报告

量子春季行动：立即收割，日后解密——深度解析谁在收割您的加密数据、如何收割，以及为何大多数”庄稼”终将烂在仓里

by Simon McCorkindale

“收割”加密数据真正会让攻击者付出什么代价，读取这些积累的数据需要什么条件，以及真正的威胁藏在哪里。本文从基本原理出发，梳理一个五关卡框架（物理访问、存储经济学、可解密性、数据保质期与攻击者动机），并基于一项原创性的全球互联网扫描，呈现当今后量子密码学的实际部署现状。

摘要。“现在收割，以后解密”（HNDL）是人们催促向后量子密码学迁移的惯用理由。NIST（美国国家标准与技术研究院）这样说，CISA（美国网络安全和基础设施安全局）这样说，英国的NCSC（国家网络安全中心；新西兰有一个同名机构）这样说，各厂商说得更是大声，但几乎没有人核查这一论断的依据。究竟谁在实施收割？从哪里收割？需要存储多少数据，代价几何？当量子机器终于出现时，那些数据还有多少读取的价值？本文将HNDL视为一个待检验的主张，而非一个需要反复重申的事实。这一威胁是真实存在的，但范围狭窄——它只有在数据价值能维持数十年、且积累规模保持有限的条件下才能成立；对于大多数流量而言，它在经济层面就已经失败，远早于在密码学层面失败。更大、更沉默的问题，是已经坐落在别人数据库里的加密数据。这项研究最初是一个独立的假设。在撰写过程中，我发现了几项2026年的研究与之相关：有些印证了我的发现，有一项提出了异议，我均坦诚地逐一回应，而非事后修改论点去迎合它们。我自己的扫描结果与同期最大规模的测量研究吻合：后量子密钥交换已在互联网的大量且持续增长的份额中运行，主要由少数几家基础设施提供商主导；而后量子签名——即证明身份的那部分——在31,839张证书中仍为零。握手过程正在被修复，身份认证却没有。

1. 这个名字里错误的那部分

每个农民都知道”收割”意味着什么。那是最美好的时刻：在终点等来的回报，劳作结束，你终于知道这一年是否值得。所以”现在收割，以后解密”是一个奇怪的名字，因为”收割”并不是正在发生的事情。正在发生的是播种。有人正在悄悄地收集加密流量，塞进一个仓库，然后等待。他们没有在收割任何东西；他们是在播种，并祈祷气候转变。

他们等待的，是一台与密码学相关的量子计算机，即CRQC：一台足够大、能够对当今密钥交换与签名所依赖的数学（RSA、Diffie–Hellman、椭圆曲线）运行Shor算法的机器。一旦这台机器出现，那仓库里满满的密文就变得可读了。在此之前，那不过是一堆造价昂贵的噪声。姑且将那个时刻称为”量子春天”，将漫长的等待称为”量子寒冬”——这里说的不是AI寒冬那种永远等不到的场景，而是农耕意义上的寒冬：你知道季节终将到来，只是必须熬过严寒。

后量子密码学（PQC）是防御方的答案：来自NIST的新品种种子（密码学算法）。ML-KEM、ML-DSA、SLH-DSA（NIST FIPS 203/204/205）1，以及更多正在接受NIST评估的候选算法。量子收割者无法处理它们。问题在于——这是一个很大的问题——PQC对已经在仓库里的数据毫无帮助。昨天收割的任何东西依然可以被利用；PQC只保护从现在起你所播下的内容。因此，有两个时钟在同时运转：你的，争分夺秒地在机器到来之前更换品种；他们的，争分夺秒地在你还在公开播种旧品种时尽可能多地囤积。

给非密码学专业人士的简要入门。两种不同的数学保护着你的数据。一种负责加扰实际内容（主要是AES）；量子计算机对它几乎无能为力，AES-256依然安全。另一种负责两台计算机如何在第一时间协商出一个共享密钥（即用于AES加密内容的”密码”），以及它们如何证明各自的身份——那就是RSA和椭圆曲线，量子计算机可以轻松破解它们（通常称为公/私钥加密）。所以当有人说”量子破解了加密”，他们的意思是它破解了最开始的握手过程，而不是锁本身。这就是为什么HNDL关注的是被记录的握手：得到握手，就得到密钥，就得到随后传输的一切。

大多数人使用的框架是Michele Mosca的不等式2。取X，即你的数据需要保密的时长；加上Y，即你完成迁移所需的时间；再与Z，即机器出现前的剩余时间相比较。若X + Y > Z，那么对于你今天发送的任何内容，你已经输掉了这场竞赛。这是一道好算术。问题在于Z不断变化，且只朝一个方向移动。2019年，破解RSA-2048的估计需要约2000万个嘈杂量子比特运行八小时；到2025年5月，同一位研究者已将其压缩到不足100万量子比特、约一周时间3。六年内缩减了二十倍，而这来自算法的改进，而非硬件的进步。没有人造出这台机器，但目标不断逼近——这恰恰是一个耐心的攻击者认为播种值得一做的条件。

此后又有两次进展，虽非同等性质。2026年2月，一篇关于qLDPC架构4的论文声称可在10万个物理量子比特以内破解RSA-2048；3月，一篇来自Google、以太坊基金会和斯坦福大学的论文5表明，256位椭圆曲线（两者中较弱的一个）可在50万物理量子比特内、以分钟级运行时间破解。两者均通过改变假设而非固守假设来实现目标，以量子比特数量换取连通性和尚未在规模上实现的解码技巧。这是一个警告，而非喘息之机。Z是一个规划数字，而这些论文不断在没有任何人真正建造出任何东西的情况下推动它移动。

