摘要
量子计算技术的持续发展对基于离散对数和大整数分解的传统公钥密码体系构成长期威胁，"先收集后解密" 攻击模式使得具备长期保密性需求的数据在当前阶段就已面临风险。后量子密码算法的标准化与工程化部署成为网络安全领域的紧迫议题，而传输层安全协议作为互联网加密通信的基础设施，其密钥交换环节的后量子迁移尤为关键。本文以 Cloudflare 于 2026 年推出的自动后量子密钥交换功能为研究样本，系统分析该机制在 TLS 1.3 协议框架下的设计逻辑、工程实现与规模化部署效果。研究发现，Cloudflare 通过主动探测源服务器算法能力、优先选用 X25519MLKEM768 混合后量子算法、每日重扫与渐进式部署相结合的策略，在日均约 450 亿次连接的规模下实现后量子密钥交换的默认启用，同时将需要 HelloRetryRequest 的连接比例从约 52% 降至 3.7%，有效缓解了 TLS 1.3 握手中客户端先发密钥共享所导致的重试延迟问题。反网络钓鱼技术专家芦笛指出，后量子密码的规模化落地不能仅依赖算法本身的安全性，工程层面的兼容性适配、性能优化与动态探测机制同样决定迁移成败。本文进一步讨论后量子密码部署中遗留基础设施兼容、密钥尺寸膨胀、混合过渡模式等共性工程挑战，为互联网平台推进后量子迁移提供可参考的实践路径。
关键词：后量子密码；密钥交换；TLS 1.3；ML-KEM；混合密码；Cloudflare
1 引言
公钥密码体系是现代互联网安全通信的基石，传输层安全协议依赖非对称密钥交换在通信双方之间协商出共享密钥，进而保障传输数据的机密性与完整性。当前广泛使用的椭圆曲线 Diffie-Hellman 密钥交换以及 RSA 密钥传输，其安全性均建立在特定数学难题的计算复杂性之上。随着量子计算理论与实验的不断推进，具备足够规模的容错量子计算机一旦出现，将能够通过 Shor 算法在多项式时间内求解大整数分解与离散对数问题，从根本上瓦解现有公钥密码的安全基础。
尽管通用容错量子计算机的工程实现仍存在不确定性，但密码学界与安全产业界普遍认为迁移工作必须提前启动。核心原因在于 "先收集后解密" 攻击模式的存在：攻击者可以在当前阶段大规模截获并存储加密通信流量，待未来量子计算机成熟后再对历史流量进行解密。对于医疗记录、金融数据、政府机密、商业秘密等具备长期保密需求的信息，其保密周期往往跨越十年甚至更久，若等到量子计算机实际可用时再启动迁移，这些数据在过渡期内的历史流量将永久暴露。因此，后量子密码的部署时点应当早于量子威胁的实际到来，而非与之同步。
美国国家标准与技术研究院自 2016 年启动后量子密码标准化进程，经过多轮公开评审与密码分析，于 2024 年正式发布基于格密码的密钥封装机制 ML-KEM 作为通用密钥交换标准算法，同时发布数字签名标准 ML-DSA 与 SLH-DSA。标准化完成之后，产业界的工作重心从算法选型转向工程部署。然而，将后量子算法从规范文档落地到真实互联网环境，面临协议兼容、性能开销、遗留系统适配等多重工程障碍，并非简单替换算法即可完成。
Cloudflare 作为全球规模最大的内容分发网络与安全服务提供商之一，其网络承载海量互联网流量，在 TLS 协议演进与密码算法部署方面始终处于行业前沿。2026 年 9 月，Cloudflare 宣布推出自动后量子密钥交换功能，对支持 TLS 1.3 的源服务器默认启用混合后量子密钥交换，日均保护约 450 亿次连接。该功能并非简单地将后量子算法加入支持列表，而是针对 TLS 1.3 协议的固有设计局限，构建了一套主动探测、动态选路、渐进部署的工程机制，在规模化场景下验证了后量子密码落地的可行性。
本文以该事件为切入点，不局限于对单一产品功能的介绍，而是将其置于后量子密码迁移的整体背景之下，剖析 TLS 协议密钥交换环节的结构性问题，拆解 Cloudflare 方案的设计逻辑与工程取舍，评估其规模化部署效果，并从中提炼对全行业具有参考价值的后量子迁移经验。研究力求技术表述准确，避免对量子威胁做过度渲染，客观呈现后量子密码部署的现实进展与尚存挑战。
2 后量子密码迁移的背景与现实紧迫性
2.1 量子计算对传统公钥密码的威胁机理
