量子春天：现在收割，以后解密——谁在收集你的加密数据、如何收集，以及为何大部分数据最终烂在仓库里
对手”收割”加密数据的实际代价、读取这批存储数据所需的条件，以及真正的威胁藏在何处。本文从第一性原理出发，围绕一个五关卡框架（物理访问、存储经济性、可解密性、数据有效期和对手动机）逐一展开，并以一项针对当今互联网实际部署的后量子密码学的原创全网扫描数据为佐证。
摘要。“现在收割，日后解密”（HNDL）是人们加速推进后量子密码学迁移的惯用理由。NIST（美国国家标准与技术研究院）这样说，CISA（美国网络安全和基础设施安全局）这样说，英国的NCSC（国家网络安全中心；新西兰有一个同名机构）这样说，厂商们说得更响亮——但几乎没有人去核验这套论断。究竟谁在真正收割数据？从哪里收割？需要存储多少，成本几何？当量子机器终于问世时，这些数据还有读取的价值吗？本文将HNDL视为一项有待检验的主张，而非一个可以照单全收的事实。这一威胁是真实存在的，但范围很窄——只有在数据价值能持续数十年、且存储规模保持有限的情况下，它才站得住脚；对于大多数流量而言，经济性这道关卡早在密码学失效之前就已经过不了。更大、更隐蔽的问题，是已经躺在他人存储库里的加密数据。本研究最初源于一项独立假设。在起草过程中，我发现了几项2026年的相关研究。其中一些印证了我的发现，一项与我相左，我都选择公开回应，而非将论点倒推回去迁就它们。我自己的扫描结果与规模最大的同期研究吻合：后量子密钥交换已在互联网中大范围、持续增长地部署上线，主要由少数几家基础设施提供商主导；而后量子签名——用于证明身份的部分——在31,839张证书中仍为零。握手正在被修复，身份验证却没有。
1. 这个名字里说错的那部分
每个农民都知道”收割”意味着什么。那是最好的部分：终点的回报，当一切劳作尘埃落定，你终于知道这一年是否值得。所以”现在收割，日后解密”这个名字，用来形容眼下实际发生的事，其实颇为奇怪——因为”收割”根本不是现在正在发生的事。现在正在发生的是播种。有人在悄悄收集加密流量，塞进某个存储库，然后等待。他们并没有在收割任何东西，他们是在播种，并祈祷风向会转。
他们等待的是一台具有密码学意义的量子计算机，即CRQC：一台大到足以对当今密钥交换和签名所依赖的数学（RSA、Diffie–Hellman、椭圆曲线）运行Shor算法的机器。一旦这台机器问世，那满仓的密文便会变得可读。在此之前，它不过是一堆价格高昂的噪声。姑且将那个时刻称为”量子春天”，将漫长的等待称为”量子冬天”——不是AI寒冬那种永远等不到头的绝望，而是农耕意义上的冬天：你知道季节终将到来，只是必须熬过眼前的严寒。
后量子密码学（PQC）是防守方的应对之策：NIST推出的新品种种子（密码学算法）——ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1，以及更多目前正在接受NIST评估的候选算法。量子收割者无法处理它们。但关键的问题在于——PQC对已经入库的数据毫无用处。昨天被收割的任何内容依然处于可被利用的状态；PQC只能保护从现在起播下的种子。因此，有两个时钟同时在运转：你的时钟，在机器到来之前争分夺秒地更换品种；他们的时钟，趁你还在明处播种，竭力将旧品种尽数入库。
写给非密码学专业人士的一段入门知识。保护你数据的数学原理分为两类。第一类负责对实际内容进行加扰（主要是AES）；量子计算机对它几乎无能为力，AES-256将安然无恙。第二类则解决两台计算机如何就一个共享密钥（即用于AES加密内容的”密码”）达成共识，以及如何相互证明身份——这就是RSA和椭圆曲线，而量子计算机对它们来说不费吹灰之力（通常被称为公钥/私钥加密）。因此，当有人说”量子破解加密”时，他们的意思是：它破解的是一开始的握手过程，而不是加密锁本身。这就是为什么HNDL针对的是被记录下来的握手：拿到握手，就能拿到密钥，进而拿到随后传输的一切。
大多数人采用的分析框架是Michele Mosca的不等式2。取X——你的数据需要保持保密的时长；加上Y——你的迁移所需时间；与Z——机器问世所需时间相比较。若X + Y > Z，那么对于今天发送的任何内容，你已经输掉了这场竞赛。这是一段精妙的算术。问题在于，Z不断移动，且始终朝着同一个方向缩短。2019年，破解RSA-2048的估计需求约为2000万个嘈杂量子比特，运行八小时；到2025年5月，同一位研究者将其压缩到不足一百万个量子比特，大约一周3。六年内缩减了二十倍，而且这得益于算法的改进，而非硬件的提升。机器尚未造出，但目标不断逼近——这正是一个有耐心的对手决定值得播种的条件。
此后又有两次新进展，尽管前提假设有所不同。2026年2月，一篇关于qLDPC架构4的论文宣称用不足100,000个物理量子比特即可破解RSA-2048；3月，一篇来自Google、以太坊基金会和斯坦福大学的联合论文5提出，使用不足500,000个物理量子比特、仅需数分钟即可破解256位椭圆曲线——而后者在两者中本已是更弱的一方。两篇论文都是通过改变假设而非固守原有前提来实现的，以量子比特数量换取连通性和解码技巧——而这些技巧在规模化层面尚未有人实现。这是一个注脚，不是喘息之机。Z是一个规划数字，这些论文不断地拨动它，但没有人真正造出任何东西。