简单说一下量子密钥分发（QKD），因为它经常在谈论PQC时被提及。这一领域有大量研究与开发，前景值得期待，但超出了本文的讨论范围。NSA的CNSA 2.0、英国NCSC和法国ANSSI都明确表示，他们更希望你使用PQC6。QKD需要专用硬件，仅适用于点对点通信，且对已经装满数据的仓库毫无作用。它只保护专用线路上的未来对话。理想的安全未来或许是两种方法的结合。

关于同期研究的说明。本文最初源于我对2026年当下收割加密数据的实际可行性与困难的独立研究兴趣，以及一项数据收集扫描工作。在撰写过程中，我发现2026年在这些领域相当活跃。Blanco-Romero等人17对收割的存储经济学进行了建模，得出了一个我部分存疑的结论（见第4节）。Wickramasinghe等人16开展了一项互联网规模的纵向后量子TLS测量，其结果与我自己的扫描结论相互印证（见第10节）。更广泛的调查勾勒出了周边全景（Bertino等人18；Chhetri等人19）。我没有为了迁就这些研究而修改论证结构，而是保留了原有框架，并在相关处逐一回应。凡是他人先于我得出结论之处，我坦诚说明；凡是我的独立数据与他人一致之处，我将这种吻合本身视为一项结果。

“现在收割，以后解密”这一口号所命名的季节是最后到来的。危险的工作发生在数年之前的播种期。能力曲线的形状仅供示意；其位置是任何人的猜测（即实际时间节点；并非承诺2032年前会出现CRQC！），其方向则毋庸置疑。

2. 五道关卡

通常的讨论就是在这里出了问题。人们把HNDL当作一件非此即彼的事：它要么正在发生在你身上，要么没有。它不是一件事，而是一个序列，攻击者想要的每一个字节都必须通过其中所有环节。想象一下赶牲口的场景：第一道门，你能不能到达那片牧场；第二道门，你有没有地方安置它们；第三道门，等它们进了圈，你能不能真的拿它们做些什么；第四道门，等你终于腾出手来，它们还值钱吗；第五道门，考虑到这一切，你一开始就会费这个劲吗。任何一道门没过，整件事就是白白浪费了油钱和狗粮（为了赶羊）。

本文其余部分将逐一审视这五道关卡。在此之前，下文先概览量子时代安全问题的更宏观全景。

问题攻击目标损害发生时间实施所需条件行动时机
HNDL，传输中的数据密钥交换（RSA、(EC)DHE）CRQC出现时一个窃听装置、海量存储设备，以及一台尚不存在的机器现在播种
HNDL，静态数据已存储数据的长期密钥CRQC出现时一次成功的入侵，加上同一台机器现在播种
伪造旧签名RSA/ECDSA签名CRQC出现时截获的证书，加上那台机器稍后
攻击PQC芯片硅芯片中的PQC验证现在物理接触和故障注入装置现在
伪造证书，未来的中间人攻击信任链CRQC出现时那台机器，加上线路上的一个位置稍后

顶部加粗的两项才是真正意义上的HNDL，也是唯一两种需要对手今天行动、却要等待很久才能获益的情形。这正是它们值得我们现在深入研究和讨论的原因，也正是它们可被核查的原因——因为今天的行动会留下痕迹。

3. 第一道关卡：你能接触到它吗？

窃听光纤等线缆是件苦差事。你无法在卧室里架起笔记本电脑就完成此事；你需要亲手触及那根玻璃纤维，或者向拥有该线缆的机构申请法院命令。光凭这一点，几乎就能将所有人拒之门外。剩下的只有各国政府，而且屈指可数。

最有据可查的案例也是最古老的案例之一，堪称经典。1971年，美国人派遣改装潜艇”大比目鱼号”（USS Halibut）驶入鄂霍次克海，寻找躺在120米水深处的一条苏联军事电缆：常春藤铃铛行动7。潜水员将一个六米长的感应装置缠绕在一根大约手腕粗细的电缆上，无需切断线缆即可读取信号。这一行动持续运作了将近十年。

有两个细节比间谍小说式的情节更值得关注。其一是他们发现这条电缆，靠的是海滩上的一块警示牌，上面写着此处有电缆，请勿抛锚。其二是后勤工作：多年来，获取情报的方式是潜水员每月亲自游下去换一次磁带，有人必须亲自前去取回。后来的版本采用核素发生器供电，可存储一年的数据，这被视为重大进步，因为这意味着每年只需去一次。请记住这一点。数据采集中最难的从来不是窃听本身，而是如何处理事后堆积如山的数据。

现代版本

光纤改变了方法，却没有改变制约条件。2006年，AT&T技术员马克·克莱因（Mark Klein）披露了旧金山福尔松街611号（641A室）的一个上锁房间，那里的光学分光器将骨干网流量复制到一台用于深度包检测的Narus STA 6400机架上8。该装置自2003年起已运行多年。分光器从大约十六条骨干线路（流量约达15 Gbit/s）上完整复制光信号，Narus设备则对其进行实时深度包检测。克莱因的文件成为电子前哨基金会对AT&T提起诉讼的证据，后续报道还在美国其他城市发现了类似的房间9。值得关注的历史镜像是：2003年，那些分光器复制的大多是明文。如今同样的窃听装置复制的是密文——而这正是HNDL问题之所以存在的根本原因。

架构层面的道理依然成立。光纤上的分光器在光层复制你的流量，防火墙对此毫无察觉，入侵检测系统无从发现，你的终端设备更是一无所知。但关键在于——这也是整个问题的核心——它复制的是线路上的内容，而线路上的内容已经过加密。分光器无法破解你的加密。它只是将一份副本存入仓库，然后等待。

