后量子 VPN 加密：对你意味着什么

量子计算屡上头条，VPN 的营销也注意到了这一点。“抗量子”“面向未来的加密”这类字眼越来越多地出现在销售页面上，通常几乎没有解释。如果你曾疑惑自己的 VPN 是不是快要失效，或者是否需要换成新的，本文就是为你写的。

简短的答案很平静：量子计算并不意味着你今天就该停止使用 VPN。但这个话题是真实的，标准机构正在为此努力，有些内容值得了解。本文解释后量子 VPN 加密的含义、VPN 的哪些部分真正受到影响，以及普通用户可以采取的理智而适度的做法。本文是一般性的科普，不对任何具体服务（包括我们自己）所使用的密码学作任何说明。

“后量子”到底是什么意思

传统计算机处理的比特只有 0 或 1 两种状态。量子计算机使用量子比特，其特性使某些数学问题可以用根本不同的方式求解。对大多数日常任务，量子计算机并不会更快；但对少数特定问题，一台足够大且可靠的量子计算机可能比任何普通计算机快得多。

其中有两个问题与密码学相关。一个是破解大多数公钥系统背后的数学，例如 RSA 和椭圆曲线密码学。另一个是加速对对称密钥的暴力搜索，不过提升幅度有限。

后量子密码学（也称抗量子密码学）指的是即使面对大型量子计算机也能保持安全的算法。重要的是，这些算法运行在普通计算机上。它们不是量子技术，而是新的数学构造，被认为对普通计算机和量子计算机都很难破解。

有必要坦率地说明现状：截至今天，没有公开已知的量子计算机能够破解互联网上使用的加密。真正的担忧是要及时做好准备，因为在全球范围内更换密码学需要数年时间。

VPN 的哪些部分可能受到影响

一条 VPN 连接由若干密码学部件构成。它们面临的风险程度并不相同，分开看待既可避免恐慌，也可避免掉以轻心。如果你想回顾这些部件如何配合，VPN 加密是什么介绍了基础知识。

连接的组成部分	作用	总体而言的量子风险
数据的对称加密	用共享密钥把流量打乱	较低。更长的密钥被认为足够稳健
密钥交换	让两端安全地约定那个共享密钥	较高。常见的公钥方法可能被大型量子计算机破解
数字签名与证书	证明你在与谁通信	长期来看较高，但难以事后利用
哈希与完整性校验	检测篡改	较低。更长的输出被认为足够

关键在于：数据的主体加密并不是薄弱环节，薄弱环节是最初如何约定密钥。如果攻击者能破解密钥交换，就能推导出会话密钥并读取数据，即使数据加密本身很强。

先收集，后解密

你可能见过这个说法，并疑惑为什么要担心一台尚不存在的计算机。逻辑其实很直接：有能力大量记录加密流量的攻击者，今天就可以把它存起来。如果未来出现能破解密钥交换的量子计算机，存下来的流量就可能被解密。

这件事对你是否重要，取决于你的信息需要保密多久。

• 短期信息几乎不受影响。一次聊午饭的视频通话、一次随手的网页搜索或一个快递追踪页面，十五年后毫无价值。
• 长期信息才是担忧所在。国家机密、健康记录、商业机密、法律文件和身份证件，可能需要几十年保持机密。

大多数在公共 Wi-Fi 或旅行中使用 VPN 的人属于第一类。传输敏感数据的机构属于第二类，这也是标准机构和大型机构最先行动的原因。即便如此，对个人而言，合理的态度是保持了解，而不是惊慌。

后量子密码学如何运作：简要说明

美国国家标准与技术研究院（NIST）开展了历时数年的公开遴选过程，筛选抗量子算法，详见其后量子密码学项目页面，并已发布首批标准。其中的 FIPS 203 规定了一种名为 ML-KEM 的密钥封装机制，用于建立共享密钥。其他标准则涉及数字签名。

你不需要理解数学，两个概念就够了。

1. 新的困难问题。 新方案不再依赖大数分解或椭圆曲线，而是依赖其他问题，例如基于结构化格的问题，目前不知道量子计算机能轻易解决它们。
2. 混合方式。 由于新算法还很年轻，许多部署会把传统密钥交换与后量子密钥交换结合使用，会话密钥由两者共同导出。如果之后发现其中一个存在弱点，另一个仍能保护连接。混合设计已经用于部分网页连接，包括使用 TLS（RFC 8446 所描述的协议）的连接。

还有一点要记住：新算法有代价。它们的密钥和消息通常比传统算法大，这可能为连接建立增加一点开销。

VPN 服务商与协议能做什么

VPN 协议是由上述密码学部件组成的配方。协议设计者和服务商有几种准备方式，大致了解它们的样子，有助于你理智地解读各种说法。关于协议的背景，参见VPN 协议是什么。

