NIST 后量子迁移截止日期已写死：车间 PLC 的加密算法还能撑到 2030 吗？

10 月 27 日，美国国家标准与技术研究院（NIST）正式发布了《向后量子密码标准过渡》（NIST IR 8547）。这份文件最关键的内容不是算法本身，而是一排写死的日期：2030 年 12 月 31 日前，高价值系统必须完成抗量子密钥交换；2031 年底前完成抗量子数字签名；2035 年，所有易受量子攻击的算法全面出局。

跟不少同行聊起这事，得到的多半是一句"量子计算机还没影呢，急什么"。真正让人着急的恰恰不是量子计算机本身——而是你今天发出的每一条还在用老算法加密的数据，都可能已经被人原样抄走了，等着十年后拿量子计算机来解密。安全行业管这叫"先收集、后解密"（Harvest Now, Decrypt Later）。

对互联网公司来说，这是 IT 问题。对搞工业自动化的人来说，问题要扎心得多：IT 设备三年一换，车间里的 PLC、DCS 控制器、变频器、上位机，一台的生命周期是十年到二十年。 今天出厂的设备，生命周期终点大概率落在了"老算法全面禁用"（2035 年）之后。

先把原理用一句话讲明白：今天保护通信的 RSA 和 ECC（椭圆曲线加密），安全性建立在"经典计算机分解大数、算椭圆曲线离散对数极其费劲"之上。而量子计算机跑的 Shor 算法恰好是这两类问题的克星——一旦算力到位，现有公钥加密等于裸奔。对称加密（AES 这类）受冲击要小得多，加长密钥即可应付，真正要大动干戈的是公钥体系。后量子密码（PQC）就是一套重新设计、连量子计算机也解不动的公钥算法。NIST 在 2024 年 8 月发布了第一批标准，这次定稿的 IR 8547 就是"怎么从旧标准搬家"的总路线图。

先把日期表看清楚

把 NIST IR 8547 及其依据的行政令、安全备忘录里的关键节点捋一遍：

• 2029 年 1 月 2 日：相关联邦系统必须支持 TLS 1.3（依据行政令与 OMB 备忘录 M-26-15 的执行细则）
• 2030 年 12 月 31 日：联邦高价值资产和高影响系统必须采用 PQC 完成密钥建立迁移——也就是加密通信时协商密钥的那一步
• 2031 年 12 月 31 日：同类系统完成数字签名迁移
• 2030 年之后：易受量子攻击的公钥算法被标记为"弃用"（deprecated）——还能用，但风险自负
• 2035 年：易受量子攻击的算法全面"禁止"（disallowed），联邦系统整体迁移完成

需要说明的是：这些期限直接约束的是美国联邦系统及其供应链。NIST 的原话是"备忘录明确适用于联邦系统，但与联邦政府打交道的许多组织都会受影响"。传导链条不难想象——联邦合同、出口设备、跨国客户的采购技术要求，都会一层层把"2030/2035"写进标书。

为什么"先收集、后解密"逼得大家必须提前动手？因为有一类数据今天被抄走、2035 年被解开时依然敏感：工艺配方、报价底牌、长期合同、基础设施图纸。密钥交换（负责保密）因此被 NIST 列为优先于签名的迁移项——签名的风险要等真量子计算机出现才兑现，保密的风险从现在就开始累积了。

工业设备为什么是重灾区

把 NIST 的期限和工业设备的现实放在一起，会出现三个不匹配。

寿命不匹配。 办公电脑三年、服务器五年，密码算法跟着硬件一起换代。PLC 和 DCS 的设计寿命十五年起步，不少 90 年代的 S5 控制器到今天还在产线上转。这些设备固件里烧死的 RSA、ECC，大概率等不到自然淘汰了。

更新能力不匹配。 IT 系统可以推补丁，工业现场讲究"稳定压倒一切"，大量设备固件多年不更新，甚至厂商已停产、无法升级。NIST 报告里专门有一条很硬的建议：识别出所有无法支持 PQC 的系统，把它们列入优先替换或退役清单。 翻译成人话就是：算力撑不起新算法的老设备，不是"以后再说"，是"开始倒计时"了。

供应链不匹配。 报告反复强调迁移要覆盖"整个密码供应链"——你买的每一台设备、每一个网关、每一套上位机软件，里面用的 TLS 库是谁家的、版本多少、能不能换，多数工厂现在根本答不上来。安全行业的说法叫"密码资产不可见"：你连自己用了哪些算法都不知道，谈何迁移？

