后量子密码与量子安全迁移研究报告

后量子密码与量子安全迁移研究报告

摘要

随着量子计算技术的快速演进，具备密码学攻击能力的量子计算机（Cryptographically Relevant Quantum Computer，CRQC）一旦问世，将从根本上颠覆现行基于大整数分解与椭圆曲线离散对数难题的公钥密码体系（RSA、ECC/ECDSA、DH 等）。为抢在“Q-Day”之前完成安全迁移，全球正以前所未有的速度推进后量子密码（Post-Quantum Cryptography，PQC）的标准化、政策化与产业化部署：美国 NIST 已于 2024 年 8 月发布首批三项 PQC 标准（FIPS 203、FIPS 204、FIPS 205）；Google 将内部 PQC 迁移目标提前至 2029 年；Android 17 已开始集成基于 ML-DSA 的后量子数字签名；金融、政务、加密货币与云基础设施等行业均在加速评估并试点迁移路径。本报告系统梳理量子威胁机理、全球标准化进程、主要经济体政策路线图、产业生态迁移实践与重点行业路径，剖析迁移的工程挑战，并结合中国商用密码体系与“抗量子计算密码”研究布局提出实施建议，供产业决策与安全规划参考。

1. 研究背景与问题界定

1.1 为什么“现在”就必须迁移

密码迁移的紧迫性并非来自量子计算机已经成熟，而是来自两个叠加的时间逻辑：一是“先囤积、后解密”（Harvest Now, Decrypt Later，HNDL）攻击范式，攻击者此刻即可截获并长期存储加密流量，待未来量子计算机就绪后统一解密，这使一切需要长期保密的数据在“当下”就已暴露风险；二是密码体系迁移本身的“长周期”属性——从标准制定、算法实现、协议改造、硬件适配到全行业互操作验证，往往需要十年乃至更久，远长于人们直觉上的“技术部署周期”。NIST 与业界普遍估计，量子威胁的“有效窗口”正在收窄，若不在未来数年完成关键系统的迁移规划，一旦 CRQC 问世，社会将面临“一夜之间旧密码全部失效”的灾难性场景。换言之，密码迁移的“起跑线”不在于量子计算机何时落地，而在于“数据保密期”与“系统寿命”在何时跨越量子威胁到来的时间线——对许多长周期系统而言，这个临界点已经在当前。

1.2 量子计算演进与威胁窗口的“不可预测性”

量子计算正处于从“含噪中等规模量子”（Noisy Intermediate-Scale Quantum，NISQ）向“容错量子计算”过渡的关键阶段。当前 IBM、Google 等企业的量子硬件仍无法破解真实加密，其逻辑量子比特的规模与纠错能力尚不足以运行具备实用价值的 Shor 算法。然而，威胁评估的困难恰恰在于其“下修趋势”：近年来，破解主流公钥密码所需的资源估计持续下修——例如 2026 年 3 月 Google Quantum AI 的白皮书估计，破解比特币与以太坊所用密码所需的物理量子比特数已由此前约 900 万的估计大幅下调至约 50 万，另有研究机构声称在更低比特数下即可在更短时间内完成同类攻击。这种“估计值持续收窄”的趋势，叠加摩尔式硬件演进与资本大规模投入，正是各国与科技企业不断把迁移期限提前的深层原因。一个审慎的安全决策不应建立在“量子计算机还很遥远”的乐观假设上，而应建立在“最坏情形下仍可从容应对”的稳健原则上。

1.3 研究对象与报告范围

本报告聚焦“后量子密码”与“量子安全迁移”两条主线：前者指在经典计算机与量子计算机威胁下均保持安全的新一代密码算法与协议；后者指把既有信息系统从量子脆弱算法迁移至抗量子算法的完整工程过程，涵盖密钥管理、证书体系、协议栈、硬件与供应链改造。报告以全球视角展开，并重点结合中国商用密码体系与抗量子研究布局，为读者提供从“为什么做”到“怎么做”的全景判断。