英国也有同样的故事，规模之大令人驻足。截至2011年中，英国政府通信总部（GCHQ）已在200余条光纤链路上部署探测器，每条链路承载10 Gbit/s的流量，这一项目被称为TEMPORA10，可同时处理其中至少46条链路的数据。理论上，这每天可接入超过21拍字节的数据流；《卫报》将其形容为英国图书馆全部藏书的192倍，每24小时翻一遍。但以下这点才是后续所有分析的关键：他们留不住这些数据。内容仅缓存三天，元数据保留三十天。即便是拥有国家级规模、运营着半属于自己的基础设施的国家级行为者，也只能对内容保持一个滚动的三天窗口。请记住这一点；这是第二道关卡的提前登场。一项相关的联合行动针对大型云服务提供商之间数据中心互联线路——彼时这些线路在内部网络中是未加密的11：据报道，TLS在公共边界处被添加和移除。这是现有记录中最具启示意义的一点。他们没有攻破加密，而是绕道而行，去寻找数据短暂以明文形式存在的那个地方。服务商注意到了这一点，随后对内部链路进行了加密，这个缺口就此关闭。

你并非总是需要线缆

这里我必须拓宽这道关卡的范围，因为上述所有内容都关乎有线网络，而世界上相当大比例的流量从未经过攻击者能够触及的线缆。无线电是广播式的。任何处于覆盖范围内的人都能接收，无需拼接线路，无需登陆站，无需授权令12。对于那些部分路径经由空中传输的流量，这将物理接触门槛彻底降低——而这样的流量，事实上相当多。

先从最显而易见的说起：WiFi。你的笔记本电脑发送的每一个数据帧都向四面八方辐射，任何处于覆盖范围内、持有廉价网卡并开启监听模式的人都能全部截获。有两样东西在保护你。WiFi层自身的加密（WPA2、WPA3）会对空中传输的数据帧进行加密，但那是一把独立的、寿命更短的锁，与内层的TLS不同；它只保护从你的设备到接入点这一跳，而非端到端的会话，且已被反复降级、破解或绕过（针对WPA2的KRACK攻击、针对WPA3的Dragonblood攻击、直接将所有流量通过攻击者中转的恶意双胞胎接入点）22。剥去WiFi层，剩下的就是内层的TLS，这又回到了数据采集的问题上：在已被破解的WiFi上运行的现代TLS 1.3仍具有前向保密性，仍然需要量子机器才能破解；但一个开放的咖啡馆网络，或者攻击者已掌握密钥的WPA2网络，会免费将你的加密TLS数据流拱手相送。从HNDL的角度看，WiFi嗅探是一种廉价的密文采集方式；它无法破解TLS，但对于目标方圆数百米内的任何人而言，几乎完全消除了”能否物理接触到”这道关卡。

再说移动网络。2G对窃听者来说简直是天赐礼物。IMSI捕获器（伪基站，即”黄貂鱼”）可以强迫手机降级使用已被破解的加密算法，从而以明文读取流量。4G和5G要好得多，但针对它们的降级攻击仍是活跃的研究领域，同样的道理依然成立：无线层是软肋，真正保护你的是其上承载的端到端加密。同样，采集成本低廉，而底层加密越来越成为攻击者与明文之间的唯一屏障。

还有一种情况令人惊讶，因为它颠覆了”窃听（截获）很难”这一前提，且只针对特定的高价值流量类型：卫星。2025年10月，加州大学圣地亚哥分校和马里兰大学的研究人员发表了《别抬头》（Don’t Look Up，荣获ACM CCS杰出论文奖），其研究发现近乎令人难以置信。他们在圣地亚哥的一处屋顶上架起一台800美元的现成卫星天线对准天空21，历时三年，发现他们能看到的地球静止轨道卫星链路中，约有一半携带的敏感数据完全未经加密。没有TLS，没有VPN，什么都没有。不是”加密后等待破解”，而是现在就能直接读取的明文。在明文中，他们发现了某大型移动运营商卫星回程链路上的通话和短信内容、飞越头顶的航班机上WiFi流量、军事资产追踪数据，以及（这才是HNDL真正目标中最关键的部分）运行着公用基础设施的工业控制和SCADA流量。而他们从加利福尼亚州一处固定地点只能看到约15%的在轨卫星。一个在多大洲都部署了天线的国家级行为者，能看到的远不止这些。

这与线缆的故事在两个方面有所不同，且都动摇了关于第一道关卡的那种安慰性叙事。其一，接入门槛极低：几百美元加上一片开阔的天空，而非一艘潜艇。其二，对受害者而言更为糟糕，这些流量中的大多数根本不存在”先采集后破解”的问题，因为读取它们根本不需要未来的量子机器：它们本身就是明文。量子因素只对那些已加密的卫星链路有意义；对于未加密的那一半而言，”先解密后利用”根本无从谈起，因为压根儿就没什么需要解密的。

第一道关卡的裁定。对于骨干光纤而言，这道关卡门槛很高：少数几个国家，需要物理接触或法律手段，代价不菲。但”截获很难”这一说法从来只是针对线缆而言，而大量流量在关键路径上根本不走线缆。无线电向覆盖范围内的任何人广播自身；WiFi和移动网络将攻击者所需的加密数据流廉价奉上，只剩TLS来承担真正的防护工作；而卫星，令人惊异地，对外界约一半的链路直接交出明文。因此，这道关卡的真实面貌是：对光纤骨干网而言门槛高，对任何经由空中传输的流量而言门槛低至于无。这一认识不是在软化论点，而是在强化它——因为对于本文所讨论的那些具有长期保存价值的目标（卫星链路上的使馆、卫星SCADA上的公用设施、微波中继线路上的国防站点），截获这道关卡往往是敞开的，唯一横亘在对手与有效载荷之间的，正是我们在本文其余部分所检验的那层加密。