顺带谈一下量子密钥分发（QKD），因为在讨论PQC时它经常被并列提及。这一领域有大量研究和开发工作，前景颇为可期，但不在本文讨论范围之内。NSA的CNSA 2.0、英国NCSC和法国ANSSI均明确表示，更倾向于推荐使用PQC6。QKD需要专用硬件，只能点对点工作，且对已经满载数据的存储库毫无帮助——它保护的是一条专线上的未来通信。理想的安全未来或许是两种方案的结合。
关于同期研究的说明。本文最初源于对2026年当下收割加密数据的实际情况与困难的独立研究兴趣，并为此进行了扫描以收集数据。在起草过程中，我发现2026年在这些领域已颇为热闹。Blanco-Romero等人17对收割行为的存储经济性进行了建模，得出了一个我部分持异议的结论（见第4节）。Wickramasinghe等人16对后量子TLS进行了互联网规模的纵向测量，其结果与我自己扫描的发现相互印证（见第10节）。更宏观的综述则勾勒出周边领域的全景（Bertino等人18；Chhetri等人19）。我没有将论点倒推回去迁就这些研究，而是保留了原有结构，并在相关之处逐一回应。凡是他人捷足先登之处，我坦然致谢；凡是我的独立数据与他人结论相符之处，我将这种一致性本身视为一项结果。
“现在收割，日后解密”这一口号所借用的季节，恰恰是最后才到来的那个。危险的工作发生在数年之前的播种期。能力曲线的形态仅供示意；其位置只是猜测（即实际时间节点；无法承诺CRQC会在2032年出现！），其方向则毋庸置疑。
2. 五道关卡
讨论通常在这里走偏。人们把HNDL当成一件非此即彼的事——要么正在发生在你身上，要么没有。事实上，它并非一件事，而是一个序列，对手想要的每一个字节都必须通过所有关卡。设想赶牲口的场景：第一关，你能进得了牧场吗；第二关，你有地方安置它们吗；第三关，进了围栏你真的能拿它们怎么样吗；第四关，等你腾出手来处置，它们还值钱吗；第五关，考虑到上述种种，你当初值得大费周章吗。任何一关失守，整场行动都不过是白白烧了油，喂了狗（赶羊用的牧羊犬）。
本文其余部分将逐一审视这五道关卡。在此之前，下面先概览量子时代安全问题的更广泛谱系。
| 问题 | 攻击目标 | 损害发生时间 | 实施所需条件 | 行动时机 |
|---|---|---|---|---|
| HNDL，传输中的数据 | 密钥交换（RSA、(EC)DHE） | CRQC出现时 | 一个窃听装置、海量存储空间，以及一台尚不存在的机器 | 现在播种 |
| HNDL，静态数据 | 存储数据的长期密钥 | CRQC出现时 | 一次成功的入侵，加上同一台机器 | 现在播种 |
| 伪造历史签名 | RSA/ECDSA签名 | CRQC出现时 | 截获的证书，加上那台机器 | 稍后 |
| 攻击PQC芯片 | 硅片中的PQC验证 | 当下 | 物理访问权限和故障注入装置 | 现在 |
| 伪造证书、未来中间人攻击 | 信任链 | CRQC出现时 | 那台机器，加上线路上的一个位置 | 稍后 |
顶部加粗的两项才是真正意义上的HNDL，也是唯一两种需要对手今天采取行动、以期在遥远未来获得回报的威胁。这正是它们值得我们现在深入研究和讨论的原因，也正因如此，它们是可被核查的——因为今天的行动会留下痕迹。
3. 第一道关：你能接触到它吗？
窃听光纤电缆之类的线路是件苦差事。你无法在卧室里凭一台笔记本电脑完成这件事；你需要亲手触及实体光纤，或者拿到一纸指向该光纤所有者的法院命令。光是这一点，就将几乎所有人排除在外。剩下的只有各国政府，而且为数不多。
有据可查的最佳案例也是最古老的案例之一，堪称经典。1971年，美国人派遣改装后的潜艇”大比目鱼”号（USS Halibut）驶入鄂霍次克海，寻找一条沉在120米水下的苏联军用电缆——这就是”常青藤钟声行动”（Operation Ivy Bells）7。潜水员将一个六米长的感应装置缠绕在一根大约有你手腕粗的电缆上，近到足以读取信号，却始终未切入电缆。这一行动持续了将近十年。
有两个细节比间谍小说式的情节更值得关注。其一，他们找到电缆，是因为海滩上有一块告示牌，写着电缆在此，请勿抛锚。其二是后勤问题：多年来，获取情报的方式是潜水员亲自潜入水下，每月更换一次磁带。每次都得有人下去取。后来的改进版本以核同位素发生器供电，可存储长达一年的数据，这被认为是巨大进步，因为这意味着一年只需下去一次。请记住这一点。收集情报最难的部分从来不是窃听本身，而是如何处理此后堆积如山的数据。
现代版本
光纤改变的是方式，而非约束条件。2006年，AT&T技术员马克·克莱因（Mark Klein）披露了旧金山福尔萨姆街611号（641A室）内一个上锁的房间，光学分束器在那里将骨干网流量复制到一个装有Narus STA 6400深度包检测设备的机架上8。该系统自2003年起已运行。分束器将大约十六条骨干电路（约15 Gbit/s的流量）的全部光信号进行复制，Narus设备则对其实时进行深度包检测。克莱因的文件成为电子前哨基金会（Electronic Frontier Foundation）对AT&T提起诉讼的证据，后续报道还发现美国其他城市存在类似的房间9。值得注意的历史镜像是：2003年，那些分束器复制的大多数内容是明文。如今，同样的窃听装置复制的是密文——这正是HNDL之所以成为一个令人担忧的问题的根本原因。
