量子運算的兩面刃：點解 RSA 遷移唔可以等到 Q-Day

量子運算有兩面：一面係可能改善量子化學、材料模擬、部分最佳化問題，以及某些人工智能工作流程；另一面就係網絡安全風險。前者仍然係前景，成效要視乎具體應用；後者雖然要等到足夠大型、具容錯能力的量子電腦先會真正爆發，但已經足以令機構今日開始準備。因為現時廣泛使用的公開密鑰密碼系統，將來可能受到威脅，而目前仍然未有具密碼學實際威脅的量子電腦（CRQC）。52

實際結論好直接：唔好等一部可以破解加密的機器出現先行動。企業、政府及其他機構應該而家開始盤點同更換受影響的密碼依賴，因為部分資料需要保密的年期，可能長過完成整個遷移所需的時間。

Shor 算法點解會威脅 RSA 同橢圓曲線密碼

RSA 建基於大整數分解的困難；Diffie–Hellman 同橢圓曲線系統，則建基於離散對數問題。對一部足夠強大、具容錯能力的量子電腦而言，Shor 算法可以用一種根本上快得多的方法處理呢幾類問題，遠超傳統電腦的能力。

受影響的不只是加密訊息。RSA、Diffie–Hellman 同橢圓曲線密碼亦廣泛用於建立密鑰、身份驗證、數碼證書、軟件簽署、安全啟動鏈，以及其他數碼信任功能。換句話講，未來攻擊者有機會同時打擊資料機密性，以及核實軟件、文件、交易或紀錄真偽的能力。

但呢個唔代表所有密碼技術會一夜之間同時失效。直接風險主要集中喺 RSA 同橢圓曲線等公開密鑰算法。對稱式密碼並唔會以同樣直接的方式受到 Shor 算法威脅，不過機構仍然需要逐一檢視每個密碼元件的安全強度同實作方式。

「而家收集，日後解密」：今日的資料已經係目標

「而家收集、日後解密」（harvest now, decrypt later，HNDL）攻擊，唔需要攻擊者即時破解通訊。對手可以先截取加密通訊，或者取得加密檔案庫，保存落嚟，等到具密碼學實際威脅的量子電腦出現後先嘗試解密。51

所以真正的期限，取決於兩件事：

• 機構需要幾耐先可以完成系統遷移；以及
• 受保護資料需要保密幾耐。

需要長期保密的資料尤其容易受到影響，例如政府及外交紀錄、國防及工程設計、醫療及基因資料、身份資料、財務及法律檔案、商業機密、基礎設施紀錄，以及專有研究成果。部分檔案或已簽署紀錄亦要維持多年可驗證的真確性，相關風險唔只係「內容會唔會畀人睇到」，亦包括日後能否確定簽署者同文件未被偽造。

有呢個威脅，唔代表每個加密檔案庫都已經畀人收集，亦唔代表量子攻擊即將發生。但如果等到 Q-Day——即量子電腦具備破解現有公開密鑰密碼能力的日子——先確認風險，今日被截取的資料可能已經太遲保護。

量子電腦時間表未有共識，但遷移時間表已經行緊

各方對具密碼學實際威脅的量子電腦幾時出現，估算差異可以非常大。德國當局的指引指出，目前仲未有 CRQC；至於幾時出現，仍然存在不確定性。52 其他評估就將有意義的風險放喺 2030 年代，但呢啲始終係預測，唔係已確認的到來日期。5356

因此，穩陣的遷移計劃唔應該押注一個「準確 Q-Day」。更實際的做法係按資料敏感度同保存年期排序，再加上盤點依賴、測試替代方案、更新供應商產品，以及淘汰無法升級系統所需的多年時間。

NIST 的過渡框架草案 IR 8547，廣泛被形容為分階段淘汰受量子運算威脅的公開密鑰算法：當中建議 RSA-2048 同 ECC-256 於 2030 年後進入淘汰階段，並於 2035 年後禁止使用。由於 IR 8547 係過渡建議，機構應該按照所屬行業查核最後適用的指引，唔應該將相關年份當成適用所有機構的法律死線。2035

不過，聯邦政策方向已經相當清楚。美國民用政府部門被要求喺 2023 年 5 月 4 日前，提交包含 CRQC 易受攻擊密碼系統的資訊系統及資產優先清單，之後每年提交一次，直至 2035 年。33 美國《國家安全備忘錄 10》（NSM-10）亦訂立咗喺 2035 年前減低聯邦系統量子風險的目標。39