4. 第二关：你有足够大的存储空间吗？

假设你已经装好了水龙头。现在你必须保存这些数据，可能长达十五年，只是为了等待那台机器的出现。这就是故事遭遇算术的地方，而算术并不宽容。

用一个真实的数字，而不是含糊带过。AMS-IX，即阿姆斯特丹互联网交换中心（各网络相互交换流量的大型公共对等节点之一），公布了其2025年数据13：全年流量35.66艾字节，峰值14.2 Tbit/s。法兰克福的DE-CIX是另一个同类交换中心，处理了约48艾字节14。这些不是估算值，而是运营商自己公布的数字。而AMS-IX只是其中一个交换中心，全球共有超过一千个。

假设你决定对AMS-IX进行一整年的全量采集，你需要什么？

两个没人计算成本的瓶颈。左图：对一个交换中心进行一年全量采集所需的磁带量。右图：为何末端的机器是瓶颈，而非魔法棒。临时密钥交换迫使每个会话只能单独处理。

以LTO-9磁带每盒18 TB计，35.66艾字节约需每年两百万盒磁带。以每盒约100美元计，仅空白磁带一项每年就要花费1.98亿美元，还不算任何一台驱动器或任何一份工资。一台LTO-9驱动器写入速度约为400 MB/s；要跟上传入流量，你需要2,826台驱动器全速不停地运转，一年中每天每秒不间断。那不是一间服务器机房，而是一座工厂。

然后是没人计算成本的那一环。磁带是顺序存取的，要找任何内容都得倒带。同样这2,826台驱动器，如果只负责读取，读完一整年的磁带恰好需要一整年——因为写入和读取速度相同。所以这份档案只能被读取一次，而且只有在停止采集的情况下才能完成。想检索两次？再建一座工厂。

磁盘也救不了局。以每块24 TB计，你需要约150万块硬盘，价值约6亿美元，计入冷却后耗电约11兆瓦——相当于一座小镇的用电量，只为让一年中一个交换中心的数据保持运转。如果扩展到全球流量的哪怕1%，结果就荒唐了：每年要接收若干个AMS-IX的数据量，永无止境，而这一切都建立在一台尚不存在的机器终有一天能让你读取一次的假设之上。

本文的测算未涵盖其他因素：数据压缩与解压的时间成本，以及磁带的装卸耗时。当然，还存在其他存储介质，而这只是单一节点全年数据的极端示例，但它有助于说明数据体量之庞大（此处有双关之意），以及存储和处理数据所带来的经济压力。

在此，我与迄今为止对这些经济问题最为审慎的研究产生了分歧。Blanco-Romero等人17对同一存储问题建模，并得出结论认为数据留存在”经济上微不足道”：按原始介质价格（他们引用的LTO磁带约为5美元/TB），即便是1%的全球流量采集，每年费用也约在10亿美元左右，完全在国家预算承受范围之内。他们的算术本身无误，介质成本我也不质疑。我质疑的是：介质成本并非核心约束。原始磁带是预算中最便宜的一项；真正咬人的，是实时写入所需的那座驱动器工厂、用于读取的第二座工厂、在一堆不可压缩密文中检索任何内容所需的索引体系，以及维持整套系统运行十五年所需的基础设施。他们的模型，按其自述，只孤立考察了静态介质成本，排除了拦截和检索机制的费用。就他们的研究问题——协议层面的防御——而言，这是合理的范围界定；但一旦将这些被排除的成本纳入考量，”微不足道”就变成了”只有当你已经决定这批特定流量值得进行十五年工业级投入时才负担得起”，而这不过是另一种形式的筛选。我们从对存储成本的截然相反的解读出发，却与他们得出了相同的结论（数据采集是选择性的，而非无差别的），而他们自己的建议——防御方应优先处理生命周期价值最高的数据——正是我的观点。

第二关裁决。无差别采集是幻想。不是困难，不是昂贵，而是在算术上就行不通。每一个真实的对手都必须选择保留什么，而一旦做出选择，威胁就不再针对所有人，而是开始针对某个具体的人。如果你想知道自己是否正在被采集，不要再问他们能拿走什么，而要开始问他们愿意付多少钱存储十五年。（此处以十五年作为一个任意但具说明性的时间跨度：这是一段为了投机性数据而长期持有的漫长时间。）

5. 第三关：这些数据真的能解密吗？

假设他们已经完成了监听并支付了存储费用。机器终于出现了。这堆数据能打开吗？完全取决于密钥是如何协商的，而这正是整个”先存后解”讨论中最被忽视的一点。

采集到的数据是否有价值，取决于密钥的协商方式。RSA密钥传输完全暴露于”先存后解”风险中；临时(EC)DHE则迫使每个会话单独执行一次量子计算任务。无论哪种情况，握手签名仍可被伪造，因此通信双方的身份信息依然会泄露。

旧式的RSA密钥传输是最糟糕的噩梦场景。客户端用服务器的长期公钥加密会话密钥；只需破解那一把密钥，曾与该服务器进行的每一次通话就会同时被打开。一把钥匙，开所有锁。这正是那句口号默默预设的场景，也是它听起来如此骇人的原因。