架构层面的要点依然成立。光纤上的分束器在光学层面复制你的流量，没有任何防火墙能看到它，没有任何入侵检测系统能捕获它，你的终端对此毫无察觉。但是——这才是整个游戏的关键所在——它复制的是线路上的内容，而线路上的内容已经过加密。分束器无法破解你的加密。它只是将副本存入一个仓库，然后静待时机。
英国也有同样的故事，其规模值得我们停下来认真审视。到2011年中期，英国政府通信总部（GCHQ）已在200多条光纤链路上部署了探针，每条链路传输10 Gbit/s的数据，这一项目被称为”时光机行动”（TEMPORA）10，可同时处理其中至少46条链路的数据。理论上，这每天可以接入超过21拍字节的数据流；《卫报》将其比作大英图书馆所有藏书的192倍，每24小时更新一轮。但以下这一点对后续所有内容至关重要：他们留不住这些数据。内容仅被缓存三天，元数据则保存三十天。即便是一个在国家层面运营、半数基础设施掌握在自己手中的国家级行为者，也只能在内容上维持一个滚动的三天窗口。请记住这一点，这是第二道关提前登场。一项相关的联合行动针对大型云服务提供商自有数据中心之间的连接，彼时这些连接在内网中是未加密的11：据报道，TLS加密只在公共边界处添加和移除。这是有据可查的案例中最具启示性的内容。他们没有破解加密，而是绕道而行，找到了数据短暂以明文形式存在的那个节点。服务提供商注意到了这一点，随即对内部链路进行了加密，这个缺口就此关闭。
你并非总需要那条电缆
这里我必须拓宽这道关的边界，因为以上所述都是关于有线传输的，而世界上有相当大比例的流量根本不会经过攻击者能触及的线路。无线电是广播式的。任何在信号覆盖范围内的人都能接收到它，无需拼接，无需登陆站，无需搜查令12。这将物理访问的门槛彻底拉低，适用于任何在传输过程中有一段经由空中的流量——而事实证明，这类流量相当之多。
从最显而易见的说起：WiFi。你的笔记本电脑发送的每一个数据帧都向四面八方辐射，任何处于信号范围内、使用廉价网卡并开启监听模式的人都能将其全部截获。有两件事保护了你。WiFi层自身的加密（WPA2、WPA3）对空中传输的数据帧进行了加扰，但这是一把独立的、寿命更短的锁，与内层的TLS不同；它保护的是从你的设备到接入点这一跳，而非端到端的会话，而且它已被反复降级、破解或绕过（针对WPA2的KRACK攻击、针对WPA3的Dragonblood攻击，以及仅将一切流量中继给攻击者的”恶意孪生”接入点）22。剥去WiFi层，剩下的就是底层的TLS，这让我们又回到了收集问题上：破损WiFi上的现代TLS 1.3仍具前向保密性，仍然需要量子机器来破解；但开放的咖啡馆网络，或攻击者已知密钥的WPA2网络，会让攻击者免费获得你的加密TLS数据流。从HNDL的角度来看，WiFi嗅探是一种廉价的密文收集方式；它无法击败TLS，但对于目标方圆数百米范围内的任何人而言，它几乎完全消除了”你能否物理接触到它”这道关卡。
再看移动网络。2G简直是窃听者的福音。IMSI捕获器（伪基站，即”Stingray”）可以强制手机降级到一种存在漏洞的加密算法，从而以明文读取流量。4G和5G已大幅改善，但针对它们的降级攻击仍是一个活跃的研究领域，同样的原理依然成立：无线层是薄弱环节，真正保护你的是承载其上的端到端加密。同样，收集成本低廉，而底层加密往往是攻击者与明文之间的唯一屏障。
最后要说的这个案例令人惊讶，因为它针对一类特定的高价值流量，彻底颠覆了”窃听（截获）很难”这一前提：卫星。2025年10月，来自加州大学圣地亚哥分校和马里兰大学的研究人员发表了论文《不要抬头》（Don’t Look Up）（该论文荣获ACM CCS杰出论文奖），其研究发现近乎令人难以置信。他们在圣地亚哥的一处屋顶上架设了一台售价800美元的现成卫星天线对准天空21，历时三年，发现他们所能观测到的地球静止轨道卫星链路中，大约有一半正在以完全未加密的方式传输敏感数据。没有TLS，没有VPN，什么都没有。不是”加密后等待破解”，而是现在就可直接读取，就是明文。在这些明文中，他们发现了一家大型移动运营商卫星回传链路的通话和短信内容、从头顶飞过的飞机上的机载WiFi流量、军事资产追踪数据，以及（这一点对HNDL的真实目标至关重要）运行公用事业基础设施的工业控制和SCADA流量。而且他们在加州一处固定地点只能看到约15%的在轨卫星。一个在多大洲部署天线的国家级行为者所能看到的，远不止于此。
这与电缆的故事在两个方面截然不同，而这两点都与令人宽慰的第一道关版本相悖。其一，访问门槛极低：几百美元加上一片开阔的天空，而非一艘潜艇。其二，对受害者而言更为糟糕：这些流量大多数甚至根本不是”先收集后破解”的问题，因为读取它们根本不需要未来的量子机器——这些数据本就是明文。量子因素只对那些已加密的卫星链路有意义；对于未加密的那一半而言，”事后解密”根本无从谈起，因为压根没有什么需要解密的。
第一道关裁定。对于骨干光纤而言，这道关卡门槛很高：只有屈指可数的几个国家、需要物理访问或法律手段、代价真实不菲。但”截获很难”这个说法，向来只是针对电缆的，而很多流量在关键节点上并不走有线传输。无线电向覆盖范围内的所有人广播；WiFi和移动网络让攻击者廉价获得你的加密数据流，真正承担保护重任的只剩TLS；而卫星，令人震惊地，对大约一半的链路直接交出了明文。因此，这道关卡的诚实版本是：骨干光纤门槛高，任何经由空中传输的流量门槛低至几乎为零。这非但没有软化论点，反而使其更加尖锐——因为本文所讨论的那些长期保存价值目标（VSAT链路上的大使馆、卫星SCADA上的公用事业、微波中继上的国防设施），截获这道关往往大门洞开，而站在对手与载荷之间的唯一屏障，正是我们在本文余下篇幅中所要审视的加密技术。
