量子计算机尚未真正攻破现实世界的大规模密码系统，为什么各国已经开始推动密码迁移？

答案并不复杂：网络安全面对的从来不只是“今天能不能被解开”，还要回答“这份数据需要保密多久”“这套系统需要运行多少年”“等威胁真正到来时，我们是否还有时间更换”。

一份外交、政务、国防、金融或核心技术数据，价值可能延续十年甚至数十年；一张能源、交通、算力网络，也不可能在量子计算机出现的那一天按下暂停键、整体换新。更现实的风险是，攻击者可以从今天开始截获并保存加密流量，待未来具备足够强的量子计算能力后再集中破译。这就是“现在收集、未来解密”（Harvest Now, Decrypt Later）。

因此，量子威胁的倒计时并不是从量子计算机成熟之日开始，而是从高价值密文被截获的那一刻就已经开始。

本文阅读时长约：13分钟

一、真正危险的，不只是“密码会被算出来”

今天的数字世界建立在一套彼此咬合的公钥密码体系之上。网站用它建立安全连接，VPN用它协商密钥，数字证书用它证明身份，软件更新用它验证来源，政务和关键基础设施也依靠它保护指令、数据和设备身份。

一旦能够稳定运行的大规模容错量子计算机出现，Shor算法将对RSA、ECC以及同样基于椭圆曲线数学问题的SM2等公钥算法形成根本性威胁；Grover算法则会在理论上降低对称密码的安全裕度。届时受到影响的不会只是“数据保密”这一件事，而可能同时包括三条安全根基：

第一，密钥协商失守。攻击者可能恢复会话密钥，解开此前截获的长期敏感数据。

第二，身份认证失守。攻击者可能伪造数字证书或签名，冒充合法用户、设备和服务器，把安全的密钥交给错误的人。

第三，信任链条失守。软件签名、设备升级、电子印章、CA根证书等长期信任基础可能被动摇，风险由一次窃密扩展为大范围仿冒、篡改和控制。

这正是全球量子安全迁移不断提速的原因。2024年8月，美国国家标准与技术研究院（NIST）正式发布首批三项后量子密码标准FIPS 203、FIPS 204和FIPS 205，分别覆盖密钥建立和数字签名，并明确鼓励组织尽快开始迁移。NIST同时提醒，从算法标准化到全面进入产品、系统和基础设施，历史上往往需要十年至二十年。欧盟2025年发布的实施路线图则要求成员国在2026年底前启动PQC迁移，关键基础设施原则上最迟于2030年底完成转换。

这些时间表传递出同一个判断：我们或许无法准确预测量子计算机何时具备实用破密能力，却可以确定，大规模密码迁移绝不可能一夜完成。对保密期长、系统寿命长、改造周期长的网络，现在不启动，就可能在威胁真正到来之前失去窗口。

二、PQC：现阶段最具规模化条件的主路径

后量子密码（Post-Quantum Cryptography，PQC）并不需要一台量子计算机。它仍然运行在现有芯片、服务器和通信设备上，只是把安全基础换成目前认为能够抵御经典计算机和量子计算机攻击的数学难题。

PQC的优势十分明确：可以通过软件、固件和密码模块逐步部署，能够利用现有通信网络，适配互联网、移动网络、云平台和大量终端；标准体系也正在加快成熟。以NIST标准为例，ML-KEM主要承担抗量子密钥建立，ML-DSA和SLH-DSA主要承担抗量子数字签名。前者解决“密钥不能被算出”，后者解决“对方确实是他、数据确实由他签发”。

但PQC不是把一个算法名称写进设备参数就大功告成。它仍然面临三类工程问题。

一是迁移必须完整。只升级密钥交换、仍沿用传统证书，可以优先缓解“现在收集、未来解密”，但身份认证仍处于过渡状态；只有密钥建立、数字签名、证书、CA、吊销更新和审计一起升级，才接近完整抗量子闭环。

二是认证材料明显增大。PQC的公钥、签名和证书通常比传统椭圆曲线方案大得多。进入VPN、物联网和复杂跨域网络后，大尺寸证书链可能触发分片、重传、防火墙适配和多厂商兼容问题。网络不是不能承载，而是越追求完整认证，协议和运维改造越深。

三是长期安全需要密码敏捷。任何新算法都需要持续验证。现实部署通常需要支持混合算法、平滑切换、异常告警和禁止无感降级，避免一次算法或实现缺陷演变为系统性风险。

所以，PQC是主路径，但“算法可用”不等于“网络已经安全”。真正的难点，是如何让完整PQC在真实网络里可靠建立、稳定运行、统一管理，并最终延伸到每一个业务终端。

三、QKD：具有独特价值，但不是一把万能钥匙

量子密钥分发（Quantum Key Distribution，QKD）走的是另一条路线。它利用量子态不可克隆、测量会引入扰动等物理特性，在通信双方之间生成和分发密钥，并可在理想模型下发现窃听行为。

QKD的吸引力在于，它不把密钥分发安全完全寄托于某个数学难题。在高价值、点到点、光纤条件稳定且可以严格管理设备的链路上，QKD具有独特的安全增强价值。

但需要澄清：QKD主要解决的是“密钥如何产生和分发”，它本身并不自动提供完整的身份认证、数字签名和业务数据加密。通信双方仍要借助预置密钥或其他密码机制确认对方身份，拿到密钥后也仍需使用对称密码保护业务数据。