但现代TLS并非如此运作。TLS 1.3要求使用临时Diffie-Hellman，TLS 1.2配合ECDHE也实现了同样的效果。在这些协议下，每个会话都会生成自己的一次性临时密钥。服务器的长期密钥只用于对握手过程签名，从不加密内容，因此破解它对通话内容毫无帮助。要读取一个临时会话，就必须破解该会话的密钥交换，然后是下一个，再下一个。没有一锅端的捷径：一个剪毛台，一次只能处理一只羊，而且每只羊都要花一些时间。

要花多长时间？Gidney 2025年的估算3是破解一个RSA-2048密钥约需一周机器时间。椭圆曲线的成本稍低，但量级相近。因此，一百万个被截获的临时会话所需的不是”一台量子计算机”，而是大约一百万个独立的量子计算任务。即便以乐观的每天一个任务来估算，也需要数千机器年。密码相关量子计算机（CRQC）将是一种稀缺的国家级仪器，需要排队预约，就像天文望远镜一样；没有人会把你的视频流会话排进它的任务队列。这正是反直觉开始显现的地方：没错，量子机器CRQC现在已经足够强大，”快”到足以为我们运行Shor算法，但当我们考虑任务数量时（每个任务都是量子算法的一次独立执行），就可以开始理解经济逻辑的转变：需要破解的加密会话数量，乘以量子计算机运行该算法的时间——无论是目前预期的数小时到数周——仍然是一个争议点，而且随着Z的减小，这一结论无疑还会持续演变。

有两点让这不能算作好消息。第一，前向保密只保护内容，不保护签名：未来的机器仍然可以伪造被截获握手过程中的身份验证，因此通信双方的信息依然会泄露，而这往往才是最有价值的部分。第二，更糟糕的是，证书层根本没有动。如我自己的测量所证实的那样（第10节），为整个互联网提供身份验证的签名仍然是经典的RSA和ECDSA。保密性这一侧已开始迁移；身份验证这一侧尚未出发。

还有第三个隐患，它悄悄地抵消了许多已经完成的有益工作。”服务器已完成迁移”并不等同于”会话是安全的”，因为协商出的加密算法只会与两端中较弱的那一方一样现代。Dubey和Varshney15发现了一个典型案例：一家印度银行（icici.bank.in）向一台现代设备提供了QUIC协议加TLS 1.3、X25519和AES-256的组合（具备量子前向保密性、前向保密性，一切都符合预期），而同一域名从另一台设备访问时，却回退到了TLS 1.2，使用ECDHE-RSA和AES-128。同一服务器，同一天，两个客户端，两种完全不同的安全状态。这个回退会话仍然具有前向保密性，所以它不是RSA传输的噩梦场景，但这是一次没有人主动选择、也没有人察觉的回退，而且如果任一端稍旧一些，就可能降级为RSA密钥传输，从而完全暴露于采集风险之中。无法看清远端状态的迁移，是无法依赖的迁移。

6. 第四关：然后呢？

这是没人谈论的那道关卡，也是大多数数据堆倒在这里的那道关卡。想象一下：你监听了一家大型零售银行光纤线路，采集了该银行网站一整年的所有TLS会话——数百万客户的登录、查询余额、转账记录。你全部存了下来。十五年后，机器终于来了，你耗费巨额CRQC资源，将它们全部解密。恭喜你。你得到了什么？2026年就已过期的会话Cookie。密码已经轮换了三次，其中大多数现在还加了多重身份验证。十年前的账户余额。你花费了巨额代价，得知了某人在2026年的某个周二上午查询了一次余额。

里面确实存有一些持久性数据（姓名、出生日期、身份证号码），但这不过是废石山中的一道薄矿脉，你还得从数以百万计的独立会话中将其拼凑还原。与此同时，同样的信息就结构化地存放在银行客户数据库里，经过索引、保持最新，只需一次入侵即可取得。所以这里有个问题本该被更频繁地追问：既然整个储罐就停在前方的工厂里，为何要在闸门前守候十年，接住奶罐车滴落的点滴，还妄想有朝一日将它们归拢复原？

数据有其保质期，且差异悬殊。会话 Cookie 的价值不过一小时；密码，几个月；卡号，直至到期为止；银行账号，数十年；身份证号，终身有效；指纹或虹膜，终身有效且无法重新签发；基因组，则是终身有效，外加所有亲属，且永不过期。一份外交电报的尴尬可持续四十年；一份武器设计图纸比绘制它的工程师活得更久。”先存后解”只在保质期较长的场景下才有意义。其他地方，粮食在机器到来之前就已在库房中腐烂。

7. 第五道关卡：究竟谁会真的费心一试？

将前两道关卡合并来看——数量对比保质期——画面会迅速变得清晰。以下是几个实际案例，并附上具体的操作逻辑。

谁会真的费心一试？数量对比保质期。左上角是收割有意义的区域：量少，且永久保存。右下角是口号叫得最响、实则最无意义的地方。各位置均为数量级判断。

大使馆链路。目标：外交使团与其外交部之间的加密隧道。截获方式：本地互联网服务提供商，或其线路所经过的交换节点。如果你是东道国，这不过是一个电话，谈不上什么行动。而若该使团位于偏远驻地并通过卫星回程传输（许多使团确实如此），对手甚至无需东道国配合：一口碟形天线加一个楼顶就够了（第3节）。数量：极小，每天一两个 GB；五十年的数据放在一个书架上就装得下。保质期：数十年。结论：这是教科书级别的案例，几乎可以肯定，每个国家的大使馆此刻都遭受着这种攻击。如果你负责管理一个外交部却仍未迁移，你就是这个口号存在的原因。

