(Post-Quantum) Cryptographic Right Answers（后量子时代的密码学「正确答案」清单）

📅 2026-10-12 | 🏷️ Web3 & Crypto | ⭐ HN 84分/25评论
🔗 原文：https://words.filippo.io/right-answers/

是什么

密码工程领域知名开发者 Filippo Valsorda（Go 语言安全团队前负责人、长期维护密码学基础设施）更新了他维护多年的经典参考《Cryptographic Right Answers》，新版本标题加上 Post-Quantum（后量子）：为「现在该用什么加密算法」这份给工程师的直答案清单，补上了量子计算时代的迁移建议。对区块链从业者，这也是一份直接回答「链上签名还有多远」的权威参考。

🔍 小白解读

先说几个词

• 后量子密码（PQC）：能抵抗量子计算机攻击的新一代加密算法。注意：不是「用量子计算机加密」，而是「防着将来的量子计算机」。
• 先存后解（harvest now, decrypt later）：攻击者今天就把你的加密数据囤起来，等量子计算机成熟再解开。所以「量子威胁是未来问题」是错觉——今天的数据已经在泄露的路上了。
• ML-KEM / ML-DSA：美国 NIST 已标准化的后量子算法（2024 年发布 FIPS 203/204），分别用于密钥交换和数字签名——清单推荐的核心角色。
• 混合方案（hybrid）：新旧算法一起用，例如「X25519 + ML-KEM」双保险：任何一个被攻破都还安全，代价是流量多一点。
• 密码敏捷性（crypto-agility）：系统设计上让算法可以像换轮胎一样随时更换，不用大拆大建。

这篇到底在说什么

打个比方：这是给工程师的「防盗门选购终极指南」的 2026 版——以前每一页都在讲「传统锁芯怎么选」，这次整章新增了「量子撬棍时代怎么选锁」。作者按场景直接给答案：TLS 该怎么配、签名该用什么、长期数据怎么加密，条条可执行。它值得 Web3 从业者认真读的原因很直接：区块链几乎全部依赖椭圆曲线签名（如 ECDSA），而签名恰恰是量子攻击的经典靶子——与昨日报道的 Starknet 社区「以太坊量子安全分叉」讨论相呼应，那篇是链上治理视角的讨论，本文则是应用层工程师的实操指南，两篇合起来正好是「后量子迁移」的全景。诚实地说：链上签名算法的迁移远比 web 服务困难（地址即公钥、账本不可改），这也是为什么这份「web2 场景可执行」的清单，在 web3 圈读起来多少有点扎心。

这跟普通人有什么关系

短期无感，但你的银行 App、聊天软件的加密方式正在按这类指南悄悄升级。你今天发出的私密信息，可能正被某些人囤着等未来解密——大厂升级混合加密，就是在掐断这条时间线。

为什么值得架构师关注

• 行动清单现成：新系统直接按清单落地——TLS 混合密钥交换（X25519+ML-KEM）、签名与证书链的 PQC 路线图；这是一份可以直接转给安全团队的设计规范。
• 数据分级定迁移优先级：按「保密时效」给数据分级——保密期超过 5-10 年的数据（医疗、身份、长期合同）最先迁移；短期数据可缓行。
• Web3 的残酷时间表：链上 ECDSA 无低成本后量子替代，账户抽象、STARK 类证明是候选迁移路径——持有长期资产的协议现在就该把「量子迁移章节」写进路线图。

核心内容

• Filippo Valsorda 更新《Cryptographic Right Answers》并新增后量子章节（一手技术博客，10-12）。
• 清单按场景给出直接算法选型建议，覆盖 TLS、签名、加密与后量子混合方案（ML-KEM/ML-DSA 等 NIST 标准算法）。
• 核心警告：先存后解攻击使量子威胁成为「今天的问题」，长保密期数据需立即迁移。
• 与昨日报道的 Starknet 量子安全分叉讨论互为印证：web 服务可执行、链上迁移仍是硬骨头。

行动建议

• 立即评估：安全团队对照清单盘点自家系统的算法清单，输出「哪些已在风险线上、哪些已合规」的一页纸报告。
• 设计规范：新系统强制密码敏捷性设计（算法可配置、可热替换），混合方案为默认选项。
• Web3 团队：把后量子签名迁移列入协议路线图并跟踪账户抽象/PQC 签名预编译的进展，先做影响面分析。