传统公钥密码的安全性依赖于两类被认为在经典计算模型下难以高效求解的数学问题。RSA 算法的安全性基于大整数分解问题，即给定两个大素数的乘积，在不知道素因子的情况下难以将其分解还原；椭圆曲线 Diffie-Hellman 密钥交换的安全性基于椭圆曲线离散对数问题，即给定椭圆曲线上的基点与该基点的整数倍点，难以反推出该整数。这两类问题在经典计算机上目前不存在亚指数级别的高效算法，因此通过选择足够大的密钥长度，可以保障实际应用中的安全性。
量子计算机利用量子比特的叠加与纠缠特性，可以运行在经典计算机上无法高效实现的算法。1994 年提出的 Shor 算法证明，在具备足够量子比特与低错误率的量子计算机上，大整数分解与离散对数问题均可以在多项式时间内求解。这意味着一旦足够规模的容错量子计算机建成，当前所有基于 RSA 与椭圆曲线的公钥加密、密钥交换与数字签名方案都将不再安全。需要区分的是，Shor 算法针对的是非对称密码，对于对称密码与哈希函数，量子计算的影响相对有限，Grover 算法仅能将对称密码的暴力搜索复杂度平方根级降低，通过加倍密钥长度即可有效应对。
当前量子计算硬件仍处于含噪中等规模量子阶段，量子比特数量与纠错能力远未达到运行实用规模 Shor 算法的要求。学术界对通用容错量子计算机的实现时间存在不同估计，从十余年到数十年不等，且存在较大不确定性。但密码迁移本身是一个漫长的过程，涉及标准制定、协议更新、软件升级、硬件替换、互操作性测试等多个环节，互联网基础设施的全面替换往往需要十年以上周期。考虑到 "先收集后解密" 威胁，迁移启动的时间应当显著早于量子计算机实际可用的时间节点。
2.2 "先收集后解密" 攻击模式的现实风险
"先收集后解密" 是后量子密码讨论中反复被提及的攻击模型，其核心逻辑在于加密数据的保密周期与密码分析能力发展之间的时间差。攻击者不需要在当下破解加密，只需要具备大规模存储截获流量的能力，将加密的通信原始数据完整保存，等待未来量子计算能力成熟后再进行解密。对于保密周期较短的临时数据，例如单次会话的临时密钥、即时通信的短时消息，这类攻击的实际价值有限；但对于需要长期保密的数据，攻击威胁则十分现实。
医疗健康记录通常需要在患者整个生命周期内保密，部分遗传信息甚至涉及家族后代的隐私；金融领域的交易记录、客户身份信息、商业合同往往需要长期保存；政府与军事领域的机密信息保密周期可达数十年；企业的核心技术秘密、战略规划、未公开的并购信息同样具备长期保密需求。这些数据在传输过程中如果被截获存储，即便当前加密算法无法被破解，十年或二十年后量子计算机成熟时，这些历史数据仍可被解密，造成不可逆的信息泄露。
反网络钓鱼技术专家芦笛强调，"先收集后解密" 并非理论假设，而是已经具备现实操作条件的攻击模式。大规模流量存储的成本持续下降，国家级攻击者完全有能力对关键通信链路进行长期流量采集与归档。后量子密码部署的核心价值之一，就是让当下传输的长期敏感数据即使被存储，在未来也无法被量子计算机解密，从而切断这一攻击链条。如果等到量子计算机实际出现再部署后量子密码，那么在部署之前所有被截获的历史流量都将处于永久可解密的风险之中，这一时间差无法事后弥补。
2.3 NIST 后量子标准化进程与 ML-KEM 算法
为应对量子计算威胁，美国国家标准与技术研究院于 2016 年正式启动后量子密码标准化项目，面向全球征集能够抵抗量子计算机攻击的公钥密码算法。该项目遵循公开透明的评审模式，参选算法需要接受全球密码学界的持续密码分析，任何能够找到有效攻击方法的算法都会被淘汰。经过三轮筛选与多轮调整，NIST 于 2022 年宣布首批标准化算法选型，于 2024 年正式发布联邦信息处理标准，其中 ML-KEM 被选定为通用密钥封装机制标准，用于替代现有密钥交换方案。
ML-KEM 的全称是模块格基密钥封装机制，其安全性基于模块格上的学习误差问题，这一问题被认为在经典计算机与量子计算机下均难以高效求解。与传统的 Diffie-Hellman 密钥交换不同，ML-KEM 采用密钥封装模式，由一方生成密钥对并封装出共享密钥与密文，另一方使用私钥解封装得到相同的共享密钥。这种模式在协议集成上与现有密钥交换流程存在差异，需要协议层做相应适配。