NIST 後量子標準，係遷移可以落手的起點

2024 年 8 月 13 日，NIST 正式確立三項主要後量子密碼標準，用於應對未來量子攻擊：2425

• FIPS 203／ML-KEM：基於模組格的密鑰封裝機制，用於建立共享秘密密鑰。23
• FIPS 204／ML-DSA：基於模組格的數碼簽署標準。22
• FIPS 205／SLH-DSA：無狀態雜湊式數碼簽署標準，採用另一套數學基礎。17

但呢啲標準唔係可以一刀切、即插即用的「換算法」方案。佢哋要整合入通訊協議、程式庫、證書、身份系統、硬件安全模組（HSM）、韌體、應用程式及供應商產品。NIST 亦形容，呢三項標準只係大型遷移的開始，同時仍然發展其他算法，作為備用或替代方案。28

機構應該先盤點邊啲地方？

密碼技術好多時藏喺原本無打算快速更換算法的系統入面。有效的盤點唔應該只睇明顯的加密設定，亦應該包括：

• TLS、VPN、API 同舊式網絡協議；
• 公開密鑰基礎建設（PKI）、證書簽發同證書輪換；
• 身份、驗證及存取管理系統；
• 程式碼簽署、韌體、安全啟動及更新機制；
• 硬件安全模組、資料庫、備份及檔案庫；
• 物聯網、工業、醫療及其他使用年期較長的設備；
• 雲端服務、SaaS 供應商、程式庫及其他第三方依賴。

下一步係按風險排序。需要保密幾十年的資料，或者控制軟件來源及基礎設施信任的系統，應該比短期資料或容易替換的系統更早處理。

機構亦需要建立 crypto-agility（密碼敏捷性），即可以更換算法、密鑰長度、證書及密碼程式庫，而唔需要重新設計整個產品或網絡。過渡期間，將傳統機制同後量子機制一齊使用的混合部署，可能有助降低遷移風險；但同時亦會增加整合、測試及日常營運的複雜性。

HAWK 事件提醒大家：要持續評估，唔係 NIST 標準已被破解

2026 年 7 月，Anthropic 表示，其 Claude Mythos Preview 模型發現 HAWK 一項此前未被公開的結構性弱點。HAWK 係一個基於格的後量子數碼簽署候選方案。Anthropic 稱，HAWK 經歷過兩年及兩輪專家評審，但模型喺大約 60 小時內改善咗當時已知的最佳攻擊；其後 HAWK 團隊將方案從 NIST 的額外簽署程序撤回。5

關鍵係：HAWK 只係候選方案，唔係已完成的 NIST FIPS 標準，亦唔係已部署於生產環境的算法。呢件事唔代表 FIPS 203、FIPS 204 或 FIPS 205 被破解；相關報道亦指出，現有已部署系統並無受到影響。56

更深層的教訓係，「後量子」唔係一個永久有效的安全標籤。候選算法需要持續接受數學審查、獨立實作測試、多元化的安全假設，以及可以喺新攻擊出現時被替換的設計。AI 輔助密碼分析日後可能成為評估流程的一部分，但唔會取代人類專家審查及透明的標準制定工作。

成本唔只係換一個算法，而係一次系統級轉型

後量子遷移可能涉及軟件及協議修改、新程式庫、證書及 PKI 工作、HSM 同韌體升級、互通性測試、供應商協調、合規工作，以及更換無法修補的設備。較大的密鑰或簽署資料，亦可能影響頻寬、儲存空間、延遲及裝置效能。

成本難以用一個適用所有人的數字概括，因為實際開支取決於機構的技術資產、資料保存責任、供應商合約及監管環境。較可靠的結論係：遷移之所以昂貴，係因為公開密鑰密碼已經嵌入大量長期存在的數碼信任關係，而唔係每個系統都要同一時間全面更換。

總結：未有 CRQC，唔等於可以等

量子運算將來可能帶來重要的科學好處，但相關能力仍然不確定、專門化，而且仍在發展。安全方面的要求就更加實際：RSA 同橢圓曲線系統將來可能受到 Shor 算法威脅，而今日被截取的加密資料，日後可能被解密。

現時仍然未有 CRQC。呢個係要小心規劃的理由，唔係拖延的理由。實際次序可以係：盤點所有密碼技術、按資料保密年期分類、優先處理高價值依賴、測試 NIST 已確立的後量子標準、建立 crypto-agility，再將遷移時間表當成規劃目標——而唔係等一個確定的 Q-Day 公告先開始。