量子计算这阵子的动静确实有点密集。前两个月某头部团队刚把纠错码的阈值往上提了一截，没过多久另一家又放出几百比特的相干操控数据。外行看热闹，觉得离实用还远，但圈子里的人心里清楚，密码学那根弦已经绷起来了。不是因为明天就能破解RSA，而是因为“哪天突然能破解”这件事，从理论上的可能性，开始有了工程上的时间表。

先说清楚一个常被搞混的事。量子计算对密码学的冲击不是均匀的，它挑食。Shor算法针对的是大数分解和离散对数，这两样恰好是RSA、Diffie-Hellman、椭圆曲线这一整套公钥基础设施的命根子。换句话说，你在网上银行转账、刷HTTPS、验证软件签名，背后撑着的就是这几根柱子。而AES这类对称加密，Grover算法顶多把暴力搜索的复杂度开个平方，256位的密钥降到128位的安全强度，加一倍密钥长度就能补回来，压力小得多。所以真正让人睡不着的是公钥体系，不是对称加密。

有意思的是，行业里对“Q-Day”的估计从来没统一过。乐观派说十年内，保守派说三五十年，还有一批人干脆认为容错量子计算机在工程上就是死路。但密码学圈子不太在乎这个分歧，他们的逻辑是：你不需要知道房子哪天塌，你只需要知道住在里面的人已经开始搬了。美国NIST从2016年就开始搞后量子密码标准化，去年总算把首批算法定下来了，CRYSTALS-Kyber和Dilithium这些名字开始出现在厂商的路线图里。这不是学术圈的自我感动，是实打实的迁移压力——一套公钥基础设施的替换周期动辄十几年，等Q-Day到了再动手，来不及。

迁移这件事的麻烦程度，外行很难体会。不是说换个算法库就完事了。你想想，全球有多少张智能卡、多少个物联网模组、多少台工业设备里焊着写死了RSA的固件？这些东西的寿命动辄十五年二十年，换算法意味着换硬件，换硬件意味着现场施工。更别提证书链、密钥管理系统、HSM硬件安全模块，每一层都得跟着动。我认识一个做金融行业密码改造的朋友，他说他们光梳理现有系统里哪些地方用了公钥加密，就花了大半年，因为很多老系统的文档早就丢了，得靠抓包和逆向去确认。这种脏活累活，才是后量子迁移的真实面目。

还有个容易被忽略的角落：那些现在被加密存储、打算长期保密的数据。比如医疗记录、情报通信、区块链上的历史交易。攻击者完全可以今天先把密文存下来，等量子计算机成熟了再解密。这叫“先存后破”，对保密期限超过十年的数据来说，威胁是当下就存在的，不用等Q-Day。所以有些机构已经开始对长期敏感数据做后量子加密了，哪怕量子计算机还没影。

当然，也别把这事说得太玄。后量子算法不是没有代价。Kyber的公钥尺寸比ECDH大了将近一个数量级，握手包变大，对低带宽场景是个负担。基于格的方案数学上漂亮，但侧信道攻击的防护经验远不如 RSA 那么成熟，实现层面的坑还很多。有些团队在试混合方案，传统算法和后量子算法同时跑，哪边都不落下，代价是性能开销翻倍。这种过渡期的拧巴状态，估计还得持续好几年。

说到底，量子计算对密码学的重新定义，不是某天醒来发现密码全废了，而是一个漫长的、充满工程妥协的迁移过程。它逼着整个行业重新审视一个根本问题：我们到底该把安全建立在什么样的数学假设上？RSA靠的是大数分解难，格密码靠的是 lattice 问题难，假设换了，信任的根基也就换了。这个过程里会有阵痛，会有兼容性噩梦，会有厂商拿“量子安全”当营销噱头浑水摸鱼。但方向是清楚的，而且已经在路上了。