层面的防御——这是合理的界定范围；但一旦将这些被排除的成本纳入考量，”微不足道”就变成了”只有在你已然决定这批特定流量值得进行十五年工业级投入的情况下才负担得起”，而这本质上不过是换一种说法的选择性采集。我们与他们殊途同归（采集是选择性的，而非无差别的），只是从对存储成本的相反解读出发；他们自己的结论——防御者应优先处理生命周期价值最高的数据——与我的观点完全一致。

第二关裁定。无差别采集是幻想。不是难度大，不是成本高，而是算术上就行不通。每一个真实的对手都必须选择保留什么，而一旦他们做出选择，这个威胁就不再针对所有人，而是针对某个人。如果你想知道自己是否正在被采集，别再问他们能拿走什么，而是问他们愿意花多少钱存储十五年。（此处以十五年作为任意但具有说明意义的时间跨度：这是一段相当漫长的数据持有期。）

5. 第三关：这些数据真的能解密吗？

假设他们已经完成了窃听，也付费保存了数据。那台机器终于到来。这堆数据能打开吗？完全取决于密钥是如何协商的，而这正是整个HNDL讨论中解释最为不足的一点。

采集的数据是否有价值，取决于密钥的协商方式。RSA密钥传输完全暴露于HNDL威胁之下；临时（EC）DHE机制则要求每个会话单独完成一次CRQC运算。无论哪种方式，握手签名仍可被伪造，因此通信双方身份仍会泄露。

旧方式——RSA密钥传输——是最糟糕的场景。客户端将会话密钥用服务器的长期公钥加密；破解那一把密钥，就能同时打开曾与该服务器进行的所有对话记录。一把密钥，全部暴露。这正是那句口号默默预设的场景，也是它听起来如此骇人的原因。

但这并非现代TLS的工作方式。TLS 1.3要求使用临时Diffie-Hellman，带ECDHE的TLS 1.2同样如此。在这两种机制下，每个会话都会生成各自的一次性临时密钥。服务器的长期密钥仅对握手进行签名，而不对内容加密，因此破解它并不能获取任何通信内容。要读取某个临时会话，就必须破解该会话的密钥交换，然后是下一个，再然后是再下一个。没有一键全开的捷径：一个剪羊毛台，一次只剪一只羊，而且每只羊都要花不少时间。

要花多长时间？Gidney 2025年的估算3是，破解一个RSA-2048密钥大约需要一周的机器运行时间。椭圆曲线算法成本更低，但处于同一数量级。因此，一百万个被截获的临时会话并不需要”一台量子计算机”，而是需要大约一百万次独立的量子计算任务。即便以极为乐观的每次一天来估算，也需要数千台机器年的算力。量子密码相关计算机（CRQC）将是一种稀缺的国家级仪器，需要排期预约，就像天文望远镜一样；没有人会把你的视频流会话放进去跑一遍。这里开始出现反直觉的认识：诚然，量子机器、CRQC，如今已足够强大且”足够快”，可以为我们运行Shor算法；但当我们考虑到任务数量时（每次都是量子算法的一次独立执行），就能开始感受到经济性的下降：需要破解的加密会话数量，乘以量子计算机运行该算法的时间——无论是目前预期的数小时到数周，这仍是一个争议点，随着Z的不断降低，这一预期无疑还会持续变化。

有两点让这一切谈不上好消息。第一，前向保密保护的是内容，而非签名：未来的机器仍然可以伪造已截获握手的认证信息，因此通信双方的身份仍会泄露——而这往往才是真正有价值的信息。第二，更糟的是，证书层完全没有变化。为整个互联网的认证提供签名的机制，仍然是经典的RSA和ECDSA，这一点我自己的测量结果也印证了这一判断（第10节）。机密性方面的迁移已经启动；认证方面却还没迈出大门。

