Y2Q 危机：为什么黑客要窃取毫无价值的数据

此刻，在弗吉尼亚、法兰克福和新加坡的数据中心里，无形的入侵者正在窃取“垃圾”。

他们正在外泄 petabytes 级别的加密流量——VPN 会话、外交电报、银行转账和商业机密。如果分析师今天查看这些数据，它就像白噪声。从数学上讲，它不可破解，被 RSA-2048 或椭圆曲线加密（ECC）锁住，传统超级计算机需要耗费宇宙年龄的时间才能破解。

但这些窃贼并不打算今天就读取它。他们把它存入庞大的冷存设施，等待日历上的某个特定日期。

专家称之为 Y2Q（Years to Quantum，距离量子时代还有多少年）。情报界称之为 HNDL：“Harvest Now, Decrypt Later”（先采集，后解密）。

赌注很简单：在 2026 到 2030 年之间的某个时刻，一台具有密码学意义的量子计算机（CRQC）将上线。当它上线时，这座“一文不值”的加密数据大山将变成一本打开的书，瞬间暴露过去十年的全球机密。

崩溃的物理学

要理解为什么银行账户处于危险之中，你必须先理解保护它的数学。

互联网的大部分运行都依赖公钥密码学（如 RSA）。它依赖一个数学陷阱门：把两个大质数相乘非常容易，但要从结果反推是哪两个质数却几乎不可能（整数分解）。

$N = p \times q$

如果 $p$ 和 $q$ 足够大（长达数百位），找出它们对经典物理学来说就是一个“困难问题”。这种不对称性正是网络信任的基础。

Shor 算法登场。

1994 年，数学家 Peter Shor 证明，量子计算机可以在数小时内解决这个质因数分解问题，而非数十亿年。

其魔力在于量子叠加和量子干涉。

• 经典计算机必须通过试错（暴力破解）来分解数字，一次只能检查一种可能性。
• 量子计算机利用可同时处于多种状态的量子比特。Shor 算法使用一个名为“周期查找”的子程序。它建立一个量子寄存器，包含所有可能输入的叠加态。通过应用量子傅里叶变换（QFT），错误答案会发生破坏性干涉（相互抵消），而正确答案（函数的周期）会发生建设性干涉（被放大）。

这让计算机能在多项式时间内找到质因数隐藏的结构。当一台拥有足够稳定量子比特（估计约 4,000 个逻辑量子比特）的量子计算机上线时，RSA 加密不仅会被削弱，而会完全失效（0% 有效）。这就好比密码是以明文发送的。

新盾牌：NIST FIPS 203、204 与 205

天还没塌下来——至少现在还没有。过去六年，美国国家标准与技术研究院（NIST）一直在举办一场全球竞赛，寻找连量子计算机也无法解决的全新数学问题。

2024 年底，NIST 最终确定了首批三项标准。这些就是整个行业用来对抗 Y2Q 的工具。

1. FIPS 203（ML-KEM）：密钥交换

前身为 CRYSTALS-Kyber。

该算法将保护浏览器连接网站时的“握手”过程（HTTPS）。它将取代 Diffie-Hellman 密钥交换。它高效、速度相对较快，并且已经过密码学家多年的实战检验。

它被设计为一种“密钥封装机制”（KEM）——不直接加密大文件，而是安全地传输本次会话使用的临时对称密钥。

2. FIPS 204（ML-DSA）：数字签名

前身为 CRYSTALS-Dilithium。

它用于证明身份。它将取代 RSA 签名和 ECDSA。当 iPhone 验证某次更新确实来自 Apple 时，使用的就是签名。未来，它将使用 ML-DSA。

它在安全性与性能之间取得了平衡，但生成的签名明显大于现有 ECC 标准。

3. FIPS 205（SLH-DSA）：备份方案

前身为 SPHINCS+。

这是一种无状态的基于哈希的签名。它比 Dilithium 更慢，签名也更大，但使用了完全不同的数学原理（哈希函数 vs 格）。它是保险策略。

如果有数学家发现 Kyber 和 Dilithium 所用的新型“格”数学存在致命缺陷，世界还可以退回到基于哈希签名的暴力破解可靠性上。

工作原理：“格”陷阱

FIPS 203 和 204 都依赖基于格的密码学。这是现代安全领域最重要的概念。

想象一个巨大的多维网格（即格）。如果有人指向某条网格线上的一个特定交点，并询问最近的另一个交点，这在二维（像坐标纸）中很容易。

但想象一下这个网格有 1,000 维。再想象一下，挑战者向该点加入一定量的随机“噪声”，使其不再恰好落在某条线上。让计算机找出原始格点的问题被称为**容错学习（LWE）**问题。