2. 量子威胁的技术机理

2.1 Shor 算法与公钥密码的“结构性崩塌”

现代公钥密码的安全性建立在某些数学问题的“计算困难性”之上：RSA 依赖大整数分解，Diffie-Hellman 与 ECC/ECDSA 依赖（椭圆曲线）离散对数问题。经典计算机上这些问题需要指数级时间求解，因而构成安全边界。然而，1994 年 Shor 提出的量子算法能够在多项式时间内求解大整数分解与离散对数问题，意味着一旦具备足够规模且容错的量子计算机，RSA、DH、ECC 等现行主流公钥算法将在“数小时到数天”内被破解。RFC 9958 明确指出：Shor 算法对非对称密码的威胁远大于对对称密码的威胁，TLS、证书认证、数字签名等赖以成立的基础将随之失效。需要强调的是，量子威胁并非“削弱”现有公钥密码，而是从数学假设层面“结构性”地使其失效——这不是修补漏洞可以解决的问题，而必须替换底层算法。这一判断决定了后量子迁移的本质：它不是一次常规的算法升级，而是一场涉及全局密码基础设施的“换轨”。

2.2 Grover 算法与对称密码

对称密码（如 AES）与哈希函数（如 SHA）所受影响相对温和。Grover 算法可对密钥空间进行二次方加速搜索，使有效密钥强度“减半”。因此，应对方式是“把密钥/参数长度翻倍”：例如 AES-128 需提升到 AES-256，SHA-256 的碰撞安全级别需相应上调。这意味着对称密码体系可通过参数升级平滑迁移，而非推倒重来，这也是业界普遍认为“对称密码只需增强、公钥密码必须替换”的原因。即便如此，对称密码的升级仍涉及协议协商、硬件随机数、密钥派生等配套环节，绝非“改个参数”那般简单，仍需纳入整体迁移清单。

2.3 “先囤积、后解密”（HNDL）

HNDL 是促使迁移“现在就做”的核心逻辑。攻击者可先截获并长期保存当前加密传输的数据，待未来量子计算机就绪后再批量解密。对于需要保密十年乃至数十年的信息——金融交易、医疗记录、政务机密、密钥交换密文等——其“保密有效期”往往长于量子计算机的问世预期，因此当下传输的数据已经处于“未来可解”的现实风险之中。情报机构与安全厂商均提示：加密数据的“囤积”行为可能已经发生，这使得任何长周期敏感数据的迁移优先级被显著拉高。从操作层面看，HNDL 意味着“迁移越晚、暴露越多”：每拖延一年，就有更多被截获的密文在量子时代变得可读，因此对长周期数据而言，迁移的“机会成本”随时间单调递增。

2.4 Q-Day 时间线与威胁窗口

“Q-Day”指 CRQC 足以破解主流公钥密码的时点，其精确时间无法预测。当前量子硬件仍处于 NISQ 阶段，尚不足以破解真实加密；但威胁评估的“下修趋势”值得高度警惕——破解成本估计持续收窄，且各国投入持续加码。学界与业界对 Q-Day 的时点判断从“2030 年代后期”到“更早”不一，形成广泛的不确定区间。对安全规划者而言，Q-Day 的不确定性恰恰构成“必须现在行动”的理由：一个负责任的迁移策略，应当对“Q-Day 提前到来”保持稳健，即在最坏情形下依然能够安全过渡，而非赌一个乐观的时点。

3. 全球标准化进程

3.1 NIST 后量子密码竞赛与首轮标准

作为全球 PQC 标准化的“主引擎”，美国 NIST 自 2016 年发起后量子密码标准化公开征集，历经多轮全球评审、密码分析与算法淘汰。2024 年 8 月 13 日，NIST 正式发布并批准三项联邦信息处理标准（FIPS），这是全球首批定稿的后量子密码标准：

其中 ML-KEM 密钥尺寸相对较小、运算速度快，被定位为“通用加密首选”；ML-DSA 作为数字签名主力，已被 Google Android 等大规模系统率先采用；SLH-DSA 基于哈希、安全性假设更保守，适合对安全边际要求更高的场景。需要指出的是，三项标准均基于“模块格”（Module-Lattice）或“哈希”等被认为可抵抗量子攻击的数学结构，其安全根基与 RSA/ECC 所依赖的大整数分解、椭圆曲线离散对数截然不同。