还有第三个隐患，它悄无声息地瓦解了许多已有的努力。”服务器完成了迁移”并不等同于”会话是安全的”，因为协商出来的加密算法，其安全性永远取决于通信两端中较弱的那一方。Dubey和Varshney15记录了一个典型案例：一家印度银行（icici.bank.in）向一台现代设备提供了QUIC加TLS 1.3、X25519和AES-256的组合（具备量子前向安全性、前向保密性，一切理想配置），而同一域名在另一台设备访问时，却回退到了TLS 1.2加ECDHE-RSA和AES-128。同一台服务器，同一天，两个客户端，两种截然不同的安全状态。回退的会话仍具有前向保密性，因此并不是RSA传输的噩梦场景，但这是一次无人选择、无人察觉的回退——如果任意一端稍旧一点，就可能降级到RSA密钥传输，从而完全暴露于采集风险之下。你看不到另一端迁移情况的迁移，并不是你可以依赖的迁移。

6. 第四关：然后呢？

这是无人谈及的一关，也是大多数数据堆积在此折戟的一关。设想一下：你在一家大型零售银行的光纤外侧实施窃听，截获该银行网站一年内的所有TLS会话——数百万名客户登录、查询余额、转账。你把这一切都存了下来。十五年后机器到来，你花费大量CRQC算力，将其全部解密。恭喜你。你得到了什么？2026年就过期的会话Cookie。密码已经轮换了三次，现在大多数还启用了多因素认证。十年前的账户余额。你以巨大的代价，得知某人在2026年某个周二早晨查看了自己的余额。

其中确实有一些持久性信息（姓名、出生日期、身份证号码），但这不过是矿山废料堆中的一条薄薄矿脉，而且你还得从数百万个独立会话中将其重新拼凑起来。与此同时，同样的信息就存放在银行的客户数据库里——结构化、已建索引、实时更新，只需一次入侵即可获取。所以，有一个问题应该被问得更多：既然整罐牛奶就在路边的工厂里，为何要在门口守候十年，接住从奶罐车上滴落的点滴，还指望有朝一日能将其复原？

数据有保质期，且差异悬殊。会话Cookie的价值仅持续一小时；密码，数月；卡号，直至过期；银行账号，数十年；国家身份证件，一生；指纹或虹膜，一生且无法重新签发；基因组，一生，加上所有亲属，且永不过期。一份外交电报会令人尴尬长达四十年。一份武器设计图比绘制它的工程师活得更久。”现在收割，未来解密”只在保质期较长的情况下才有意义。在其他所有情况下，作物在机器到来之前便已在仓库中腐烂。

7. 第五道关卡：究竟谁会真的费心？

将最后两道关卡合并——数量对比保质期——图景很快便一清二楚。以下是一些实际案例，附上具体的操作细节。

究竟谁会费心？数量对比保质期。左上角是收割有意义的区域：数量不多，且永久保存。右下角是口号叫得最响、却最没有意义的地方。各位置均为数量级估算。

大使馆链路。目标：外交使团与其外交部之间的加密隧道。截获点：当地互联网服务提供商，或其线路经过的交换节点。若你是东道国，打个电话就能搞定，根本不需要特别行动。若使馆位于偏远驻地并通过卫星回传数据（许多使馆确实如此），对手甚至无需东道国配合：一口卫星天线、一处屋顶便已足够（第3节）。数量：极小，每天一两个GB；五十年的数据放在书架上便装得下。保质期：数十年。结论：这是教科书级别的案例，几乎可以肯定，此刻正在对所有人的大使馆发生。如果你负责管理一个外交部却尚未迁移，你就是这句口号存在的原因。

国防承包商。目标：主承包商与其分包商之间的站点对站点VPN。数量：可控，每年数十TB的CAD和测试数据。保质期：今年设计的机身到2075年仍在飞行。结论：可行且值得。数据量小，记忆持久。

零售银行。目标：所有消费者流量。数量：每年PB级。保质期：几乎全部为数小时至数月。结论：不值得。你每年会花费数亿元购买磁带，最终只换来一批2026年的密码。不如直接去盗数据库。说不定已经有人这么干了。