国防承包商。目标：主承包商与分包商之间的站点间 VPN。数量：可控，每年数十 TB 的 CAD 和测试数据。保质期：今年设计的机体将在 2075 年仍在飞行。结论：可行，且值得为之。数据量小，记忆久长。

零售银行。目标：所有消费者流量。数量：每年 PB 级。保质期：绝大部分内容为数小时至数月。结论：不值得。你每年要花上亿资金购买磁带，最终换来的不过是一些 2026 年的密码。不如直接去盗取数据库——说不定已经有人动手了。

基因组学实验室。目标：流向云存储的测序数据。数量：单个基因组在合理覆盖率下原始数据约达数百 GB；一个繁忙的中心每年产生 PB 级数据。保质期：永久，且涉及受测者的整个家族。结论：这是本文中最有价值的目标，但仅就数量而言，传输中截获仍然无从下手。然而，若直接窃取静态数据库，情况骤然改变：六十 TB 数据，保质期无限。这正是上图中那支箭头的指向，也是图上最重要的移动方向。

8. 羊毛已在仓库之中

这让我们来到”先存后解”中一个远未获得足够关注的部分。过去十年里每一次大规模数据泄露，都在别人的存储设备中留下了加密的档案：人事档案、医疗保险公司、信用机构、连锁酒店，这些数据想必仍在那里，等候着与截获光纤上完全相同的那台机器。而这是一个远比截获传输更优越的目标，原因有三。

其一，无前向保密性。静态数据由长期密钥而非每次会话的一次性密钥保护；只需破解一次密钥，整个档案库便全数洞开。这在默认情况下就是 RSA 密钥传输的场景：一锅端，一次搞定。其二，筛选问题已然解决。盗取基因数据库的对手无需翻山越岭地筛选。分类、索引和去重工作已由受害者代劳。第二道关卡的难点已由受害方完成。其三，保质期通常极为漫长：一份盗取的基因组在 2045 年不会过时。

这一切都不需要潜水艇。你只需要一封钓鱼邮件，让它落入某位毫无戒备的员工手中。这正是能够实施静态数据”先存后解”攻击的行为者数量远超能够截获电缆者的原因，也是大多数迁移建议中优先级顺序完全颠倒的原因。所有人都在山野间追逐羊群；那整批羊毛（加密数据、数据库）早已打包存放在门洞大开的仓库里。

9. 我们仍不知道的事

坦诚说明局限所在：第3至第8节中的所有推论均来自一份公开记录，而这份记录在设计上就是不完整的。机密项目自然保密。已披露的材料年代久远，大多来自2013年，而技术已今非昔比。存储成本在下降；量子资源估算的下降速度更快。这里的任何运算都可能发生数量级的偏移，部分结论也会随之改变。唯一不属于推测的，是当下实际部署在线路上的情况，因为那是可以被测量的。于是我付诸实施，而这让整个论点更加清晰——它告诉我们，在哪道关卡上防御已占上风，在哪道关卡上战斗甚至尚未开始。

10. 丈量围场

当我开始扫描互联网、为本文收集当前量子安全态势的研究数据时，我所能找到的唯一可比较的已发表成果，是一项涵盖约32,000个域名的单视点研究15。（此处所谓”视点”，仅指扫描发起的位置。单视点扫描从同一位置向所有服务器发问；多视点扫描则从多个位置发问，以捕捉那些根据请求来源地不同而给出不同回应的服务器——这通常是因为某个全球 CDN 正在逐区域推送某项设置。）我的计划是扫描范围更广，并同时从多个视点出发，以观察服务的回应是否取决于接听的区域前端。就在此时，Wickramasinghe 等人16发表了一项互联网规模的纵向研究：在2025年7月至2026年3月间，历经三轮，从十一个视点出发，对百万个域名进行了逾二十亿次 TLS 握手分析。这是一项在每个维度上都比 qgrove 更大规模、更严谨的测量。因此，我将以下内容定位为独立印证：一项基于不同基础设施构建的、规模较小的单轮扫描，却得出了相同的数字。

我构建了 qgrove20——一款运行于全球边缘网络的扫描器，它对每个域名发起原始连接，并读取服务器实际选择的密钥交换组。这一单一数值决定了一个被捕获的会话是否面临”先存后解”风险，且可直接从握手的明文部分读取，无需解密任何内容。该扫描器为开源项目，以下所有数据均可从已发布的数据集中复现。扫描目标共计116,589个域名，采用多种方法和来源进行筛选。

正在推进的部分：握手（用于机密性的密钥交换）

在可访问且支持现代 TLS 的服务器中，35.5% 已协商采用混合后量子密钥交换：经典 X25519 曲线与 ML-KEM-768 的配对——这正是当前版本 Chrome 所建立的组合。对于一项如此近期才最终确定的标准而言，这是一个相当高的数字，且仍在攀升。但35.5%是从边缘节点测量所得，而边缘节点无法看到大型 CDN 背后的站点。当我通过另一种方式重新探测这些站点以填补这一盲区时，画面发生了急剧转变：由 CDN 托管的群组几乎达到100%混合，因为该 CDN 一次性为所有人开启了后量子密码学。将两者合并后，总体估算上升至61.1%。两个数字都是真实的，但含义各异。实事求是的结论是：仅从该 CDN 边缘进行的扫描系统性地低估了后量子密码学的覆盖率，因为互联网上后量子密码学普及率最高的站点，恰恰是其结构上无法探及的那些。

