VPN 的后量子安全：目前有哪些做法

“后量子”这个词如今出现在各家 VPN 的网站上，旁边常常是“军用级”“新一代”这类字眼，让人很难分辨哪些是严肃的工程，哪些只是装饰。本文把 vpn post quantum security 当作一个实际问题来看：到底有什么风险，今天有哪些做法在降低这种风险，以及你可以向任何声称“已经准备好”的服务商或工具提出什么合理的要求。

如果想先看通俗入门，请读后量子 VPN 加密：这对你意味着什么。本文更深一层，讲当前的做法、取舍和评估方法，不针对任何具体产品。

风险到底在哪里

VPN 隧道用到两类密码学，量子计算机对它们的威胁大不相同。

对称加密是隧道建立后真正把数据打乱的快速密码，例如使用 256 位密钥的 AES 或 ChaCha20。已知的量子攻击（主要是 Grover 算法）只能把密钥的有效强度减半，256 位密钥相当于 128 位，仍然远远超出实际可攻击的范围。这一部分通常的建议只是：使用 256 位密钥。

公钥密码学是连接开始时用来协商共享秘密、证明身份的较慢的数学方法，常见的有椭圆曲线密钥交换和 RSA。一台足够大、能纠错的量子计算机运行 Shor 算法，理论上可以直接破解它们，而不是仅仅削弱。这才是真正的问题所在。

所以风险集中在握手阶段。如果握手日后能被破解，会话密钥就能被恢复，被录下来的整段通信也就跟着暴露。VPN 密钥交换是怎么回事用通俗的语言讲了这一步。

先存起来，以后再解密

为什么在这种计算机出现之前就要担心？因为加密流量今天就可以被复制并保存多年，这通常叫“先收集，后解密”（harvest now, decrypt later）。能接触到网络链路的一方，比如网络运营方或国家级对手，可以把加密的握手和数据录下来，等技术成熟后再解密。

这对不同的人影响并不一样。对日常浏览来说，十年后这些信息毫无价值；但有些类型不同：医疗记录、法律文件、商业机密、政府资料、长期有效的身份数据。可以问自己：这些数据需要保密多久？如果答案是几天，量子威胁只是学术话题；如果答案是二十年，现在就值得关注。

前向保密已经在一定程度上限制了损失，因为每个会话都用新的临时密钥，窃取长期密钥并不能解开旧流量。但如果量子计算机能直接破解临时密钥交换本身，前向保密就帮不上忙。所以密钥交换需要单独升级。

现在已有的标准

多年来这个领域只有一些研究性提案。美国国家标准与技术研究院（NIST）完成了公开遴选之后，情况变了：2024 年它发布了首批后量子标准。与 VPN 最相关的是 FIPS 203，它规定了 ML-KEM，一种基于结构化格的密钥封装机制，源自最初叫 Kyber 的方案。

密钥封装机制让双方可以用一种被认为能抵御量子攻击的方式协商共享秘密。NIST 还标准化了后量子签名方案，负责另一项工作：证明身份。你可以在 NIST 的后量子密码学项目页面跟踪进展。

有标准不等于每个产品都在用，它只意味着现在有了一个有名字、经过评审的目标，工程师和购买者可以对照。读到关于 VPN 后量子安全的说法时，首先要找的就是算法名称。一个页面只写“抗量子”而不提任何标准，几乎没有告诉你任何信息。

做法一：混合密钥交换

目前最常见的做法是混合式。连接同时运行一个传统密钥交换（如 X25519）和一个后量子密钥交换（如 ML-KEM），再把两者的输出合起来生成会话密钥。

这个逻辑本身就很谨慎。后量子算法更新，受到攻击检验的时间比传统算法短。如果新方案被发现缺陷，传统部分仍能抵御普通攻击者；如果量子计算机攻破了传统部分，新方案仍然保护着你。攻击者必须同时击败两者。

这种做法在 VPN 之外已经很普遍。主流浏览器和大型内容网络已经在 TLS（HTTPS 背后的协议）中启用了混合密钥交换，所以这个思路在网页上并不陌生。两层之间的关系见 HTTPS 与 VPN。代价是体积和速度：后量子的密钥材料比传统的大，握手要多传一些字节。在家用宽带上察觉不到，但在很弱或丢包严重的链路上，连接那一刻可能会有感觉。

做法二：加一把预共享密钥

有些 VPN 协议允许使用双方事先都知道的额外秘密，叫预共享密钥。例如 WireGuard 有一个可选的预共享密钥字段，会被混入密钥派生过程。录下流量、日后拥有量子计算机的攻击者，仍然缺少这把预共享密钥，因此无法仅凭公钥环节重建会话密钥。

这是一种真实有效又简单的防御，但有代价：

• 密钥必须生成得好，并通过安全的渠道交给双方。如果用普通邮件发送，好处就没了。
• 它是长期有效的秘密。一旦泄露，所有使用它的会话在这一层的保护就都失去了。
• 无法扩展到成千上万的匿名用户，因为每一对都需要自己的密钥。
• 它本身不做任何身份认证，只是多加一层，而不是替代。