3.2 算法特征与选型对比

不同 PQC 算法在安全强度、密钥/签名尺寸、运算性能与保守性之间存在权衡，选型需结合场景：

这种“多样化”设计是有意为之：NIST 与业界均强调，不应把所有安全押注在单一代数结构上，以免该结构被未来研究发现共性攻击。因此，SLH-DSA 的“保守冗余”与 ML 系列的“性能效率”共同构成抗量子算法的纵深防御。

3.3 FALCON 与后续标准

在首批三项标准之外，NIST 还选定 FALCON（基于格，签名尺寸更小）作为候选，计划以 FIPS 206 形式发布；后续亦在推进其他备用算法与基于不同数学结构（如同源密码、多变量密码、编码密码）的方案评估，以保障“密码多样性”，避免单一代数结构被共同破解的系统性风险。NIST 还在制定配套的迁移指南（如 NIST IR 8547）与阶段性弃用时间表，为行业提供可执行的迁移节奏。

3.4 国际标准生态

围绕 NIST 标准，国际标准化组织（ISO/IEC）同步推进相关国际标准；IETF 通过 RFC 9958 等文档明确了 CRQC 对协议栈的影响分析，并在 TLS、X.509 证书、IPsec、SSH 等协议中推进 PQC 算法与混合密钥交换（hybrid key exchange）的标准化。业界普遍采用“经典算法 + PQC 算法”的混合模式，在保留向后兼容性的同时叠加量子安全保护，避免单一切换带来的互操作断裂。国际标准生态的成熟，是降低迁移风险、保障全球互操作的基础条件。

4. 主要经济体政策与路线图

4.1 美国：行政命令驱动的硬性期限

美国通过行政力量为迁移设定了硬性时间表。2026 年 6 月 22 日，总统签署第 14412 号行政令《保护国家免受先进密码攻击》，为联邦机构摆脱脆弱密码算法设定了硬性期限；美国联邦政府自身关键系统的 PQC 迁移期限设为 2035 年。此前的 CNSA 2.0 商用国家安全算法套件与 NIST IR 8547 亦规划了旧算法在 2030—2035 年间的弃用路径，形成“标准—合规—期限”三位一体的强制迁移框架。行政命令的硬性性质，意味着迁移不仅是技术选择，更是合规义务，这一模式对其他国家的政策制定具有显著的示范效应。

4.2 欧盟：路线图与资金投入

欧盟网络与信息安全合作小组（NIS Cooperation Group）2025 年 6 月发布路线图，敦促成员国于 2026 年完成风险评估并启动 PQC 迁移，目标在 2030 年前完成关键系统的全面过渡；2025 年 7 月通过的《欧洲量子战略》通过“量子技术旗舰”计划在未来十年投入至少 10 亿欧元。欧盟强调“密码敏捷性”（cryptographic agility）与成员国协调，以降低碎片化迁移带来的系统风险。欧盟的路线图体现了“协调一致、分阶段推进”的治理思路，既避免各自为政，也通过资金与标准投入为产业提供确定性预期。

4.3 G7 与金融监管（BIS）

金融体系因其长周期数据与系统性风险被列为迁移重点。2026 年 1 月，G7 网络安全专家组（CEG）发布《金融部门后量子密码迁移协调路线图》，鼓励成员以协调一致的方式迁移至抗量子密码并建立密码敏捷性；国际清算银行（BIS）亦发布《为支付系统做好量子防护》等研究，评估央行数字货币与支付结算系统的量子风险。多家监管机构已联合银行在真实钱包上试点基于 ML-DSA-65（FIPS 204）的多方计算（MPC）签名。金融监管的介入表明，后量子迁移已从“科技议题”上升为“系统性金融稳定议题”，其重要性与早期“加密合规”相当。