两个层面的迁移速度截然不同。左图：混合后量子密钥交换，边缘可测量值与总体估算值之对比。右图：证书签名，迁移尚未启动。来源：qgrove，2026年7月。

停滞不前的部分：签名（用于身份验证）

现在来看另一半，也是令人担忧的部分。我检查了31,839张证书的签名算法。使用后量子签名的数量为零——不是”极少”，而是零。整个 Web 的身份验证完全依赖经典的 ECDSA 和 RSA，而未来的量子计算机伪造这两者，就如同破解旧式密钥交换一样轻而易举。机密性层面的迁移已然启动；身份验证层面却连一步都未曾迈出。这并非我样本的特异之处：先于我的单视点研究15和与我同期进行的互联网规模研究16都报告了后量子证书同样的零值，而架构评审18解释了为何签名侧是更艰难、更缓慢的工作：它需要拖动整个证书颁发机构层级体系以及每一个验证客户端随之前行。这是最值得铭记的分野：加密对话与证明身份是两项不同的工作，由两种不同的数学来完成，而目前只有其中一项正在被修复。

另外两项发现，均具有低调的实用价值

首先，谈谈各行业的情况。你可能以为安全意识最强的行业（银行、国防、政府）会走在前列。然而事实并非如此。在我标记的每个行业中，混合PQC采用率均在27%至39%之间，领先者是综合性热门网站和CDN控制平面，而非金融业（28%）或国防业（29%）。采用率的驱动力并非谁最需要它，而是谁家的CDN开启了这项功能。这一结论在所有独立测量中始终如一。规模最大的同期研究对此给出了最为精确的量化：约70%的后量子TLS流量归因于Cloudflare和Fastly这两家提供商16，而过渡期截止日期最早（2030至2031年）的司法管辖区，其采用率反而低于截止日期更晚的地区，原因在于政策紧迫性与CDN市场份额并无关联。另一项研究在更底层的协议版本层面发现了同样的滞后现象：即便是普通的TLS 1.3，在政府（70%）、国防（68%）、能源与关键基础设施（76.5%）及电信（78.6%）15等领域的采用率仍然落后，而云计算和社交媒体则高达95%至100%。三项不同的扫描，呈现出相同的规律：如果你的服务提供商拨动了那个开关，你就受到了保护；如果没有，你就暴露在外，而你所处的行业与此几乎毫无关系。

其次，谈谈我构建多视角测量体系所要探究的核心问题：服务器的响应是否会因请求来源地而有所不同？我从遍布北美、欧洲、日本和新西兰的八个地点，对1,787个域名进行了探测。因地点不同而给出不同响应的域名占比为0.17%，即三个域名。经过复测，其中两个实为普通负载均衡器的抖动，而非地理位置因素所致，最终约一个域名（共1,787个中的一个）存在真实且稳定的区域性差异。在这一问题上，独立核验颇具说服力：那项针对百万域名、来自十一个视角的大规模研究，报告了规模相同的同类效应：其稳定样本中仅0.05%的域名会根据客户端位置协商出不同的默认值16，研究者与我的判断一致，将其归因于CDN配置在各地区间的逐步传播。两个研究团队，测量体系迥异，结果分别为0.05%和0.06%：扫描来源地在本质上无关紧要。

qgrove扫描结果的数据及其局限性。 数据集：qgrove20，116,589个唯一域名，共202,258次测量（对所有域名进行广度遍历，并对4,000个域名子样本进行多视角深度探测），2026年7月，已全量发布。需预先说明的注意事项：（1）仅限边缘节点的数据（35.5%）在构建方式上存在低估，而综合数据（61.1%）融合了两种测量方法，在合并前两者的校准一致率已达99.9%；（2）约四分之一的可达服务器仍仅支持旧版TLS，完全无法支持PQC，这正是混合份额在现代TLS服务器中为35.5%、而在所有可达服务器中仅为27%的原因——两项数据均已如实报告，均未加以美化；（3）证书及无前向保密的相关数据来自大样本，而非全部域名；（4）经过筛选的行业列表是可信的核心样本，并非详尽的普查结果。

11. 综合归纳

“现在收割，日后解密”这一口号方向正确，但夸大了威胁的规模。HNDL威胁是真实存在的：各国确实拥有监听手段，确实保留了所截获的内容，而他们所等待的机器，即便尚未问世，在书面上也正一年年地逼近。然而，只有在极为有限的情况下，这一威胁才能同时跨越全部五道关卡——即数据量小到足以存储数十年，且内容在被开启时仍具价值：外交通讯、国防项目、生物特征或基因组数据，以及少量长期存在的机密。对于互联网及其大多数用户而言，这一威胁在第二道或第四道关卡便已消弭，并非因为加密技术经受住了考验，而是因为经济账根本算不过来。存储它的成本远超明文本身的价值，而等到你能够解读时，它早已失去了时效性。

与此同时，HNDL中真正令人警惕的变体几乎无人提及，因为它不涉及光纤窃听，也不适合做成精美的幻灯片：那就是某人已经带走的加密存档。没有前向保密，没有数据量难题，没有潜艇，其”保质期”以人的一生来计量。

因此，实际建议既不光鲜，也无甚魅力：弄清楚你的哪些数据的X值以数十年计。对大多数机构而言，这是一份短短的清单，而且通常不是供应商向你报价的那份。优先迁移这些数据（所有处于静态且受长期密钥保护的数据，以及传输过程中仍在使用RSA密钥传输的数据），然后以合理的节奏完成其余部分。同时，留意一个尚无人涉足的领域：文献中的所有测量结果，包括我自己的，都显示后量子密钥交换已在网络的大片区域部署并持续增长，但后量子证书签名却几乎为零。迁移的机密性部分进展顺利，主要是因为几家大型CDN拨动了一个开关；而认证性部分尚未启动。量子机器一旦问世，伪造签名与破解密钥同样轻而易举，因此一个已迁移握手协议但未迁移证书的网络，无异于一栋换了新锁、门却已洞开的房子。这是下一块待攻的领域，而眼下它连一道围栏都还没有。

