2024 年 8 月，美国国家标准与技术研究院（NIST）正式发布 FIPS 203、FIPS 204、FIPS 205 三项后量子密码标准，抗量子算法第一次有了可直接部署的规范。对云计算而言，这不是一次普通的算法替换，而是一场贯穿 TLS 握手、密钥管理、固件签名与长期归档数据的系统性改造。
标准落地，迁移窗口已经打开
三项标准分别覆盖密钥封装（ML-KEM）、数字签名（ML-DSA）和无状态哈希签名（SLH-DSA），脱胎于 Kyber、Dilithium 与 SPHINCS+ 等方案。它们与现有 RSA、椭圆曲线算法并存，而非立刻取代。真正紧迫的是威胁模型中的“先存后解”：攻击者今天截获并长期保存加密流量，等待量子计算机成熟后再行解密。云上对象存储、数据库备份与审计日志往往保留五到十年，恰好落在这一风险窗口内。也正因如此，NIST 给出的时间表是 2030 年前完成主要系统迁移、2035 年前淘汰传统公钥算法。
云是后量子迁移的第一战场
迁移之所以从云开始，有三个现实原因。其一，云承载了互联网绝大部分流量的加解密终止点，一次改动即可覆盖海量租户；其二，主流云厂商自研密码库、负载均衡与网卡卸载链路，具备批量替换算法的杠杆；其三，密钥管理服务是整条信任链的根，只有根先换，上层的证书与签名才有意义。
过去一年，主流浏览器与内容分发网络已在 TLS 握手中默认启用混合密钥交换，把后量子保护前置给普通用户。云厂商也陆续在密码库与开发工具包中提供 ML-KEM 支持，并在负载均衡、API 网关等入口开放算法协商。当前的务实做法是混合模式：传统算法与后量子算法同时参与密钥交换，即使其中一方被攻破，整体通信仍然安全。
工程化难点仍是老问题
- 密码资产盘点：证书、密钥、SDK、固件与边缘设备中的算法清单常常缺失，无从评估真实暴露面。
- 性能与体积：ML-KEM 的公钥和密文体积明显增大，握手字节数上升，对移动网络与高并发短连接有实际影响。
- 兼容性：老旧客户端、硬件安全模块与嵌入式设备需要固件升级，部分设备甚至无法升级。
- 加密敏捷性：把算法做成可配置项而非硬编码，才能在标准迭代时快速切换。
企业该从哪里动手
建议按数据生命周期排序：需要长期保密的数据、身份信任链和软件供应链签名应优先迁移，因为它们最容易被“先存后解”命中；面向公众的短时效会话可以稍后跟进。同时，云服务商有责任把后量子能力做成默认开启的基线选项，而不是让每个租户自行研究参数与配置。安全团队则应把密码算法纳入云上资产清单，像管理证书到期一样管理算法生命周期。
后量子密码迁移不会在一年内完成，但它已经不再是远景规划。标准就位、入口可用、风险窗口正在计时，对云计算行业来说，这是一次必须提前动手的底座升级，越晚开始，迁移成本越高。