4. 第二关：你有足够大的存储空间吗？
假设你已经接上了水龙头。现在你必须把这些东西保存起来，可能长达十五年，只是为了等待那台机器的出现。故事在这里撞上了算术，而算术毫不留情。
用真实数字说话，而不是泛泛而谈。AMS-IX，即阿姆斯特丹互联网交换中心（全球最大的公共对等互连点之一，各网络在此相互交换流量），公布了其2025年数据13：全年流量达35.66艾字节，峰值为14.2 Tbit/s。法兰克福的DE-CIX是另一个此类交换中心，处理了约48艾字节14的流量。这些不是估算值，而是运营商自己公布的数字。而AMS-IX只是众多交换中心之一，全球此类交换中心超过一千个。
假设你决定对AMS-IX进行整年全量抓取，你需要什么？
两个从未被纳入成本核算的瓶颈。左图：对一个交换中心进行一年全量抓取所需的磁带量。右图：为何最终那台机器是一个瓶颈，而非万能的魔杖——短暂密钥交换意味着每个会话都需要单独处理。
以LTO-9磁带每盘18 TB计算，35.66艾字节约需200万盘磁带，每年仅购买空白磁带一项（按每盘约100美元计）就需要1.98亿美元，这还不包括一台驱动器或一分钱工资。一台LTO-9驱动器的写入速度约为400 MB/s；要跟上接入的数据流，你需要2,826台驱动器全速不停地运转，全年每秒不间断。这已经不是一个服务器机房，而是一座工厂。
然后是没人计算的那一项成本。磁带是顺序存取的，要查找任何内容都必须从头卷到尾。同样这2,826台驱动器，如果只用来读取，也需要整整一年才能读完一年的磁带——因为读写速度相同。这意味着这份存档只能被读取一次，而且只有在停止数据采集的情况下才能做到。想搜索两遍？再建一座工厂吧。
硬盘也无法解围。以每块24 TB计算，你需要约150万块硬盘，成本约6亿美元，算上散热之后功耗大约达11兆瓦——相当于一个小镇的用电量，只为了让一个交换中心一年的数据持续运转。若扩展到全球流量的哪怕1%，数字就会荒唐到离谱：每年都要重复多个AMS-IX规模的投入，无休无止，所有这一切都押注在一台尚不存在的机器上，希望有朝一日它能让你把这些数据读取一遍。
本文的算术还未涵盖其他因素：数据压缩与解压所需的时间成本，以及磁带的装卸操作。当然，存储介质也不止这一种，而且这是一个极端示例——来自单一节点整整一年的数据——但它足以说明数据量的惊人规模，以及存储和处理这些数据所带来的经济压力。
在这里，我与目前对这一经济问题最为审慎的一项研究产生了分歧。Blanco-Romero等人17对相同的存储问题建立了模型，并得出结论：数据留存在经济上”微不足道”——按原始介质价格（他们引用LTO磁带约5美元/TB），即便是全球流量1%的采集量，每年成本也仅约10亿美元，完全在国家预算的承受范围之内。他们的算术无懈可击，我对介质成本本身也无异议。我的异议在于：介质成本并非关键制约因素。原始磁带是预算中最便宜的一项；真正咬住你的，是实时写入所需的那座驱动器工厂、日后读取所需的第二座工厂、在一堆无法压缩的密文中检索任何内容所需的索引系统，以及维持整个系统运转十五年所需的物理基础设施。他们的模型，正如他们自己所述，仅针对静态介质成本，而将截获和检索机制排除在外。就其研究问题——即协议层面的防御措施——而言，这是合理的范围界定；但一旦将那些被排除的成本纳入考量，”微不足道”就变成了”只有在你已经决定这批特定流量值得进行十五年工业级投入的前提下才负担得起”——这本质上不过是另一种形式的选择性采集。我们与他们得出了相同的结论（数据采集是有针对性的，而非无差别的），只是从对存储成本的相反解读出发。他们自己的结论——防御者应优先保护生命周期价值最高的数据——与我的观点完全一致。
第二关裁决。无差别的大规模采集不过是幻想，不仅困难，不仅昂贵，而且在算术上根本行不通。每一个真实的对手都必须选择保留什么；一旦做出选择，威胁就不再针对所有人，而是指向某个具体的人。如果你想知道自己是否正在被采集，不要再问他们能拿走什么，而要问他们愿意花多少钱存储十五年。（此处以十五年作为一个任意但具有说明意义的时间跨度：按推测长期持有数据，这是一段相当漫长的时间。）
5. 第三关：这些数据真的能解密吗？
假设他们已经完成了监听并付钱保存了数据。那台机器终于来了。这堆数据能打开吗？这完全取决于密钥是如何协商的——而这正是整个HNDL讨论中最被忽视、解释最不充分的一点。
采集的数据是否有价值，取决于密钥的协商方式。RSA密钥传输完全暴露于HNDL攻击之下；而短暂（EC）DHE则意味着每个会话都需要单独进行一次量子计算机运算。无论哪种情况，握手签名仍然可被伪造，因此通信双方的身份信息依然会泄露。
旧式方法——RSA密钥传输——是最糟糕的情形。客户端用服务器的长期公钥加密会话密钥；只要破解那一把密钥，与该服务器有过记录的所有通信就会同时解锁。一把密钥，整批数据。这正是那句口号所暗中预设的场景，也是它听起来如此骇人的原因。