这一切并非主张袖手旁观，而是主张在购买驱虫药之前先清点羊群。基于真实风险敞口的迁移，是花得值当的钱；跟着口号走的迁移，只会让你落得一个代价高昂的浸浴、一圈满是蠕虫的围场。

qgrove扫描器、域名列表、完整方法论及202,258行数据集均可在github.com/spinsphere/qgrove获取。所有数据均为作者本人所有。有关情报项目的论述依据公开报道、诉讼记录及解密文件；作者不掌握任何非公开信息，亦无此类暗示。

Kaysec 提供后量子就绪性及密码学敏捷性方面的咨询服务，主要服务于数据具有本文所述实际存续价值的机构。kaysec.spinsphere.xyz

参考文献

  1. NIST. FIPS 203 (ML-KEM)、FIPS 204 (ML-DSA)、FIPS 205 (SLH-DSA)：后量子密码学标准。 2024. csrc.nist.gov
  2. M. Mosca. “量子计算机时代的网络安全：我们准备好了吗？” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “如何用不足百万个含噪量子比特分解2048位RSA整数。” arXiv:2505.15917, 2025年5月. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen（澳大利亚悉尼Iceberg Quantum）. “Pinnacle架构：利用量子LDPC码将破解RSA-2048的成本降至10万个物理量子比特。” arXiv:2602.11457, 2026年2月. 为仿真与资源估算，非硬件实证。 arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi（Google Quantum AI / 加州大学伯克利分校），J. Drake（以太坊基金会），D. Boneh（斯坦福大学）. “保护椭圆曲线加密货币免受量子漏洞威胁：资源估算与缓解措施。” arXiv:2603.28846, 2026年3月. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0；英国NCSC, 为后量子密码学做准备的后续步骤；ANSSI, 后量子密码学立场文件。
  7. “常春藤铃”行动，1971—1981年. USS Halibut号，鄂霍次克海. 感应窃听，非侵入式；由潜水员每月取回数据，后改用RTG供电. 参见Sontag与Drew所著《盲人的博弈》（1998年）。
  8. M. Klein宣誓声明及证据，Hepting诉AT&T案（加利福尼亚州北区联邦地区法院，2006年）；EFF案件材料. 641A室，福尔瑟姆街611号；2003年投入运行，2006年曝光；约16路分叉骨干电路（合计约15 Gbit/s），Narus STA 6400.
  9. R. Gallagher 与 H. Moltke. “NSA在美国八个城市隐藏的间谍枢纽。” The Intercept, 2018年6月. theintercept.com
  10. GCHQ TEMPORA项目披露，2013—2014年（《卫报》；《明镜》周刊）. 200余个探针，每路10 Gbit/s，理论日容量约21.6 PB；内容缓冲约3天，元数据约30天.
  11. MUSCULAR项目披露，2013年（《华盛顿邮报》）. 数据中心间链路；TLS在公共边缘节点终止.
  12. Lawfare，”评估俄罗斯对海底电缆的威胁”，论及为何登陆站接入使常规深海窃听缺乏吸引力.
  13. AMS-IX 2025年数据：年流量35.66 EB，峰值14.2 Tbit/s. ams-ix.net
  14. DE-CIX法兰克福2025年流量约48 EB；法兰克福峰值18.22 Tbit/s；全球平台峰值25 Tbit/s，2025年4月.
  15. A. Dubey 与 V. Varshney. “互联网后量子就绪性测量研究：2026年。” arXiv:2606.16473, 2026年6月. 对32,011个域名进行单视角扫描；TLS 1.3占52.41%，TLS 1.2占15.70%，QUIC占31.89%；49.3%采用混合KEX，PQC证书占0%；记录了固定域名上的客户端TLS版本回退现象. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “直面差距：后量子TLS部署中的政策与现实。” arXiv:2607.29005, 2026年7月. 新南威尔士大学悉尼分校与佐治亚理工学院. 纵向研究，三轮次，2025年7月至2026年3月；逾20亿次握手，100万个域名，11个视角点. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “关于”现在收割、以后解密”攻击的实际可行性研究。” arXiv:2603.01091，2026年3月。马德里卡洛斯三世大学。arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “抗量子网络：原语、协议与最佳实践综述。” arXiv:2605.04129，2026年5月。arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “后量子密码学与量子安全：综合调查。” arXiv:2510.10436，2025年。德克萨斯州立大学。arxiv.org/abs/2510.10436
  • qgrove：分布式多视角 TLS 后量子态势测量。数据集与方法论，2026年7月。github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “别抬头看：GEO卫星上存在明文传输的敏感内部链路。” 第32届 ACM SIGSAC 计算机与通信安全会议论文集（CCS ’25），台北，2025年10月（杰出论文奖）。接收设备约800美元；观测到的50%的GEO卫星链路传输明文IP流量，包括含通话和短信内容的蜂窝网络回传、公用事业工业控制/SCADA、军事资产追踪及机载WiFi。satcom.sysnet.ucsd.edu
  • 关于WiFi截获及其局限性：WPA2/WPA3仅保护无线跳段，而非端到端会话；参见KRACK（Vanhoef & Piessens，2017年）和Dragonblood（Vanhoef & Ronen，2020年）攻击，以及恶意双胞胎/降级攻击类型。无线电的广播特性使密文采集成本低廉；TLS仍是承重层。