基因组实验室。目标：传输至云存储的测序数据。数量：单个基因组在合理覆盖深度下原始数据约数百GB；一个繁忙的中心每年产生PB级数据。保质期：永久，且牵连受试者的全部家庭成员。结论：这是本文中最有价值的目标，但仅就数量而言，在传输途中拦截仍然希望渺茫。然而，若直接窃取静态数据库，突然就变成了六十TB且具有无限保质期的数据。这正是上图中的箭头所指，也是图中最重要的方向转变。

8. 羊毛早已堆在仓库里

这让我们来到”现在收割，未来解密”中一个远未得到足够关注的部分。过去十年间的每一次大规模数据泄露，都留下了存放在他人存储中的加密档案：人事档案、健康保险机构、征信机构、连锁酒店，据推测这些数据至今仍在那里，等待着与被窃光纤上那同一台机器相遇。而且这是一个远比拦截流量更好的目标，原因有三。

第一，没有前向保密。静态数据受长期密钥保护，而非每次会话的一次性密钥；只需破解一次密钥，整个档案便全部敞开。这是默认的RSA密钥传输场景：一锅端，一次搞定。第二，筛选问题已经解决。窃取了基因库的对手无需费力从海量数据中筛选。已经有人替他们完成了排序、索引和去重。第二道关卡的难题已由受害者自己完成。第三，保质期通常极长：一份被盗的基因组到2045年也不会过时。

这一切都不需要潜水艇。你只需要一封网络钓鱼邮件，让它钻进某位毫无戒心的员工手中。这就是为什么能够实施静态”现在收割，未来解密”攻击的行为者数量，远远多于能够窃听电缆的行为者数量；也是为什么大多数迁移建议中的优先顺序完全搞反了。所有人都在追赶漫山遍野的羊群，而那一整批羊毛（加密数据、数据库）早已打包好，放在那扇敞开的仓库大门里。

9. 我们仍未知晓的事

坦诚地说明局限性：第3至第8节中的所有推理，均基于一份在设计上本就不完整的公开记录。机密项目自然是机密。已披露的材料已经陈旧，大多来自2013年，而技术已经演进。存储成本在下降；量子资源估算下降得更快。这里的任何推算都可能偏移一个数量级，部分结论也会随之改变。真正不属于猜测范畴的，是当前网络上实际部署的情况，因为那是可以实测的。因此我进行了测量，这使整个论证更加清晰——告诉我们防御在哪道关卡上占据优势，又在哪道关卡上尚未开始战斗。

10. 丈量牧场

当我开始扫描互联网以收集本文关于当前量子安全态势研究的数据时，我发现唯一可供参考的已发表工作是一项涵盖约32,000个域名的单视角研究15。（此处的视角仅指扫描发起的位置。单视角扫描从一个位置向每台服务器提问；多视角扫描从多个位置提问，以发现根据请求来源给出不同答案的服务器——通常是因为全球CDN仍在逐区域推送某项设置。）我自己的计划是扫描更广泛的范围，并同时从多个视角进行，以观察服务的响应是否取决于由哪个区域前端接听。就在我进行这项工作期间，Wickramasinghe等人16发表了一项互联网规模的纵向研究：在2025年7月至2026年3月的三轮扫描中，从11个视角点对100万个域名进行了超过20亿次TLS握手分析。这是一项在各个维度上都比qgrove更大规模、更严谨的测量。因此，我将以下内容作为独立验证呈现：一项基于不同基础设施构建的更小规模、单轮扫描，得出了与之相同的数字。

我构建了qgrove20，这是一款运行在全球边缘网络上的扫描器，针对每个域名，它会建立一个原始连接并读取服务器实际选择的密钥交换组。这一个值决定了被捕获的会话是否面临”现在收割，未来解密”风险，并且可以直接从握手的明文部分读取，无需解密任何内容。该扫描器是开源的，以下所有数据均可从已发布的数据集中复现。扫描目标共选取了116,589个域名，采用多种方法和来源进行选择。