同时，QKD依赖专用光学设备、光纤或自由空间链路，距离、拓扑和网络扩展受到物理条件约束；跨越多节点时往往需要可信中继，设备实现、侧信道、运行维护和拒绝服务风险也不能被“物理定律保证安全”一句话消除。

这也是部分国家安全机构对QKD持审慎态度的原因。美国国家安全局（NSA）公开说明，对于承载机密或其他敏感数据的国家安全系统（NSS），目前不建议使用QKD或量子密码保护数据传输，除非其列出的限制得到克服；NSA还明确表示，在这些限制克服之前，不支持以QKD保护NSS通信，也不预计认证或批准相关产品。其主要理由包括：QKD只解决部分问题，不能自行完成源身份认证；需要专用设备和链路；可信中继增加成本与内部威胁；实际安全高度依赖工程实现；对干扰敏感，可能增加拒绝服务风险。

这不是美国法律对所有QKD应用的“一刀切禁令”，也不能由此推出QKD没有价值。更准确的结论是：对最高安全等级系统，不能把QKD的理论特性直接等同于完整系统安全。英国国家网络安全中心2025年也提出，政府和军事应用应优先采用PQC，不支持将QKD作为此类网络的解决方案；而欧洲电信标准协会（ETSI）仍将QKD视为可与PQC形成互补的量子安全技术。

争论的关键因此不应是“PQC和QKD谁取代谁”，而应是：哪一种能力负责密钥，哪一种能力负责身份，哪一种能力适合规模化部署，网络又如何把它们可靠地组合起来。

四、QV2V：不是再选一种算法，而是重构量子安全的承载方式

如果把量子安全看作一道系统工程题，PQC和QKD都只是答案的一部分。密码算法负责“算不破”，身份体系负责“认得准”，网络协议还必须负责“送得到、连得稳、管得住”。任何一环缺失，量子安全都可能停留在设备参数和项目名称里。

视联动力QV2V视联网第三代协议的出发点，正是把量子安全从单一算法升级为一项网络原生能力。

其技术演进具有清晰的连续性：第一代V2V以自主非IP协议、独立寻址、注册认证、面向连接和“先管理、后通信”构建受控网络底座；第二代SV2V进一步把SM2、SM3、SM4等国密能力嵌入管理面、控制面和数据面；第三代QV2V则在此基础上融合PQC和量子真随机数（QRNG），并可根据高价值链路的条件与需求接入QKD，形成“国产协议底座+国密合规能力+抗量子密码+量子增强能力”的组合方案。

这套方案并不试图用非IP协议替代密码算法，也不把QKD包装成万能方案，而是让不同技术回到各自最合适的位置。

PQC承担可规模化的抗量子密钥建立和数字签名，是整体迁移的主干；QRNG为密钥生成、协议交互和密码模块提供高质量物理熵源；国密算法承担现阶段合规认证、高速数据加密和完整性保护；接入的QKD则可在具备专用链路条件的骨干节点、数据中心或高价值专线上提供额外的密钥分发增强。

QV2V协议底座负责把这些能力连成闭环。设备接入前先完成注册与身份绑定，业务通信前先确认用户、设备、权限、路径和资源，未经授权默认不能建立连接；完整PQC公钥、签名和证书由受控连接承载，减少开放IP环境下大报文对MTU、NAT、多级防火墙和跨厂商分片策略的层层依赖；网络管理、密码管理、设备状态、算法启用和异常回落则由统一平台呈现，使量子安全可见、可控、可审计。

换句话说，QV2V要解决的不是“有没有PQC”，而是四个更实际的问题：PQC是否覆盖了密钥和身份，认证材料能否完整可靠送达，抗量子能力是否从核心节点延伸到终端，网络在故障、切换和大规模并发时能否继续承载业务。

视联网QV2V量子安全协议的技术架构设计

五、从重庆试点，看量子安全如何进入真实业务

量子安全的价值，最终不能由实验室里的一次握手证明，而要由真实业务检验。

视联动力已在重庆开州、璧山、渝中区开展PQC+QRNG视频会议试点，将抗量子能力嵌入视频会议终端、网络传输与平台调度链条。试点的意义不只是“会议能够接通”，而是验证了三件更重要的事：标准PQC能否进入现有政务业务，抗量子认证和加密能否与实时音视频并行运行，量子安全能力能否从核心平台一直延伸到实际使用终端。

这一实践建立在成熟V2V网络基础之上。V2V视联网已覆盖全国31个省（自治区、直辖市），部署终端超过27万台，接入各类视频资源450余万路，并在政务、政法、应急等场景长期运行。这意味着QV2V并非从一张空白网络重新起步，而是可以依托既有V2V设备、网络和业务体系逐步升级。

在部署层面，QV2V还可复用既有光纤、网线和传输资源，通过支持V2V、IPv4、IPv6的“三栈三待”设备与现网兼容。一般业务继续运行在原有IP网络，高安全、高实时、高价值业务逐步迁移到QV2V通道；在极端情况下，独立的非IP协议通道还可作为关键业务的异构保底网络。量子安全由此不再等同于“推倒重建”，而可以从一场会议、一条专线、一组关键终端开始，逐步扩展到一张网络。