但现代TLS并非如此运作。TLS 1.3强制要求使用短暂Diffie-Hellman密钥交换，TLS 1.2搭配ECDHE也实现了同等效果。在这种机制下，每个会话都会生成一个一次性的临时密钥。服务器的长期密钥仅用于对握手过程签名，而不对内容加密，因此破解它并不能获取任何通信内容。要读取一个短暂会话，就必须破解那个会话的密钥交换，再破解下一个，再下一个，如此循环。没有”一键解锁全部”的捷径：一个剪毛台，一头羊一头羊地来，每头都要花时间。
要花多长时间？Gidney 2025年的估算3是：破解一个RSA-2048密钥大约需要一周的机器时间。椭圆曲线的成本更低，但数量级相近。因此，一百万个被捕获的短暂会话并不需要”一台量子计算机”，而是需要大约一百万次独立的量子计算任务。即便乐观地估计每个任务只需一天，那也是数千机器年的工作量。量子密码破解机（CRQC）将是一种稀缺的国家级设施，就像天文望远镜一样有预约排期；没有人会把你的视频流会话排进去跑。这正是反直觉之处开始显现的地方：没错，量子计算机、CRQC，现在已经足够强大、足够”快速”，可以为我们运行Shor算法，但当我们考虑到任务数量（每个任务都是量子算法的一次独立执行）时，就能开始体会到经济效益的递减：需要破解的加密会话数量，乘以量子计算机运行该算法的时间（无论是目前预期的数小时还是数周，这仍是争议点，随着Z不断降低，答案无疑还会改变），其乘积依然是个庞大的数字。
有两点原因让我们无法对此感到乐观。第一，前向保密保护的是内容，而非签名：未来的机器仍然可以伪造被截获握手包的身份验证，因此通信双方是谁依然会泄露——而这往往才是真正有价值的信息。第二，更糟糕的是，证书层完全没有跟上。如我自己的测量所确认的（第10节），当前为整个互联网提供签名认证的仍是经典RSA和ECDSA。保密性层面的迁移已经开始；认证层面的迁移尚未起步。
还有第三个隐患，它悄悄抵消了大量已取得的进展。”服务器完成了迁移”并不等同于”会话是安全的”，因为协商所得的加密算法只能与两端中较弱的那一端保持同等水平。Dubey和Varshney15捕捉到了一个典型案例：一家印度银行（icici.bank.in）对一台现代设备提供了带TLS 1.3、X25519和AES-256的QUIC连接（量子前向安全、前向保密，一切都符合理想要求），而同一域名从另一台设备访问时，却回落到了TLS 1.2搭配ECDHE-RSA和AES-128。同一台服务器，同一天，两个客户端，两种截然不同的安全状态。回落后的会话仍具备前向保密性，所以还不是RSA密钥传输的噩梦场景，但这是一次没有人主动选择、也没有人察觉的回落——若任一端稍微老旧一些，就可能降级至RSA密钥传输，从而完全暴露于数据采集风险之下。看不见对端情况的迁移，是无法真正依赖的迁移。
6. 第四关：然后呢？
这是一个没人谈论的关卡，也是大多数数据堆积最终倒下的地方。想象这样一个场景：你在一家大型零售银行外面监听光纤，截获了该银行网站一整年的所有TLS会话——数百万客户登录、查询余额、转账汇款。你把所有数据都存了下来。十五年后，那台机器来了，你花费了巨额的CRQC算力，将所有数据全部解密。恭喜你。你得到了什么？是在2026年就已过期的会话Cookie。是此后轮换了三次的密码，而且大多数现在都已启用了多因素认证。是十年前的账户余额。你花了巨大的代价，只是发现某人在2026年的一个周二早晨查了一次余额。
其中确实存在一些持久性数据（姓名、出生日期、身份证号码），但这不过是废石山中一条细薄的矿脉，而且你还得从数百万个独立会话中将其拼凑还原。与此同时，同样的信息就静静地躺在银行的客户数据库里——结构化、已索引、随时更新，只差一次入侵。所以，有一个问题本应被更频繁地提出：既然整罐牛奶就放在路边的工厂里，为何要在门口守候十年，接住从奶罐车上滴落的残液，还妄想有朝一日将它们复原？
数据有其保质期，且差异悬殊。会话 Cookie 的价值只维持一个小时；密码，几个月；卡号，至到期为止；银行账号，数十年；身份证号，终身；指纹或虹膜，终身且无法重新签发；基因组，终身加上所有血亲，且永不过期。一份外交电报能令人尴尬长达四十年。一份武器设计图纸的寿命超过了绘制它的工程师。”先收割后解密”的策略只在数据保质期足够长的场景下才有意义。其他所有情况下，庄稼在机器到来之前便已在仓中腐烂。
7. 第五道门：究竟谁会真的大费周章？
将最后两道门合并来看——数据量与保质期——画面很快便会清晰起来。以下是几个实例，并附上实际的操作逻辑。
谁会真的大费周章？数据量与保质期的对比。左上角是”收割”最有意义的区域：数据量小，且可永久保存。右下角是这一口号叫得最响、却最没道理的地方。各点的位置均为数量级层面的判断。
大使馆链路。目标：外交使团与其外交部之间的加密隧道。截获方式：当地互联网服务提供商，或该线路经过的交换节点。如果你是东道国，这不过是一个电话的事，谈不上什么行动。而若使团位于偏远驻地并通过卫星回传（许多使团确实如此），对手甚至无需东道国配合：一口碟形天线加一个屋顶便已足够（第 3 节）。数据量：极小，每天一两个吉字节；五十年的数据放在架子上不过占一个位置。保质期：数十年。结论：这是教科书级别的案例，几乎可以肯定，此刻正在发生于所有国家的大使馆。如果你管理一个外交部，却仍未着手迁移，那你就是这句口号存在的原因。
国防承包商。目标：主承包商与分包商之间的站点到站点 VPN。数据量：尚可管控，每年数十太字节的 CAD 文件和测试数据。保质期：今年设计的机体到 2075 年仍在飞行。结论：可行且值得。数据量小，记忆却长。