正在变化的部分：握手（用于保密性的密钥交换）

在能够进行现代TLS通信的可达服务器中，35.5%已能协商混合后量子密钥交换：经典X25519曲线与ML-KEM-768的配对，正是当前版本Chrome所建立的连接方式。对于一个如此新近定稿的标准而言，这是一个相当高的数字，且仍在上升。但35.5%是从边缘测量的，边缘无法看到大型CDN背后的站点。当我通过另一种方式重新探测这些站点以填补这一盲区时，图景发生了根本性转变：CDN代理的群组几乎100%采用混合方案，因为CDN一次性为所有人开启了后量子密码。将两者合并，总体估算数字上升至61.1%。这两个数字都是真实的，但含义不同。诚实的结论是：仅从该CDN边缘进行的扫描会系统性地低估后量子密码的普及率，因为互联网上后量子密码普及率最高的站点，恰恰是它在结构上无法看到的那些。

两个层面的演进速度截然不同。左图：混合后量子密钥交换，边缘可测值与总体估算值对比。右图：证书签名，迁移尚未启动。来源：qgrove，2026年7月。

没有变化的部分：签名（用于身份验证）

现在来看另一半，也是应该令人忧虑的部分。我检查了31,839份证书的签名算法。使用后量子签名的数量为零。不是”很少”，而是零。整个网络的身份验证完全依赖经典的ECDSA和RSA——而未来的量子机器伪造这两者，就像破解旧式密钥交换一样轻而易举。保密层已开始迁移；身份验证层连第一步都还没有迈出。这并非我的样本所特有的现象：我之前的单视角研究15和与我同期进行的互联网规模研究16，在后量子证书方面均报告了同样的零，而架构综述18解释了为何签名端是更难、更慢的工作：它需要拖动整个证书颁发机构层级体系以及每一个验证客户端一同前行。这是值得铭记的核心分歧：加密通话内容与证明通话对象是谁，是两项不同的工作，由两种不同的数学算法完成，而目前只有其中一项正在被修复。

另外两项发现，均颇具参考价值

首先，谈谈各行业。你可能以为注重安全的行业（银行、国防、政府）会走在前列，但事实并非如此。在我标记的每个行业中，混合PQC的采用率介于约27%至39%之间，领先者是普通热门网站和CDN控制平面，而非金融（28%）或国防（29%）。采用率高低不取决于谁更需要它，而取决于谁的CDN开启了这一功能。这已成为所有独立测量研究的一致结论。一项同期的大型研究对此作了最为精确的量化：约70%的所有后量子TLS流量归因于仅两家提供商——Cloudflare和Fastly16，而设定最早2030–31年过渡期限的司法管辖区，其采用率反而低于期限较晚的地区，因为政策紧迫性与CDN市场份额并无关联。另一项研究在低一层的协议版本层面发现了同样的滞后现象：即便是基本的TLS 1.3采用率，在政府（70%）、国防（68%）、能源与关键基础设施（76.5%）及电信（78.6%）15领域仍落后，而云服务和社交媒体则高达95–100%。三项不同的扫描，呈现相同的规律。如果你的服务提供商开启了这一设置，你便受到了保护；否则则不然——而这与你所在的行业几乎毫无关系。

其次，谈谈我构建多视角测量装置所要衡量的问题：服务器的响应是否会因请求来自地球上不同位置而有所差异？我从遍布北美、欧洲、日本和新西兰的八个地点对1,787个域名进行了探测。因地理位置而给出不同响应的域名占比为0.17%，共三个域名；当我对这三个域名重新测试时，其中两个被证实为普通的负载均衡器抖动而非地理因素，最终约每1,787个域名中仅有一个存在真实、稳定的区域性差异。此处的独立验证颇具价值。那项从十一个视角针对百万域名开展的大型研究，在同等规模下报告了相同的效应：其稳定测试面板中0.05%的域名会根据客户端位置协商出不同的默认值16，他们与我的判断一致，将其归因于CDN配置在各区域间逐步传播。两个研究团队，测量装置迥异，结果分别为0.05%与0.06%：扫描地点基本上无关紧要。