4.4 中国：政策信号与体系化布局

中国将“抗量子计算密码关键理论与技术”纳入国家密码管理局 2026 年 1 月发布的研究指南（第 55 号公告）重点领域，覆盖基于编码、同源、模格（LWE/NTRU）等代数结构的抗量子算法研究；《关键信息基础设施商用密码使用管理规定》明确要求关基运营者对商用密码保障系统“同步规划、同步建设、同步运行”；“十五五”规划将量子科技列为六大未来产业之首。在产业端，中国移动发布《抗量子密码迁移白皮书》，提出“自主可控+弹性兼容”的抗量子安全韧性网络架构；中电信量子集团发布全球首个融合 QKD（量子密钥分发）与 PQC 的分布式密码体系。中国正在探索“QKD + PQC”融合的混合加密体系，在安全性与兼容性之间取得平衡。

5. 产业生态迁移实践

5.1 Google：将迁移目标提前至 2029

Google 是全球 PQC 迁移最激进的科技巨头之一。2026 年 3 月，Google 在官方博客明确将内部 PQC 迁移目标设定为 2029 年，理由是“量子前沿可能比预想更近”；Google Cloud 同步发布路线图，计划在 2029 年前实现全面的 PQC 就绪（full PQC readiness），并持续投入至 2030 年代以配合更广泛的行业指引与全球标准演进。Google 还更新了其量子威胁模型，将公钥证书、密钥交换等列为优先改造对象，尤其加速抗量子数字签名在公钥证书体系中的部署。Google 的举措具有双重意义：既是自身安全战略的落地，也因其体量与生态影响力，客观上为全球科技产业设定了“事实上的时间标杆”。

5.2 Android 17：ML-DSA 落地下沉

作为全球装机量最大的操作系统（活跃设备约 36 亿台），Android 的 PQC 实践具有风向标意义。Android 17 在多个层面集成后量子安全：其一，新增 v3.2 APK 签名方案，将经典签名（RSA/椭圆曲线）与 ML-DSA 签名结合为“混合签名”，既抵御未来量子攻击，又保持对依赖经典算法的存量应用的兼容；其二，Android Keystore 原生支持 ML-DSA，允许应用在安全硬件内生成并存储量子安全签名密钥，并通过标准 KeyPairGenerator 接口暴露 ML-DSA-65 与 ML-DSA-87 两种变体；其三，PQC 能力延伸至 Verified Boot（验证启动）与 HPKE 混合加密等底层安全机制，使量子防护从“应用层”下沉到“系统与硬件层”。这种“由下而上”的部署策略，确保即使个别应用尚未改造，系统的信任根与启动链也已具备量子安全能力。

5.3 云基础设施与浏览器生态

云服务商与浏览器厂商构成了互联网安全的“基础设施面”。Google Cloud、微软 Azure、AWS 等主流云厂商均已发布 PQC 路线图，在 TLS 密钥交换、证书签发、密钥管理等环节引入混合方案；Chrome、Firefox、Safari 等浏览器已或正在支持混合密钥交换协议，以保障全球用户在量子计算机问世前的“最后一公里”加密链路安全。这一“底层先行”的策略，使普通终端用户无需显式操作即可逐步获得量子安全保护。云与浏览器的杠杆效应在于：一次底层改造即可让海量用户与租户“无感升级”，是迁移效率最高的环节之一。

5.4 芯片与密码硬件

后量子安全的产业化竞争正“下沉至芯片层”。在商密安全领域，国内厂商已推动抗量子能力进入芯片与可信计算硬件：例如问天量子与海光信息联合发布一体化抗量子机密计算安全平台，将抗量子算法与机密计算结合；多家国产安全芯片厂商规划或已实现 ML-KEM、ML-DSA 等算法的硬件加速。硬件层面的原生支持，是降低 PQC 性能开销、支撑大规模部署的关键前提——尤其对于 ML-DSA 这类签名尺寸较大、计算相对繁重的算法，硬件加速直接决定了其在低功耗终端与高频场景的可用性。

6. 重点行业迁移路径

6.1 金融行业

金融业是 HNDL 风险最直接、数据保密期最长的行业之一。其迁移路径呈现“监管引导 + 行业协同 + 试点先行”特征：G7/BIS 提供顶层框架，监管机构与银行开展 ML-DSA 钱包签名等真实试点，央行数字货币系统被列为优先改造对象；同时，金融业需建立“密码资产清单”与“密码敏捷性”机制，以便在算法标准演进时快速切换，避免长期锁定于单一算法。金融数据（交易记录、客户信息、结算密文）的保密期往往长达数十年，远超量子计算机问世的时间预期，因此金融业应被视为 HNDL 风险的最高优先级行业之一。其迁移还需特别关注跨境支付、Swift 报文等跨司法管辖区系统的互操作一致性。

