NIST FIPS 203/204/205 后量子标准对邮件加密迁移意味着什么？

NIST 在 2024 年 8 月 13 日同时发布了首批三项后量子密码标准，分别覆盖两类不同用途：

• FIPS 203 — ML-KEM（基于模格的密钥封装机制，源自 CRYSTALS-Kyber）。用于建立共享密钥，对应邮件中的密钥传输与 TLS 握手中的密钥协商。参数集为 ML-KEM-512 / 768 / 1024。
• FIPS 204 — ML-DSA（基于模格的数字签名，源自 CRYSTALS-Dilithium）。通用签名主选方案，参数集为 ML-DSA-44 / 65 / 87。
• FIPS 205 — SLH-DSA（无状态哈希签名，源自 SPHINCS+）。安全性只依赖哈希函数假设，作为格类方案的备份路线，代价是签名体积大、签名速度慢。

需要强调的分工：ML-KEM 解决机密性，ML-DSA/SLH-DSA 解决真实性。两者面临的时间压力完全不同，这直接决定了迁移的优先级。

后量子算法的公钥、密文与签名普遍比 RSA / ECC 大一个数量级。以标准中定义的尺寸为例，ML-KEM-768 的封装密钥为 1184 字节、密文为 1088 字节；ML-DSA-65 的公钥为 1952 字节、签名为 3309 字节；而 SLH-DSA 在小签名参数集下签名也在数千字节量级，快签名参数集则达上万字节。作为对照，Ed25519 的公钥与签名分别仅 32 与 64 字节。

对邮件的具体冲击包括：

• 证书与信任链膨胀：一条含中间 CA 的链，若每级都换成后量子签名，整体体积可能增长数倍甚至十倍以上；S/MIME 邮件本身就要携带证书链，膨胀直接落在每一封邮件上。
• 握手与投递开销：SMTP 服务器间连接的握手数据量上升，在高延迟或丢包链路上影响更明显。
• 尺寸限制被触发：附带大体积签名的邮件更容易撞上 SIZE 扩展公告的上限或网关的报文尺寸策略。

因此邮件系统的后量子迁移不能简单类比 Web 的经验，必须实测证书链体积、单封邮件增量与队列存储增长。

NIST 在 IR 8547（当前为初始公开草案，引用时应注明其草案状态）中给出了向后量子标准过渡的规划思路：现有基于整数分解与离散对数的公钥算法在 2030 年前后进入弃用（deprecated）阶段，并在 2035 年前后不再允许使用。具体年份以最终发布版本为准，但方向已经明确——迁移不是"要不要做"，而是"什么时候做完"。

邮件场景中最需要提前动作的是机密性，原因是"先收割后解密"（harvest now, decrypt later）：攻击者今天截获并存储密文，等到具备足够能力的量子计算机出现后再解密。凡是保密期限跨越十年以上的邮件——法律文书、并购材料、长期研发资料、个人健康与身份信息——现在使用传统公钥算法加密，其风险已经真实存在。

相比之下签名的时间压力较低：伪造一个十年前的签名，在多数业务场景中价值有限（长期存档与法律证据链是例外）。因此合理的优先级是：先解决长期机密邮件的加密算法，再逐步推进签名体系。

1. 先做密码资产盘点。列出邮件系统中所有用到公钥密码的位置：SMTP/IMAP 的 TLS、S/MIME 证书、OpenPGP 密钥、DKIM 签名密钥、管理面 SSH 与 VPN、备份加密。没有清单就谈不上迁移。
2. 按数据保密期分级。用"该数据需要保密多少年"排序，保密期越长、越优先。
3. 优先在传输层试点混合模式。传输层的算法协商是双向即时的，出问题可回退，比端到端加密更容易试点；而端到端加密涉及证书签发体系与全体客户端升级，周期长得多。
4. 关注承载标准的进展。ML-KEM / ML-DSA 在 S/MIME（CMS）与 OpenPGP 中的算法标识与编码方式仍在 IETF 标准化过程中，产品互操作需以正式发布的 RFC 为准，不要基于预标准实现做大规模部署。
5. 建立算法敏捷性。参考 SP 800-57 Part 1 的密钥管理框架，把算法、密钥长度、密码周期做成可配置项而非硬编码，这是应对后续标准变化的根本能力。