qgrove扫描结果的数据及其局限性。数据集：qgrove20，116,589个唯一域名，202,258次总测量（对所有域名进行广度扫描，并对4,000个域名子样本进行多视角深度扫描），2026年7月，完整发布。以下注意事项需预先说明：（1）仅边缘节点数据（35.5%）因构建方式存在低估，合并数据（61.1%）结合了两种测量方法，合并前校准至99.9%的一致性；（2）约四分之一的可达服务器仍仅支持较旧的TLS版本，完全无法执行PQC，这也是为何混合方案在现代TLS服务器中占35.5%，却仅占所有可达服务器的27%——两项数据均已报告，且均未以对方加以掩饰；（3）证书及无前向保密性数据来自大量样本，并非每个域名；（4）经过筛选的行业列表是可信的核心集合，并非详尽的普查。

11. 综合归纳

“先收割，后解密”这一口号方向正确，却夸大了威胁规模。HNDL确实存在：各国政府有据可查地部署了监听装置，有据可查地保存着所截获的内容，而他们等待的那台机器在理论上每年都在逼近，尽管目前尚无人将其实际建造出来。但只有在极少数情况下，这一威胁才能通过全部五道关卡——数据量小到足以存储数十年，且开封时内容依然有价值：外交通信、国防项目、任何生物特征或基因组数据、少量长期秘密。对于互联网的大部分及其用户而言，威胁会在第二道或第四道关卡处消亡，并非因为密码学依然坚不可摧，而是因为经济账算不过来。存储成本高于明文本身的价值，而等到能够解密时，数据早已过期失效。

与此同时，真正令人警觉的HNDL形式几乎无人谈及，因为它不涉及光纤监听，也无法制成精彩的幻灯片展示：那便是某人已经带走的加密存档。无前向保密，无数量问题，无潜艇，保质期以人的一生来衡量。

因此，实用建议虽有其价值，却并不光鲜。找出哪些数据的有效期X以数十年计。对大多数组织而言，这是一份简短的清单，通常也不是供应商向你报价时所针对的那份清单。优先迁移这些数据（任何在长期密钥下静态存储的数据，以及任何仍在传输中使用RSA密钥传输的数据），然后以合理的速度完成其余迁移。并请关注尚无人着手的那部分：目前文献中的所有测量，包括我的研究在内，都发现后量子密钥交换已在大量网站上运行且持续攀升，但后量子证书签名却几乎为零。迁移工作中的机密性部分正顺利推进，主要是因为几家大型CDN拨动了开关；而认证部分尚未开始。当量子机器出现时，伪造签名与破解密钥对它而言同样轻而易举，因此一个已迁移握手协议却未迁移证书的网络，如同在一扇任何人都可以径直穿越的门上换了新锁的房子。那是下一片待围的牧场，而眼下它根本没有一道围栏。

这一切并非主张无所作为，而是主张在购买驱虫药前先清点羊群数量。基于真实风险敞口的迁移物有所值；跟着口号走的迁移则会让你为一次代价高昂的药浴买单，却依旧满圈蠕虫。

qgrove扫描器、域名列表、完整方法论及202,258行数据集可在github.com/spinsphere/qgrove获取。所有数据均为作者自有。有关情报项目的陈述均基于公开报道、诉讼记录及解密材料；作者不持有任何非公开信息，亦不作此暗示。

Claude被用于协助本文的研究、框架构建与写作 .

