八十年后，计算机又站到了密码面前

书接上回。昨日说到：

英国肯特郡有个地方叫Knockholt。二战期间，这里是一座无线电接收站。德军最高统帅部的洛伦兹无线电传打字信号越过海峡，被接收机截获。记录仪先把信号留在纸带上，读带人员再将密文转成标准打孔纸带，送往布莱切利园。

▲诺克霍尔特主路

这里的工作不是破译。前端人员先尽可能完整地截收和转录，后方的密码分析人员再寻找规律，Colossus则反复检验候选设置。等方法和机器准备好，沉默的字符才可能重新开口。

八十多年后，数字通信带回了相似的时间差。攻击者今天读不懂一段加密数据，仍然可以先把它保存下来，等待未来的算法或计算机。安全人员把这种风险叫作“先囤后解”。

先保存，等钥匙出现

加密通信很像一封上了锁的信。纸信若被拿走，通常会留下缺失或痕迹；数字世界里的密文却可以在不影响原通信的情况下无损复制。收集者不必改动通信内容，发送者和接收者也未必会看到异常。多年以后，只要计算能力或密码分析方法取得突破，这些旧数据就可能被重新翻出来。

有些信息很快失效，天气预报明天就不值钱了；外交谈判、武器设计、医疗档案和基因数据却可能在十年、二十年后仍然敏感。评估通信安全时，密码工程师因此必须考虑数据还要保密多久，而不只看今天能否被破解。

量子计算提前进入密码政策，正是因为拦截和保存可以从现在开始，能够破译旧数据的机器却可能多年以后才出现。

普通用户把网站密码改得更长，处理不了这类风险。“先囤后解”针对的是通信协议和公钥基础设施，需要网站、设备制造商和大型机构更换底层算法。个人能做的主要是及时更新系统，让这些升级发布后真正落到设备上。

纸上的算法，尚未建成的机器

纸上的算法，尚未建成的机器

1994年，彼得·秀尔提出一种量子算法。两个大质数相乘很容易，只拿到乘积后再把它们找回来，经典计算机面对的难度会随数字变长迅速增加。RSA把安全性建立在这种不对称上，秀尔算法则为足够大、能够纠错的量子计算机提供了一条高效分解大整数的路径。

影响不只落在RSA上。Diffie-Hellman、DSA和椭圆曲线密码也会受到相关量子算法的威胁，而这些技术广泛用于密钥交换和数字签名，连接着浏览器、服务器、VPN和代码签名系统。

对称密码的情况很不相同。AES面对的主要是Grover算法带来的平方根级搜索加速，增加密钥长度可以缓解。量子计算不会让所有密码在同一天失效，眼下最需要提前迁移的是RSA和椭圆曲线等公钥体系。

秀尔在纸上给出了路径，执行它的机器仍然缺席。物理量子比特会出错，必须通过冗余编码和持续纠错保护参与算法的逻辑比特；设备还要在很长时间里稳定完成大量操作。需要多少资源，只能在不同硬件和纠错假设下估算。

▲Peter Shor 2019年参加墨子沙龙活动照片

2019年，克雷格·吉德尼和马丁·厄凯拉估算，破解RSA-2048大约需要两千万个带噪声的物理量子比特，连续运行约八小时。到2025年，吉德尼重新安排算法和纠错资源后，把估算降到不足一百万个带噪声的物理比特，运行时间延长到不足一周。

2026年2月公开的Pinnacle Architecture预印本又提出另一种纠错架构。在作者设定的参数下，物理比特需求可以降到十万以下。但这仍是一份未经现实机器验证的架构方案和资源估算，不能理解成十万个量子比特已经足以立即破译RSA-2048。

三份研究采用的硬件条件、错误率和纠错方式不同，数字还会继续变化。它们更像一座尚未开工的大型工程的三版预算，而不是量子计算机抵达的倒计时。现有设备与这些方案仍隔着数个数量级，也缺少长时间容错运行所需的整套系统能力。

换锁为什么不能等到最后

密码政策要同时看两只时钟。一只记录数据还要保密多久，另一只记录系统完成迁移需要多久。

假设某批数据还要保密二十年，而机构清点旧算法、升级软硬件、解决兼容问题和淘汰旧设备需要十年。这两个数字只是用来说明风险，并非适用于所有机构的固定周期。只要有能力破译的机器可能在保密期内出现，今天保存下来的密文就已经进入风险窗口。

大型网络里的密码散落在软件、证书、硬件安全模块、工业控制器和长期离线设备中。它们不可能在某个晚上一起升级。机构也不必准确猜中量子计算机在哪一年出现；迁移耗时和数据寿命已经足以决定哪些系统应该先动。

新锁已经开始成为标准。2024年8月，美国国家标准与技术研究院定稿第一批后量子密码标准：FIPS 203中的ML-KEM用于建立共享密钥，FIPS 204中的ML-DSA和FIPS 205中的SLH-DSA用于数字签名。它们依赖不同的数学难题，目前没有已知的秀尔式量子捷径。

接下来的工作落在现实系统里。组织要先找出每一处旧密码，安排升级顺序，测试新旧设备能否互通，再处理无法靠软件更新的硬件。过渡期里，新旧算法可能并行使用，协议、证书和运维也会因此更复杂。一个长期无人维护的旧端点，就可能成为整条链路最后没有换掉的那把锁。

NIST IR 8547初始公开草案提出，易受量子攻击的公钥方案在2030年后逐步弃用，到2035年后禁用。2030和2035是草案中的迁移节点，并非对量子计算机问世时间的预测。它们给机构留下的是盘点、采购、升级和处理兼容问题的时间。

过去的经验并不宽裕。MD5、SHA-1和SSLv3的安全问题已经明确后，仍在一些系统里停留了很多年。新标准可以在一天公布，庞大的密码基础设施却只能一部分一部分地换。

Knockholt的接收人员曾把尚未破译的电传信号截收并转录成纸带，后来出现的分析方法和机器才让字符获得意义。今天的收集对象变成了数字通信，等待中的机器也远未定型，但那段时间差并没有消失。

RSA-2048尚未被量子计算机攻破。迁移已经开始，是为了让那些无法临时换锁的系统，在机器出现以前拥有足够的准备时间。

八十年后，计算机又站到了密码面前

从Colossus占满一面墙的电子管，到数据中心成排的加速器，再到实验室里的量子处理器，八十多年里，计算机一次次变得更快，也一次次遇到新的边界。内存、封装、冷却和电网提醒我们，算力从来不是悬在云端的数字；费曼和后来的量子算法又提醒我们，速度只有落在合适的问题上才有意义。

▲COLOSSUS 机架细节

密码把这些边界压到同一条时间线上。1940年代的人先截收洛伦兹信号，再等分析方法和机器追上；今天，密文同样可以被保存，等待未来的算法。不同的是，我们已经看见这种时间差，也有机会在答案出现以前更换那把锁，让今天被截获的数据在未来仍然无法打开。

因此，这个系列真正追问的，不是哪台机器会赢得下一次秒表，也不是量子计算机究竟在哪一年到来。更重要的是：当算法、芯片、能源和安全制度以不同速度前进时，我们能否看清最慢的那一环，并在时间差变成风险以前开始行动。八十年前，计算机站到密码面前，是为了读懂战争中的秘密；八十年后，它再次站在这里，也迫使我们重新决定，哪些秘密应该被保护到未来。