零售银行。目标：所有消费者流量。数据量：每年数拍字节。保质期：其中绝大部分为数小时至数月。结论：不可行。你每年要花一亿在磁带上，最终换来的不过是一些 2026 年的密码。不如直接去攻击数据库。可能已经有人这样做了。
基因组实验室。目标：上传至云存储的测序数据。数据量：单个基因组在合理覆盖度下原始数据量约为数百吉字节；一个繁忙的中心每年可产生数拍字节的数据。保质期：永久，且涉及受试者的整个家族。结论：这是本文中最有价值的目标，但仅就数据量而言，传输中截获仍然希望渺茫。然而，若直接窃取静态数据库，情况便截然不同：六十太字节的数据，保质期无限。这正是上图中那条箭头所指的方向，也是其中最值得关注的动向。
8. 羊毛早已堆在仓里
这就引出了”先收割后解密”中那个远未获得足够重视的部分。过去十年中，每一次重大数据泄露事件都留下了加密存档，静静躺在他人的存储设备中：人事档案、医疗保险机构、征信机构、连锁酒店——这些数据大概率依然留在那里，等待着与被截获光纤相同的那台机器。而且，这是一个远比截获传输数据更优越的目标，原因有三。
其一，没有前向保密。静态数据受长期密钥保护，而非按会话生成的一次性密钥；只要破解一次密钥，整个存档便全部开锁。这在默认情况下等同于 RSA 密钥传输场景：一锅端，一次搞定。其二，筛选难题已被解决。窃取基因库的对手无需在大量数据中大海捞针——数据早已由他人完成排序、索引和去重。第二道门的艰难之处，已由受害者代为完成。其三，保质期通常极长：一个被盗的基因组到 2045 年也不会过时。
这一切都不需要一艘潜艇。你只需要一封钓鱼邮件，让它找到某位毫无防备的员工即可。这正是能够实施静态数据”先收割后解密”攻击的行为者数量，远远多于有能力窃听海底电缆的行为者数量的原因；也正是大多数迁移建议中优先级顺序完全本末倒置的原因。所有人都在翻山越岭追逐羊群，而那一整仓的羊毛——加密数据、数据库——早已打包成捆，放在敞开大门的仓库里。
9. 我们仍然不知道的事
坦诚地面对局限性：第 3 至第 8 节中的一切推断，均基于一份在设计上本就不完整的公开记录。机密项目是机密。已披露的材料已经过时，大多来自 2013 年，而技术已然演进。存储成本在下降；量子资源估算下降得更快。这里的任何一项计算都可能出现数量级的偏差，部分结论也将随之改变。唯一无需猜测的，是当下实际部署在网络上的内容——因为这可以被测量。我确实进行了测量，这使整个论点更加清晰，告诉我们防御方在哪道门上已占优势，又在哪道门上尚未开始应对。
10. 丈量围场
当我开始扫描互联网以收集本文关于当前量子安全态势研究的数据时，我发现唯一可参考的已发表研究是一项针对约 32,000 个域名的单视角研究15。（此处的视角，是指扫描发起地点。单视角扫描从同一位置向所有服务器发起请求；多视角扫描则从多个位置发起，以捕捉那些根据请求来源地不同而返回不同结果的服务器——通常是因为全球 CDN 正在逐区域分批推送某项设置。）我自己的计划是扫描更广泛的范围，并同时从多个视角发起，以观察服务的应答是否因接收请求的区域性前端不同而有所差异。就在我进行这项工作期间，Wickramasinghe 等人16发表了一项互联网规模的纵向研究：在 2025 年 7 月至 2026 年 3 月间，历经三轮，涵盖一百万个域名、超过二十亿次 TLS 握手，来自十一个视角点。这是一项在各个维度上均比 qgrove 更大规模、更为严谨的研究。因此，我将以下内容作为独立验证呈现：一次规模较小的单轮扫描，基于不同基础设施构建，最终得出了与之相同的数字。
我构建了 qgrove20，这是一款运行于全球边缘网络的扫描器。针对每个域名，它会建立一个原始连接并读取服务器实际选择的密钥交换组。正是这一个值，决定了一个被捕获的会话是否面临”先收割后解密”的风险——而且它可以直接从握手的明文部分读取，无需解密任何内容。该扫描器为开源项目，以下所有数字均可从已发布的数据集中复现。扫描目标共选取了 116,589 个域名，采用多种方法和来源进行筛选。
正在推进的方面：握手过程（保密性密钥交换）
在支持现代 TLS 的可达服务器中，35.5% 已协商采用混合后量子密钥交换：经典的 X25519 曲线配合 ML-KEM-768——这正是当前版本 Chrome 所建立的配置。对于一项如此新近才定稿的标准而言，这是一个相当可观的数字，且仍在攀升。但 35.5% 是从边缘节点测量所得，而边缘节点无法探测大型 CDN 后方的站点。当我通过另一种方式重新探测这些站点以填补这一盲区时，画面发生了显著变化：CDN 代理的站点群体几乎 100% 采用混合方案，因为 CDN 已为所有人同时开启了后量子密码学。将两者合并后，总体估算升至 61.1%。两个数字都是真实的，但含义不同。诚实的结论是：仅从该 CDN 边缘运行的扫描会系统性地低估后量子密码学的覆盖率，因为互联网上后量子密码学部署最为充分的站点，恰恰是它在结构上无法探测的那些。
两个层面的迁移速度截然不同。左图：混合后量子密钥交换，边缘可测量值与总体估算值之比较。右图：证书签名，迁移尚未启动。数据来源：qgrove，2026 年 7 月。
尚未推进的方面：签名（用于身份验证）