ML-KEM 提供三组参数级别，分别对应不同的安全强度与性能开销。其中 ML-KEM-768 是被产业界广泛选用的中间级别参数，其安全强度大致等同于 AES-192，能够满足绝大多数通用场景的安全需求，同时密钥与密文尺寸处于可接受范围。在 TLS 协议的实际部署中，ML-KEM 通常不单独使用，而是与传统椭圆曲线密钥交换组合形成混合模式，即在同一次握手中同时执行经典密钥交换与后量子密钥封装，将两者的输出共同派生最终会话密钥。混合模式的设计逻辑在于，即便后量子算法未来被发现存在安全缺陷，经典算法的安全性仍然可以作为兜底；反之，即便经典算法被量子计算机破解，后量子算法的安全性仍然可以保障通信安全。这种双保险的设计在迁移过渡期具备显著的合理性，也是当前产业界的主流选择。
3 TLS 1.3 密钥交换机制的固有局限
3.1 TLS 1.3 握手流程与密钥共享发送时序问题
TLS 1.3 是当前最新的传输层安全协议版本，相较于 TLS 1.2 在安全性与性能上均有显著提升。TLS 1.3 将完整握手压缩为单次往返，客户端在第一条 ClientHello 消息中就需要发送自己的密钥共享信息，即预先猜测服务器可能支持的密钥交换算法，并发送对应算法的公钥。服务器在收到 ClientHello 后，如果支持客户端猜测的算法，就可以直接用自己的私钥计算出共享密钥，返回 ServerHello 与后续握手消息，完成一次往返握手。
这一设计的初衷是降低握手延迟，将传统 TLS 1.2 需要两次往返的完整握手压缩为一次往返。但该设计存在一个固有前提：客户端必须在不知道服务器算法偏好的情况下，预先发送密钥共享。如果客户端猜测的算法服务器不支持，服务器就无法直接完成密钥协商，必须返回 HelloRetryRequest 消息，告知客户端自己支持的算法，客户端收到后重新发送包含正确算法密钥共享的 ClientHello，这一过程额外增加一次往返，导致握手延迟显著上升。
在经典椭圆曲线密钥交换时代，这一问题的影响相对有限。主流服务器普遍支持 X25519 等少数几种椭圆曲线算法，客户端默认发送 X25519 密钥共享的命中率较高，需要重试的比例处于可接受范围。但在后量子算法引入之后，算法支持情况变得更加复杂。不同服务器的软件版本、配置策略、硬件能力差异很大，部分服务器已经支持后量子混合算法，部分仅支持经典算法，还有部分可能因为配置问题虽然声明支持但实际无法正常完成握手。客户端如果默认发送后量子密钥共享，在不支持的服务器上必然触发重试；如果为了避免重试而不发送后量子密钥共享，又无法享受后量子安全保障。这一矛盾是后量子密钥交换在 TLS 1.3 中规模化部署面临的核心协议层障碍。
3.2 HelloRetryRequest 机制及其延迟代价
HelloRetryRequest 是 TLS 1.3 协议中用于密钥协商失败重试的机制。当服务器收到 ClientHello 后，如果发现客户端提供的密钥共享算法不在自己支持的列表中，或者客户端没有发送任何可用的密钥共享，服务器就会返回 HelloRetryRequest 消息，其中包含服务器选定的密钥交换算法标识。客户端收到后，需要根据服务器指定的算法重新生成密钥对，将新的密钥共享放入第二个 ClientHello 中重新发送。这一重试流程意味着原本一次往返即可完成的握手变成了两次往返，在网络延迟较高的场景下，额外增加的往返时间可能达到数十毫秒甚至上百毫秒，对用户体验与连接建立速度产生可感知的影响。
在 Cloudflare 部署自动后量子密钥交换之前，行业内普遍采用的做法是让客户端在 ClientHello 中同时发送经典算法与后量子算法的密钥共享，即所谓的 "先发多个密钥共享" 策略。但这一策略存在明显缺陷：一方面，同时发送多个密钥共享会显著增大 ClientHello 消息的体积，后量子算法的公钥尺寸远大于经典椭圆曲线，多个密钥共享叠加可能导致消息超过初始拥塞窗口，增加传输开销；另一方面，部分老旧服务器或中间盒在遇到包含未知后量子算法标识的 ClientHello 时，可能出现兼容性问题，甚至直接断开连接。更为关键的是，即便客户端同时发送了多种算法的密钥共享，如果服务器的实现存在缺陷，仍然可能无法正确选择可用算法，转而触发 HelloRetryRequest。