$\mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e}$

• $\mathbf{A}$ 是公开矩阵（地图）。
• $\mathbf{s}$ 是秘密向量（答案）。
• $\mathbf{e}$ 是误差（噪声）。

在仅知道公开矩阵 $\mathbf{A}$ 和含噪结果 $\mathbf{b}$ 的情况下找出秘密向量 $\mathbf{s}$ 极其困难。它被归类为 NP-Hard 问题。即使对量子计算机来说，计算上也极为耗费资源。

Shor 算法（能破解 RSA）对格问题毫无用处，因为它依赖在数字中寻找“周期”（重复的循环模式）。密码学中使用的格被设计成“无结构”的形式，以防止这种周期性利用。

基础设施噩梦

那么，只需更新软件就够了吗？

不幸的是，不行。向后量子密码学（PQC）的迁移将成为全球每一位 CTO 混乱、昂贵且令人头疼的问题。问题在于物理学：抗量子密钥很“重”。

大小问题

当前加密密钥很小。一个 ECC 公钥只有 32 字节。它能轻松放进单个 TCP 数据包中。

• 一个 Kyber-1024（FIPS 203） 密钥为 1,568 字节。
• 一个 Dilithium-5（FIPS 204） 签名为 4,595 字节。

在千兆光纤时代，这听起来或许不算多，但在网络握手的微观世界里，这是巨大的膨胀。

1. 数据包分片：这些密钥常常超过 1500 字节的标准 MTU（最大传输单元）。这意味着每次握手现在都需要多个数据包。如果路由器丢弃了第二个分片，整个连接就会失败。
2. “HelloRetryRequest” 循环：在 TLS 1.3 中，客户端发送 “ClientHello” 数据包来发起连接。如果 PQC 密钥太大，无法放入初始 hello，或者服务器不支持客户端提供的特定混合组，服务器就会发送 “HelloRetryRequest”，迫使再进行一次往返。这会给每个新连接增加显著延迟。
3. 硬编码的中间盒：成千上万的传统防火墙、负载均衡器和物联网设备对报头大小有硬编码限制。如果客户端发送一个 4KB 的报头，这些“中间盒”可能会将其标记为 DoS 攻击或缓冲区溢出尝试，并丢弃连接。
4. 性能惩罚：验证这些签名需要更多 CPU 算力。对于处理数百万连接的服务器（如 Google 或 Cloudflare）来说，这种 CPU 开销会转化为数百万美元的电费和新硬件成本。

“先采集”的现实检验

Y2Q 最令人不寒而栗的方面不是未来，而是现在。

如果一家银行或政府机构今天传输数据，而这份数据需要保密超过 5 年，那么它已经被攻陷了。

• 社会保障号码？已被攻陷。
• 2030 年产品发布的商业机密？已被攻陷。
• 关于核政策的外交电报？已被攻陷。

这就是为什么白宫发布 NSM-10，要求所有联邦机构立即开始向 PQC 迁移。他们知道采集正在进行。情报机构目前正在构建海量的加密流量“数据湖”。他们现在不需要读取它。只需把它保存到密钥能打开的那一天。

开发者必须做什么

如果一位 IT 负责人还没有开始规划，那么他已经落后了。这次过渡需要数年，而非数周。

1. 清点加密资产：你无法修复自己不知道的东西。使用扫描工具（如 CBOM——密码学物料清单）找出代码库中每一处 RSA、ECDSA 和 Diffie-Hellman 的使用。
2. 测试混合模式：不要突然全面切换到 PQC。应使用混合加密（例如 X25519 + Kyber）。它结合了经典算法经过验证的安全性与新型算法的抗量子能力。理想情况下，KEM 应同时派生自两次密钥交换。如果 Kyber 最终被发现有数学缺陷（新密码学中确实会发生），经典层仍能保护数据免受经典攻击。
3. 检查供应链：AWS、Cloudflare 和 Signal 已经在推出 PQC 支持。如果你的 VPN 或数据库提供商的路线图里还没有提到“FIPS 203”，就该开始提问了。

通往量子未来的大门正在开启。唯一的问题是：小偷大步走进来之前，锁是否已经换好。

资料来源 (5)

• insightsfromanalytics.com One year until Q-Day? The post-quantum cryptography crisis explained
• postquantum.com Q-Day / Y2Q: What Will Happen?
• quera.com Preparing for Y2Q: The Ultimate Guide
• deloitte.com Tech Trends 2025: Quantum Computing and Cybersecurity
• nist.gov NIST Release of First Three PQC Standards