Kaysec就后量子就绪性和密码敏捷性提供咨询，主要服务于那些数据具有本文所述真正重要保质期的组织。kaysec.spinsphere.xyz

参考文献

  1. NIST. FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）：后量子密码标准。 2024. csrc.nist.gov
  2. M. Mosca. “量子计算机时代的网络安全：我们准备好了吗？” IEEE Security & Privacy，2018年。eprint.iacr.org/2015/1075
  3. C. Gidney. “如何用不足百万个含噪量子比特对2048位RSA整数进行因式分解。” arXiv:2505.15917，2025年5月。arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen（Iceberg Quantum，悉尼）。”The Pinnacle Architecture：利用量子LDPC码将破解RSA-2048的代价降至10万个物理量子比特。” arXiv:2602.11457，2026年2月。仿真与资源估算，非硬件实演。arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi（Google Quantum AI / UC Berkeley），J. Drake（Ethereum Foundation），D. Boneh（Stanford）。”针对量子漏洞的椭圆曲线加密货币安全防护：资源估算与缓解措施。” arXiv:2603.28846，2026年3月。arxiv.org/abs/2603.28846
  6. NSA，CNSA 2.0；英国NCSC，后量子密码准备工作的后续步骤；ANSSI，后量子密码立场文件。
  7. Operation Ivy Bells，1971–1981年。USS Halibut，鄂霍次克海。感应式窃听，非侵入性；每月潜水员取回，后改用RTG供电。参见Sontag & Drew，Blind Man’s Bluff（1998年）。
  8. M. Klein，宣誓声明及证据，Hepting v. AT&T（加利福尼亚州北区联邦地区法院，2006年）；EFF案件材料。641A室，福尔萨姆街611号；2003年启用，2006年披露；约16路分路骨干电路（合计约15 Gbit/s），Narus STA 6400。
  9. R. Gallagher与H. Moltke。”NSA在美国八座城市隐藏的秘密监控枢纽。” The Intercept，2018年6月。theintercept.com
  10. GCHQ TEMPORA披露，2013–2014年（The Guardian；Der Spiegel）。200余个探头，速率10 Gbit/s，理论日容量约21.6 PB；内容缓存约3天，元数据约30天。
  11. MUSCULAR披露，2013年（The Washington Post）。数据中心间链路；TLS在公共边缘终止。
  12. Lawfare，”评估俄罗斯对海底电缆的威胁”，论为何登陆站接入使常规深海窃听缺乏吸引力。
  13. AMS-IX 2025年数据：年流量35.66 EB，峰值14.2 Tbit/s。ams-ix.net
  14. DE-CIX法兰克福2025年约48 EB；法兰克福峰值18.22 Tbit/s；2025年4月全球平台峰值25 Tbit/s。
  15. A. Dubey与V. Varshney。”互联网后量子就绪性测量研究：2026年。” arXiv:2606.16473，2026年6月。对32,011个域名的单视角扫描；TLS 1.3占52.41%，TLS 1.2占15.70%，QUIC占31.89%；49.3%混合密钥交换，0%后量子证书；记录了固定域名上的客户端TLS版本回退现象。arxiv.org/abs/2606.16473
  • N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi。”Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment。” arXiv:2607.29005，2026年7月。UNSW Sydney 与 Georgia Tech。纵向研究，三轮（2025年7月至2026年3月）；超过20亿次握手，100万个域名，11个测量节点。arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez。”On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks。” arXiv:2603.01091，2026年3月。马德里卡洛斯三世大学。arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz。”Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices。” arXiv:2605.04129，2026年5月。arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das。”Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey。” arXiv:2510.10436，2025年。德克萨斯州立大学。arxiv.org/abs/2510.10436
  • qgrove：分布式多测量节点 TLS 后量子态势测量。数据集与方法论，2026年7月。github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman。”Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites。” 第32届 ACM SIGSAC 计算机与通信安全会议论文集（CCS ’25），台北，2025年10月（杰出论文奖）。接收设备约800美元；所观测的 GEO 卫星链路中有50%传输明文 IP 流量，包括含通话与短信内容的蜂窝回传、公用事业工业控制/SCADA、军事资产追踪及机载 WiFi。satcom.sysnet.ucsd.edu
  • 关于 WiFi 拦截及其局限性：WPA2/WPA3 仅保护无线跳段，而非端到端会话；参见 KRACK（Vanhoef & Piessens，2017年）与 Dragonblood（Vanhoef & Ronen，2020年）攻击，以及恶意热点/降级攻击这一大类攻击手法。无线电的广播特性使密文采集成本极低；TLS 仍是承载安全保障的核心层。