对于小型站点之间的连接，或者你自己设备之间的私有隧道，预共享密钥是合理又便宜的措施。对于拥有大量客户的消费级服务，服务商更可能依靠协议内置的混合交换。

做法三：在现有协议之上叠加独立的后量子握手

第三种做法是不动现有的隧道协议，而是另外加一个独立的后量子握手与之并行。这个附加组件用后量子方法协商新的秘密，再把它作为自动轮换的预共享密钥交给隧道。这样，经过充分审查的隧道代码保持不变，新的密码学放在一个更小的独立部分里。

优点是模块化：可以改进后量子部分，而无需重写隧道。缺点是多了一个可能出故障或配置出错的环节，还要多安装并及时更新一套软件。主流应用今天有没有提供这种做法，要看具体的应用，请查看它的文档，不要想当然。

几种做法的对比

做法	保护什么	优势	主要代价或局限
256 位对称密码	隧道建立后的大量数据	对已知量子攻击被认为足够强	对握手没有帮助
混合密钥交换	会话密钥协商	传统或后量子任一半仍安全即可	握手更大，两端都要支持
预共享密钥	多加一个攻击者没有的秘密	简单、便宜、可配合现有协议	大规模分发困难，是长期秘密
独立后量子握手并输出预共享密钥	自动轮换的额外秘密	不改动隧道代码	需要额外软件与组件
后量子签名	身份与认证	长远来看必需	不如密钥交换紧迫，签名更大

注意认证是不那么紧迫的一半。签名只需要在被检验的那一刻有效，所以不能像加密流量那样被先收集、日后再破解。这也是大多数早期部署先集中在密钥交换上的原因。

怎样评估后量子的说法

你不需要是密码学家，也能问出好问题。当服务商或工具声称支持后量子时，可以用下面的清单：

1. 写明标准了吗？ ML-KEM，或描述清楚的混合方案，是有意义的回答。单写“抗量子”不是。
2. 是混合式吗？ 完全替换传统步骤的方案，风险比两者并用的方案更大。
3. 用在哪里？ 有的工具只保护某一个协议、某一个应用或某一个平台。问清楚哪些连接、哪些客户端真正在用。
4. 有文档吗？ 技术说明页、规范或公开的评审，远比一个徽章可信。
5. 默认开启吗？ 藏在高级菜单里的功能，保护不了几个人。
6. 对称密码是 256 位吗？ 这是完整答案的一部分。
7. 说法谦虚吗？ 承诺绝对安全、攻不破或永久保护的，都在夸大。

如果一个页面连前三个问题都答不上来，在被证明之前，就把它当作营销。

后量子并没有改变什么

技术升级很容易让期待被抬高，所以要记住它的边界。

• 它不能阻止钓鱼、恶意软件或弱密码。见VPN 无法保护你的哪些方面。
• 它不能向运营隧道的 VPN 服务商隐藏你的活动，因为服务商就在隧道的一端。
• 它不会让你匿名。账号、Cookie 和设备指纹仍然能识别你。
• 它保护不了一台已经被入侵的设备。
• 如果你访问的网站另一端使用弱加密，它也无能为力。VPN 覆盖的是到 VPN 服务器的那一段，而不是整条路径。

对大多数人来说，今天最有用的安全工作仍然是普通的那些：及时更新、不同网站使用不同密码、启用双重验证，对链接保持谨慎。

给不同读者的简单建议

旅行者或学生在公共 Wi-Fi 上使用 VPN，数据时效很短，几乎没有理由担心“先收集后解密”。把重点放在可靠的应用、最新的软件和账号安全上。应用若提供后量子支持，算是加分项，而不是必需。

远程办公者处理客户合同时，可以多关心一点，因为有些文件几年内都很敏感。问问雇主或 IT 团队，他们的远程接入方案有没有后量子计划，并阅读他们的政策，而不是只信消费级应用的宣传。

小型组织或有技术基础的家庭用户自建隧道的话，今天就可以使用预共享密钥，保持软件更新，并计划在所用工具支持时采用混合方案。

手里有长期秘密的人，比如记者、律师或研究人员，应把量子风险当作更完整的威胁模型的一部分。建立一个简单的隐私威胁模型是个不错的起点。

总结

量子计算机威胁的是 VPN 的公钥握手，而不是承载数据的 256 位密码。当前的做法包括：结合传统方法与 ML-KEM 的混合密钥交换、增加攻击者没有的秘密的预共享密钥，以及叠加在现有协议之上的独立后量子握手。评判任何说法，都看它是否写明标准、是否为混合式、是否说明适用范围、是否有文档。这些都不能替代基本的安全习惯，也不能让 VPN 成为一种保证。

如果简单的预付通行证符合你现在使用 VPN 的方式，可以在方便的时候看看价格页面。