6.2 政务与关键信息基础设施

政务与关基系统承载最高密级与最长周期数据，是各国迁移政策的“第一优先序”。美国通过行政令设定 2035 硬性期限；中国通过《关键信息基础设施商用密码使用管理规定》要求关基同步规划商用密码保障。政务迁移的难点在于存量系统庞大、供应链环节复杂、合规审计严格，通常需经历“密评—改造—验证—过渡”的分阶段路径。政务场景尤其强调“自主可控”与“安全可信”，算法选型与供应链治理并重，且往往涉及跨部门、跨层级的协同改造，其组织复杂度往往高于技术复杂度。

6.3 云基础设施

云作为数字化底座，其 PQC 迁移具有“一次改造、全域受益”的杠杆效应。云厂商在 TLS、证书、密钥管理服务（KMS）等共享基础设施上率先引入混合 PQC，即可使海量租户“无感升级”。核心挑战在于：跨厂商、跨地域的互操作一致性，以及混合模式下的性能与密钥生命周期管理。云环境还需应对多租户隔离、密钥轮换、HSM 集成等既有复杂性问题在 PQC 迁移下的叠加。对云租户而言，应尽早向云服务商确认其 PQC 路线图，并将自身业务系统的密钥与证书改造纳入迁移规划。

6.4 加密货币与区块链

区块链的量子风险集中于“签名”而非“哈希”：比特币使用 SHA-256 串联区块（哈希相对抗量子），但以 ECDSA 证明资产所有权（可被 Shor 算法破解）；且链上公钥一旦暴露即构成长期风险。各主流项目正规划迁移路径：如 Algorand 计划在 Q3 2026 协议版本中引入原生后量子账户与混合账户方案，在保留 32 字节地址的同时从后量子公钥哈希派生地址。稳定币与数字资产托管亦在引入搭载量子随机数芯片的加密硬件钱包，提供抗量子攻击防护。加密货币迁移的特殊挑战在于“不可篡改”与“去中心化”的治理属性——链上算法升级需要全网共识协调，历史交易的签名与地址又无法追溯性改造，因此其迁移必须在前瞻性与治理可行性之间谨慎权衡。

6.5 通信行业

通信网络横跨终端、接入、核心网与云边协同，迁移复杂度高。中国移动发布的《抗量子密码迁移白皮书》作为国内通信行业首个面向 DICT 系统的实施指南，提出“算法自主、策略敏捷、密钥泛在、模块兼容、系统集成”的核心路径，覆盖个人、家庭、政企及融合创新应用，系统构建通信行业的安全迁移战略。通信行业的特点在于“网络效应”与“规模效应”并存：接入网、信令、用户面数据保护一旦升级，可惠及海量终端，但也需处理异构设备、漫游互操作与存量终端的兼容问题，往往需要“网侧先行、端侧逐步跟上”的渐进策略。

7. 迁移的工程挑战

7.1 密钥管理与证书体系

PQC 密钥尺寸普遍显著大于经典密钥（如 ML-KEM/ML-DSA 的公钥与密文可达数百至上千字节），对密钥生成、存储、分发与撤销提出更高要求；PKI 证书体系需要支持混合签名与算法标识，涉及 CA 系统、证书透明性、HSTS 等配套改造，是迁移中工作量最大、最易被低估的环节。此外，PQC 密钥的长期存储与备份、跨机构密钥托管、以及证书续期与撤销机制，都需重新设计，以匹配更大的密钥体量与更复杂的算法标识。