现在来看另一半——那个真正应该令人忧虑的部分。我检查了 31,839 份证书上的签名算法。采用后量子签名的数量为零。不是”极少”，是零。整个 Web 的身份验证完全依赖经典的 ECDSA 和 RSA，而未来的量子计算机伪造这两者，与破解旧式密钥交换一样轻而易举。机密性层面已开始迁移；身份验证层面甚至尚未迈出第一步。这并非我的样本存在什么特殊之处：此前的单视角研究15与与我同期进行的互联网规模研究16，均报告了后量子证书的同一个零值，而架构层面的综述研究18也解释了为何签名端是更艰难、更缓慢的任务：它牵动着整个证书颁发机构体系以及每一个验证客户端。这是最值得铭记的分野：加密通信内容与证明通信方身份，是由两套不同数学完成的两项不同工作——而目前只有其中一项正在被修复。
另外两项发现，均具有一定参考价值
首先，谈谈行业。你可能会预期安全意识强的行业（银行、国防、政府）会处于领先地位。然而并非如此。在我标记的每个行业中，混合PQC采用率在约27%至39%之间，而领先者是普通热门网站和CDN控制平面，而非金融（28%）或国防（29%）。采用并非由谁需要它驱动，而是由谁的CDN开启了它驱动。这已成为每项独立测量的一致发现。同期进行的大型研究对此量化得最为清晰：约70%的后量子TLS可归因于两家提供商，即Cloudflare和Fastly16，截止日期最早（2030–31年）的司法管辖区的采用率低于截止日期较晚的地区，因为政策紧迫性与CDN市场份额无关。另一项研究在协议版本层面发现了同样的滞后：即使是普通TLS 1.3的采用率，在政府（70%）、国防（68%）、能源和关键基础设施（76.5%）以及电信（78.6%）15中也落后，而云计算和社交媒体则高达95–100%。三次不同的扫描，相同的模式。如果你的提供商切换了设置，你就受到了保护；否则便没有，而这与你所在的行业几乎毫无关系。
其次，谈谈我构建多视角设备所要测量的内容：服务器的回答是否会因你在地球上的位置不同而改变？我从横跨北美、欧洲、日本和新西兰的八个地点探测了1,787个域名。因位置给出不同答案的比例为0.17%，即三个域名，当我重新测试这三个域名时，其中两个结果是普通的负载均衡抖动，而非地理因素，从而只剩下约1,787个域名中的一个具有真实、稳定的区域差异。此处的独立验证很有价值。针对百万个域名从十一个视角进行的大型研究报告了相同规模的相同效果：其稳定样本中0.05%的域名根据客户端位置协商出不同的默认值16，他们与我一样，将此归因于CDN配置在各区域间逐步传播。两个团队，设备大相径庭，结果分别为0.05%和0.06%：扫描来源的位置基本上无关紧要。
qgrove扫描结果的数据及其局限性。数据集：qgrove20，116,589个唯一域名，202,258次总测量（对所有域名的广度扫描加上对4,000个域名子样本的多视角深度扫描），2026年7月，完整发布。需要提前说明的注意事项：（1）仅边缘数字（35.5%）因构建方式而存在低估，综合数字（61.1%）结合了两种测量方法，在合并前校准至99.9%一致性；（2）大约四分之一的可达服务器仍仅使用较旧的TLS版本，根本无法进行PQC，这就是为什么混合份额在现代TLS服务器中为35.5%，但在所有可达服务器中为27%，两者均有报告，互不混淆；（3）证书和无前向保密数字来自大样本，而非每个域名；（4）精选的行业列表是可辩护的核心，而非详尽的普查。
11. 归纳总结
“先收集，后解密”的口号指向了正确的方向，但夸大了威胁的规模。HNDL是真实存在的：国家明显拥有监听手段，明显会保留他们选择的内容，而他们等待的机器在纸面上每年都在临近，即使还没有人（真正）建造出来。但它只在一小部分情况下能通过所有五道关卡，即数据量小到足以存储一代人的时间，且其内容在被打开时仍然重要：外交通信、国防项目、任何生物特征或基因组数据、少量的长期机密。对于互联网及其用户的大部分而言，威胁在第二或第四道关卡就消亡了，不是因为密码学足够强，而是因为经济学不支持。存储成本超过了明文的价值，而当你能够读取时，它已经过时了。
与此同时，真正令人警惕的HNDL版本几乎无人关注，因为它不是光纤窃听，也不能做成好看的幻灯片：某人已经带走的加密存档。没有前向保密，没有数量问题，没有潜艇，保存期以生命跨度来衡量。
因此，实际建议虽然有限，却并不光鲜。找出你的哪些数据的X以数十年计。对大多数组织来说，这是一份很短的清单，通常不是供应商向你报价的那份清单。优先迁移这些数据（任何在长期密钥下静态存储的数据，以及任何仍在传输中使用RSA密钥传输的数据），然后以合理的速度完成其余迁移。并密切关注还没有人开始的部分：目前文献中的每项测量，包括我的，都发现后量子密钥交换在网络的大部分范围内是活跃的且仍在增长，但没有一个后量子证书签名值得统计。迁移的机密性部分正在顺利进行，主要是因为一些大型CDN切换了设置；而认证部分尚未开始。当量子计算机到来时，它伪造签名与破解密钥一样轻而易举，因此一个已迁移握手但未迁移证书的网络，就像一座更换了新锁但任何人都能直接穿门而过的房子。这是下一个需要关注的领域，而现在它完全没有围栏。
这一切都不是主张什么都不做。这是在主张购买驱虫药之前先清点羊群。基于真实风险暴露的迁移是值得的投资；基于口号的迁移只会让你得到一个昂贵的药浴和一个满是虫子的牧场。
qgrove扫描器、域名列表、完整方法论和202,258行数据集可在github.com/spinsphere/qgrove获取。所有数据均为作者自有。关于情报项目的声明基于公开报道、诉讼记录和解密文件；作者不持有任何非公开信息，亦无此暗示。
