後量子密碼學（八）：後量子密碼遷移

密碼遷移

安全不是一種產品，而是一個持續的過程。

- 布魯斯·施奈爾

後量子遷移 (PQC Migration)

量子電腦的發展每天都在加快腳步，雖然還沒有真正能威脅現有密碼系統的量子硬體出現。但科學界普遍相信，一旦這一天到來，傳統的公鑰演算法： RSA 與 ECC可能會在短時間內被破解。這意味著我們每天依賴的網路連線、電子憑證、甚至數位身分系統、銀行系統等等，都可能瞬間失去安全保障。

因為這樣的風險，後量子密碼學（Post-Quantum Cryptography, PQC） 成為了研究的焦點。這些演算法的設計原則，就是要能抵抗量子電腦的攻擊。然而，光有新的演算法還不夠。我們還得讓這些演算法真正「落地」到各種協議、系統與裝置裡。這個過程，就被稱為 後量子遷移（PQC Migration）。

後量子遷移是一個可預見的耗時耗力的過程，然而，這件事是勢在必行的。NIST的PQC計畫作為這整個旅途的開端，目前已選出了三個後量子密碼標準，透過這樣子的準備，希望能為後量子遷移奠基穩固的第一步。

為什麼要談「遷移」？

想像一下，Alice 和 Bob 平時使用 TLS（基於 ECC）來保護通訊。今天，如果有一台量子電腦能在幾秒鐘內破解 ECC，攻擊者 Eve 就能輕易冒充其中一方、竊聽或竄改他們的對話。另一方面，從現在開始，所有被攻擊者竊取並儲存下來的加密資料，在未來都可能被解密。在我們之前的文章中，介紹了這樣的威脅： 「先存後解」 (Harvest Now, Decrypt Later) 的攻擊。所以，密碼系統並不是等到「量子電腦真的出現」才失效，

因此，PQC Migration 不只是技術升級，而是一次「長期的保險計劃」！我們必須提前開始，確保在量子時代來臨時，現有系統仍能在PQC的保護下繼續安全的運作。

遷移的步驟

如果把遷移比喻成一次「搬家」，那麼它至少包含三個階段：

盤點 (Inventory) 首先要弄清楚我們「家裡」有哪些東西需要搬。這代表要全面檢查系統裡所有使用傳統公鑰的地方：伺服器憑證、TLS 連線、VPN、電子郵件加密、甚至 IoT 裝置內建的晶片。只有先知道自己擁有什麼，才能規劃搬遷的優先順序。
測試 (Testing) 在真正「搬出去」之前，總得先試搬幾趟。這對應到在測試環境裡導入 PQC，看看系統的相容性與效能表現。例如：新的密鑰與簽章往往比傳統演算法大好幾倍，會不會造成頻寬壓力？老舊的設備能不能支援？在這個階段，常見的做法是使用 混合模式 (Hybrid)：讓系統同時保留傳統演算法與 PQC，避免單點失敗。混合模式的好處是可以提供雙重的安全性來保障現有的體系的安全。
部署 (Deployment) 測試完成後，才能逐步把新系統搬進「正式環境」。這通常不會一次完成，而是先從核心基礎設施（例如憑證頒發系統、伺服器）開始，接著才擴展到應用服務與終端裝置。這是一個循序漸進的過程，需要搭配監控與風險管理。

遷移中的挑戰

說起來簡單，但真正要做卻困難重重：

密鑰與簽章體積龐大：RSA 的公鑰大約 256 bytes，而 ML-KEM 公鑰動輒上 KB，ML-DSA 的簽章甚至數 KB，這對 IoT 裝置或低頻寬環境是一大挑戰。
硬體更新困難：某些設備（像智慧卡、路由器）內建的加密模組無法更新，等於要整批汰換。
標準化尚未完全完成：雖然 NIST 已選定演算法，但相關協議（如 TLS、X.509 憑證）仍在制定最佳實踐。
混合模式的風險：如果設計不謹慎，反而可能讓攻擊者同時利用新舊演算法的弱點。

後量子遷移並不是一場單純的「演算法升級」，而更像是一場橫跨十年的基礎建設工程。它需要同時考慮安全性、效能、相容性與未來的可持續性。

最重要的是：現在就要開始準備。因為等到量子電腦真的能威脅現有密碼系統時，再開始遷移就已經太晚了。