7.2 混合方案与密码敏捷性

为避免“单点切换”导致的互操作断裂，业界广泛采用“经典 + PQC”混合密钥交换与混合签名。但混合方案带来协议复杂度上升、密钥管理倍增等问题；长期而言，组织应建立“密码敏捷性”能力，即把算法选择与协议解耦，使系统能够随标准演进灵活更换算法，而不必推倒重建。密码敏捷性的实现需要架构层面的前瞻设计，包括算法标识的标准化、密钥与证书的可替换性、以及可插拔的密码组件抽象层。

7.3 性能与互操作

部分 PQC 算法（尤其基于哈希的 SLH-DSA）计算开销与签名/密钥尺寸较大，在低功耗终端、高频交易、物联网等场景需权衡性能；跨厂商、跨版本的算法与协议互操作验证是确保全球生态一致迁移的前提。硬件加速、参数选型（如 ML-DSA-44/65/87）与场景适配是缓解性能挑战的主要手段。互操作测试需要覆盖握手协议、证书链验证、跨 CA 交叉认证等复杂链路，任何一环的不一致都可能导致服务中断。

7.4 存量系统与供应链

海量存量系统、嵌入式设备与供应链组件的密码改造周期长、风险高；算法升级可能波及固件、驱动、证书硬编码与既有互操作约定。组织需建立完整的“密码资产清单”，识别所有量子脆弱算法触点，按风险优先级排序迁移，并对第三方供应链的密码能力进行合规评估。供应链环节尤其隐蔽——许多设备厂商对密码算法的选择深埋于固件与硬件，终端用户难以直接替换，因此“供应链密码改造”往往成为迁移的最长短板。

8. 中国路径与商用密码体系

8.1 政策与顶层设计

中国把抗量子密码纳入商用密码与量子科技的双重战略框架：国家密码管理局第 55 号公告将“抗量子计算密码关键理论与技术”列为重点研究方向，并持续支持 QKD 协议、量子随机数等量子密码基础研究；《关键信息基础设施商用密码使用管理规定》以“三同步”要求强制关基密码保障；《人民日报》等权威平台亦系统阐述中国“QKD 与 PQC 融合”的技术路线，强调在安全性与兼容性之间取得平衡，构建面向未来的混合加密体系。中国的顶层设计体现出“自主密码 + 前沿量子 + 关基合规”三位一体的特色，既强调安全自主，也重视与国际技术演进的对齐。

8.2 产业实践

国内产业已形成“央企平台 + 芯片硬件 + 行业白皮书”的立体布局：中电信量子集团发布全球首个融合 QKD 与 PQC 的分布式密码体系并具备商用能力；中国移动发布通信行业抗量子密码迁移白皮书；问天量子与海光信息等推出抗量子机密计算平台与硬件钱包。量子智能产业联盟等行业组织亦在整合资源，推动量子金融安全与数字资产防护的商用落地。产业实践的加快，使中国在“抗量子基础设施”的自主供给能力上持续提升，为后续大规模迁移奠定了基础。

8.3 机遇与挑战

对中国而言，量子安全迁移既是安全义务，也是产业机遇：在算法“换轨”窗口期，自主可控的抗量子算法、安全芯片与密码基础设施存在巨大市场空间；同时需应对国际标准兼容、算法国际互认、以及自身密码理论（如同源、编码、多变量密码）成熟度不足等挑战。平衡“自主可控”与“全球互操作”是中长期关键命题——完全封闭的算法体系虽可保证安全自主，却可能削弱跨境互操作与全球生态对接；过度依赖国际标准又可能受制于人。如何在“安全自主”与“开放互操作”之间找到平衡点，是中国后量子密码产业化的核心战略议题。