• 加入后量子密钥交换。 将标准化的抗量子方法与现有传统方法以混合方式结合，保护被认为最容易受到威胁的密钥约定环节。
• 使用预共享的对称密钥。 有些协议允许把预先共享的额外秘密密钥混入密钥推导。WireGuard 的白皮书描述了可选的预共享密钥功能，并讨论了在公钥部分被削弱时它如何提供额外的抵抗力。问题在于，安全地分发这类密钥本身就是一项挑战，所以它更适合特定的部署，而不是面向大众的服务。
• 保持软件更新。 密码学会随时间变化。定期更新软件并淘汰旧算法的服务商，比从不更新的更有准备。
• 规划好灵活性。 好的系统在设计时就考虑到可以更换算法，而无需整体重新设计。
• 保持透明。 谈论这件事最可信的方式是有文档：哪种算法、用于哪个协议、从哪个版本开始。

关于协议的一般比较，见WireGuard 与 OpenVPN 对比。某项服务是否采用了上述措施，只有该服务自己能告诉你。

如何解读后量子宣传

由于这个话题很时髦，你读到的内容有一部分会很浅。看到“抗量子”或“量子安全”的加密宣传时，问问下面这些问题。

1. 用的是哪种算法？ 真实的宣传会点出某个标准，或者至少是算法家族。含糊的措辞是警示信号。
2. 用在哪里？ 是在密钥交换中、所有协议和所有平台上，还是仅在某个实验性选项里？
3. 是否为混合方式？ 将传统与后量子方法结合，是目前较谨慎的做法。
4. 是否默认开启？ 藏在高级菜单里的功能，保护的人更少。
5. 有没有文档或独立评审？ 找技术说明，而不是横幅广告。
6. 宣传是否承诺过多？ “牢不可破”“保证”“永远”这类词是营销，而不是工程。没有人能保证数学或机器会如何发展。

一句简短而诚实的声明，比一句响亮的话更有价值。像“我们在这些协议中从这个版本起使用混合密钥交换”，比“面向未来的加密”能告诉你多得多。

作为普通用户，你可以做什么

你不需要自己配置密码学。几个习惯更重要。

• 保持操作系统、浏览器和 VPN 应用更新。 更新是新的密码学抵达普通用户的途径。
• 优先选择会解释自己的服务。 为协议和更新方式提供文档的服务商更容易让人信任。
• 想想你的数据需要保护多久。 如果你处理的信息需要多年保密，例如某些职业记录，请听取适合你所在领域的建议。对于日常浏览，风险很低。
• 不要只依赖 VPN。 强密码、双重验证和谨慎点击，能抵御常见得多的威胁。常见的 VPN 安全误区有助于你建立整体认识。
• 对紧迫感保持怀疑。 一则说“因为量子计算机你现在必须更换”的广告，很可能是在推销什么。

几个场景

在酒店 Wi-Fi 上的旅行者。 小雅读邮件、查地图。这些信息有用几分钟，而不是几十年。后量子的问题她觉得有趣，但并不关键。保持 VPN 更新，并养成留意浏览器中锁形标志的习惯，更重要。

手握客户合同的自由职业者。 小林发送的文件需要保密几年。她保持工具更新，并询问客户期望什么安全标准。如果客户要求特定的密码学方案，她会遵循客户的指引。

保存长期记录的研究者。 颂猜博士处理的记录需要保密几十年。他应遵循所在机构或监管部门的指引，这些指引会越来越多地涉及向后量子迁移。面向消费者的 VPN 只是他整个配置中很小的一部分。

局限与注意事项

• 时间表不确定。 没有人确切知道，大到足以破解当今密钥交换的量子计算机会在何时出现，甚至是否会出现。提前准备是谨慎之举，并不说明危险迫在眉睫。
• 后量子并不完美。 新算法还很年轻，在标准化过程中，一些候选算法已被传统攻击方式破解。这就是混合设计受欢迎的原因。
• 加密只是其中一层。 即使密码学完美，也无法保护你免受网络钓鱼、恶意软件或你自己泄露凭据的影响。参见VPN 无法保护你免受什么。
• 你无法从外部检查服务商的实现。 文档有帮助，但仍是服务商自己的描述。
• VPN 不会让你匿名。 更好的加密改变的是网络窃听者能读到什么，而不是你在所登录的网站面前是谁。

小结

后量子 VPN 加密要保护的，是 VPN 中最容易受到未来量子计算机威胁的部分：建立会话密钥的密钥交换。使用长密钥的数据主体加密被认为风险小得多。如今已有标准，混合设计把新旧方法结合起来，真正现实的担忧是今天被记录下来的长期数据。对大多数人来说，正确的反应是保持平静：保持软件更新，优先选择把安全措施讲清楚的服务，并对“抗量子”的营销提出疑问。

如果你只想要一个固定天数、不自动续费的直接易懂的 VPN 通行证，价格页面说明了我们的通行证是如何运作的。