换个更贴身的视角看：现在工厂里走 TLS/加密通信的环节其实比想象中多得多——上位机和 PLC 之间的 HTTPS 接口、OPC UA 的加密会话、云端 MES 的 API 调用、远程运维的 VPN 通道、设备厂商的 OTA 升级链路。这些环节今天都用传统算法协商密钥，都是"先收集、后解密"最理想的收割对象：工艺参数、生产数据、远程运维凭据，保密期全都在十年这个量级上。盘点密码资产时，就从这几个环节下手，性价比最高。

"密码敏捷性"：这次迁移最值钱的四个字

NIST 在报告和配套项目（NCCoE 的 PQC 迁移示范）里反复推一个概念：cryptographic agility，密码敏捷性——把"用什么算法"做成可配置、可替换的，而不是焊死在代码里。

对设备厂商来说，新一代 PLC、网关、HMI 的固件架构里，加密模块需要可插拔：今天跑传统算法，明天可以远程切换到 PQC，或者两者并行的"混合模式"（NIST 允许混合方案进入 FIPS 140 验证，相当于一个数据包上两把锁，更保守但更耗算力）。

对工厂和系统集成商来说，从现在起写采购技术协议时，多加几条很具体的要求：

1. 设备的 TLS 协议栈支持 TLS 1.3，且算法套件可升级
2. 固件提供密码算法配置接口，支持混合密钥交换（如 X25519 + ML-KEM 的组合）
3. 厂商书面承诺 PQC 升级路线图和交付时间
4. 设备文档披露所用加密库及版本——连"用了什么"都不肯说的厂商，2029 年之后会成为你的合规负债

ML-KEM（FIPS 203，NIST 选定的抗量子密钥封装标准）的一个好消息是：它基于格数学，计算开销对现代处理器来说并不算重。真正紧张的往往是老 MCU 和极端低功耗设备——这又成了一个"老设备优先淘汰"的理由。顺带说一句，报告里对"算法怎么退场"也写得直白：某个日期之后，联邦系统里继续用老算法就是"风险自负"。做设备认证和投标的朋友，这个措辞意味着对方的技术协议里很快会出现对应条款。提前准备，比被动接招便宜得多。

别被忽悠了：三个清醒剂

清醒剂一：2035 是全面禁用，不是"2035 年才开始"。 密钥建立的最硬期限是 2030。工业数据的保密周期又特别长，真的等不起。把 2030 当成自己的内部 deadline 才稳妥。

清醒剂二：别急着"一步到位"。 过去几次密码迁移（DES 转 AES、SHA-1 转 SHA-256）都花了十年以上，这次更复杂，新旧算法必然长期共存。NIST 自己也认可混合过渡方案。正确的姿势是先做密码资产盘点——搞清楚自己哪里在用 RSA 和 ECC——再排优先级，而不是推倒重来。

清醒剂三：标准落地仍有变数。 2035 年前 NIST 的细则还会滚动修订（CMVP 密码模块验证程序正在加速适配 PQC），各行业监管怎么跟进也还没定。别依据二手解读做重大采购决策，以 NIST 原文为准。

顺带回答一个常见问题：国产化体系要不要跟？各国的密码管理体系不同，节奏也不会完全同步。但"量子威胁不认国界"——只要你的产品出口、只要你的客户链上有欧美企业、只要你的数据保密期超过十年，这份时间表就值得挂在墙上。

给国内从业者的一份 90 天清单

• 第 1 个月：盘点。把产线上所有联网设备的型号、固件版本、加密能力列成表，重点标记 2015 年前投产和已停产型号
• 第 2 个月：问供应商。按上面四条采购要求向主要设备厂商发函，收到"无法升级"答复的设备进入替换观察名单
• 第 3 个月：动架构。新项目和技改项目的技术协议里写入密码敏捷性条款；上位机软件（尤其自研的 C# 和 Java 客户端）检查 TLS 库版本与算法配置化程度——这正是软件侧最便宜、最值得先做的事

量子计算机什么时候真的能破 RSA，没人说得准。但 2030 和 2035 这两个日期，是白纸黑字的行政令和标准文件，比任何技术预测都确定。设备行业向来的教训是：合规期限不会等人换完一代产品。 这一次，从盘点开始，不算晚。