9. 实施建议与路线图

建议一（盘点）：立即建立“密码资产清单”，摸清组织中所有 RSA/ECC/DH 算法的触点（证书、签名、密钥交换、硬件），按数据保密期与系统关键度排序。

建议二（试点）：在非关键系统优先试点混合 PQC（如 TLS 混合密钥交换、混合签名），验证性能、互操作与密钥管理流程。

建议三（架构）：以“密码敏捷性”为目标重构密钥与证书管理架构，使算法选择与业务协议解耦，为未来算法更替预留弹性。

建议四（合规）：关注监管动态（美国行政令、G7/BIS 路线图、中国商密“三同步”规定），将 PQC 迁移纳入合规与风险框架。

建议五（协同）：参与标准组织与行业联盟，与芯片、云、终端厂商协同验证，避免碎片化迁移。

建议六（供应链）：对供应商与存量设备的密码能力开展评估与改造计划，防范供应链环节的量子脆弱点。

建议的时间节奏为：2026—2028 年完成盘点与试点，2028—2030 年推进关键系统混合迁移，2030 年后视标准与威胁演进实现全面 PQC 就绪，并持续监控 Q-Day 相关信号以动态调整。同时建议建立“迁移成效度量体系”，将“抗量子覆盖率”“关键系统就绪度”“供应链改造进度”等指标纳入常态化监测，确保迁移不是“一次性项目”，而是可持续的安全治理能力。

10. 结论

后量子密码迁移不是“未来问题”，而是“当下必须开始的长周期工程”。NIST 首批标准的落地、Google 2029 年目标的设定、Android 17 对 ML-DSA 的原生集成，以及金融、政务、云、加密货币等行业的密集试点，共同标志着全球已从“要不要迁”进入“如何迁、何时迁完”的执行阶段。对中国而言，抓住算法换轨的战略窗口，坚持“自主可控 + 弹性兼容 + 密码敏捷”的技术路径，统筹商密体系与量子科技布局，是构建面向量子时代的数字安全底座的关键。唯有以“先囤积、后解密”的现实威胁为起点，以标准化、政策化、产业化三轨并进，才能确保在 Q-Day 到来之前完成从容、有序且可持续的安全迁移。量子安全的本质，是在“不确定性”中建立“确定性”的安全底线——这正是本报告试图传递的核心判断。

数据来源

1. NIST，Post-Quantum Cryptography（CSRC），FIPS 203/204/205 标准发布公告，2024 年 8 月。

2. NIST，Federal Register Vol.89 Issue 157，三项 FIPS 标准批准通知，2024 年 8 月。

3. Google，The Keyword，《Google's timeline for PQC migration》，2026 年 3 月。

4. Google Cloud，PQC in Plaintext: Google Cloud's post-quantum cryptography roadmap，2026 年 8 月。

5. Android Developers，Android 17 功能与 API、版本说明（v3.2 混合 APK 签名、Keystore ML-DSA 支持）。

6. Google，Security for the Quantum Era: Implementing Post-Quantum Cryptography in Android，2026 年 3 月。

7. RFC 9958（IETF），CRQC 对密码协议的影响分析；draft-ietf-pquip-pqc-engineers。

8. U.S. Department of the Treasury，G7 Cyber Expert Group Statement on Advancing a Coordinated Roadmap for the Transition to PQC in the Financial Sector，2026 年 1 月。

9. Bank for International Settlements (BIS)，Quantum-proofing payment systems；欧盟 NIS Cooperation Group 2025 年 6 月路线图、《欧洲量子战略》。

10. 国家密码管理局公告（第 46 号、第 55 号），量子密码与抗量子计算密码研究方向。

11. 《关键信息基础设施商用密码使用管理规定》；中国移动《抗量子密码迁移白皮书》（2025）；中电信量子集团全球首个融合 QKD 与 PQC 分布式密码体系（2025）；《人民日报》相关论述（2026 年 2 月）。

12. Fintechly、Safeheron 等，监管机构与银行 ML-DSA 钱包签名跨区域试点报道，2026 年 8 月。

13. arXiv（2608.22924、2604.02591 等）与产业白皮书，加密货币 PQC 迁移路径与量子攻击成本估计。

免责声明

本报告由淞基科技（上海）有限公司、淞基信息通信研究院、淞基未来信息网研究部联合编写，仅用于信息交流与行业研究参考，不构成任何投资、采购、合规或法律建议。报告所引用的第三方数据、标准与时间节点均来自公开可查来源，截至报告日期已尽力核验，但相关标准、政策与产业进展可能随时更新，读者应以最新官方发布为准。报告中的时间线示意与“Q-Day”判断属趋势性归纳，非精确预测。编写单位不对因使用本报告内容而产生的任何直接或间接损失承担责任。未经书面许可，不得将本报告用于商业宣传或断章取义引用。