Kaysec就后量子准备状态和密码敏捷性提供咨询，主要服务于其数据具有本文所述真正重要的保存期的组织。kaysec.spinsphere.xyz
参考文献
- NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): Post-Quantum Cryptography Standards. 2024. csrc.nist.gov
- M. Mosca. “Cybersecurity in an era with quantum computers: will we be ready?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
- C. Gidney. “How to factor 2048-bit RSA integers with less than a million noisy qubits.” arXiv:2505.15917, May 2025. arxiv.org/abs/2505.15917
- P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, Sydney). “The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100,000 physical qubits using quantum LDPC codes.” arXiv:2602.11457, February 2026. 模拟与资源估算，并非硬件演示。arxiv.org/abs/2602.11457
- R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations.” arXiv:2603.28846, March 2026. arxiv.org/abs/2603.28846
- NSA, CNSA 2.0; UK NCSC, Next steps in preparing for post-quantum cryptography; ANSSI, Position paper on post-quantum cryptography.
- Operation Ivy Bells，1971–1981。USS Halibut，鄂霍次克海。感应式窃听，非侵入性；每月由潜水员取回数据，后改为RTG供电。参见Sontag & Drew，Blind Man’s Bluff（1998年）。
- M. Klein，宣誓声明及证据，Hepting v. AT&T (N.D. Cal. 2006)；EFF案件材料。Room 641A, 611 Folsom St；2003年投入运营，2006年曝光；约16条分路骨干电路（合计约15 Gbit/s），Narus STA 6400。
- R. Gallagher and H. Moltke. “The NSA’s Hidden Spy Hubs in Eight U.S. Cities.” The Intercept, June 2018. theintercept.com
- GCHQ TEMPORA披露，2013–2014年（The Guardian；Der Spiegel）。200余个探针，速率10 Gbit/s，每日理论容量约21.6 PB；内容缓冲约3天，元数据约30天。
- MUSCULAR披露，2013年（The Washington Post）。数据中心间链路；TLS在公共边缘终止。
- Lawfare，”Evaluating the Russian Threat to Undersea Cables”，论为何陆上站点访问权使常规深海窃听缺乏吸引力。
- AMS-IX 2025年数据：年流量35.66 EB，峰值14.2 Tbit/s。ams-ix.net
- DE-CIX法兰克福2025年约48 EB；法兰克福峰值18.22 Tbit/s；2025年4月全球平台峰值25 Tbit/s。
- A. Dubey and V. Varshney. “Measurement Study of Post-Quantum Readiness of Internet: 2026.” arXiv:2606.16473, June 2026. 对32,011个域名进行单视角扫描；TLS 1.3占52.41%，TLS 1.2占15.70%，QUIC占31.89%；混合KEX占49.3%，PQC证书占0%；记录了固定域名上的客户端TLS版本回退情况。arxiv.org/abs/2606.16473
- N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment.” arXiv:2607.29005, July 2026. UNSW Sydney and Georgia Tech. 纵向研究，2025年7月至2026年3月共三轮；超过20亿次握手，100万个域名，11个视角点。arxiv.org/abs/2607.29005
English
日本語
简体中文
한국어