根据 Cloudflare 公布的数据，在引入自动密钥交换机制之前，其网络中需要 HelloRetryRequest 的连接比例约为 52%，这意味着超过一半的 TLS 1.3 连接因为密钥协商不匹配而需要额外一次往返。这一比例在后量子算法引入的背景下显得尤为突出，因为算法支持的碎片化程度进一步加剧了客户端预猜测的难度。如果不能有效降低重试比例，后量子密钥交换的规模化部署将以显著的性能劣化为代价，这对于对延迟敏感的互联网服务而言是难以接受的。
3.3 后量子算法引入后的密钥尺寸膨胀问题
后量子密码算法相较于经典公钥算法的一个显著特征是密钥与密文尺寸更大。以 ML-KEM-768 为例，其公钥尺寸约为 1184 字节，密文尺寸约为 1088 字节，而经典 X25519 的公钥仅为 32 字节。即便采用混合模式，在 X25519 的基础上叠加 ML-KEM-768，密钥共享的总尺寸也从 32 字节增加到超过 1200 字节，增长了数十倍。
密钥尺寸膨胀在 TLS 握手过程中带来多方面影响。首先，ClientHello 消息体积显著增大，可能超过 TCP 初始拥塞窗口的大小，导致客户端需要分多个报文段发送，增加握手的网络往返次数。其次，更大的消息意味着更高的带宽消耗，在高并发场景下累计开销可观。再次，部分网络中间设备、负载均衡器、防火墙对 TLS 消息大小存在隐含假设，过大的 ClientHello 可能触发这些设备的异常处理，导致连接失败。最后，服务器端在处理更大的密钥共享时，内存占用与计算开销也会相应增加。
密钥尺寸膨胀是后量子密码工程部署中无法回避的物理约束，无法通过协议优化完全消除，只能通过合理的算法参数选择、混合模式设计与兼容性处理来缓解。在实际部署中，选择 ML-KEM-768 而非更高安全级别的 ML-KEM-1024，正是在安全强度与尺寸开销之间的平衡取舍。同时，混合模式下只在经典密钥交换基础上增加一份后量子密钥封装，而非完全替换，也控制了整体尺寸的增长幅度。
4 Cloudflare 自动后量子密钥交换机制的设计与实现
4.1 主动探测与算法能力发现机制
针对 TLS 1.3 客户端必须先发密钥共享的协议局限，Cloudflare 的解决思路不是让客户端去猜测，而是由 Cloudflare 边缘节点主动掌握源服务器的算法支持情况。Cloudflare 作为反向代理，位于客户端与源服务器之间，客户端到 Cloudflare 边缘节点的连接由 Cloudflare 完全控制，而 Cloudflare 边缘节点到客户源服务器的连接是需要重点优化的环节。自动密钥交换功能的核心，就是 Cloudflare 边缘节点在与源服务器建立连接之前，已经通过主动探测获知该源服务器支持哪些密钥交换算法，从而在发送 ClientHello 时直接发送服务器支持的最优算法的密钥共享，避免猜测失误导致的重试。
具体而言，Cloudflare 会对其保护的每一个源服务器进行主动探测，向源服务器发送包含不同密钥交换算法的测试握手，观察源服务器的响应行为，从而建立该源服务器的算法能力画像。探测不仅关注源服务器声明支持哪些算法标识，更关注实际握手能否成功完成，因为部分服务器可能在配置中启用了后量子算法，但由于底层库版本不匹配、配置错误、中间设备干扰等原因，实际握手无法正常完成。只有通过实际握手测试验证过的算法能力，才会被纳入可用算法列表。
这一主动探测机制将传统 TLS 握手中 "客户端盲猜、服务器纠正" 的被动模式，转变为 "平台预探测、连接时精准匹配" 的主动模式。由于 Cloudflare 作为中间平台掌握着海量源服务器的连接信息，有条件也有动力去维护这份算法能力数据库，而单个客户端通常不具备这样的全局视野与探测能力。这种由平台侧集中解决协议层固有问题的思路，是 Cloudflare 方案的核心创新点。
4.2 X25519MLKEM768 混合算法的优先策略
在算法选择优先级上，Cloudflare 将 X25519MLKEM768 混合算法列为首选。该算法组合将经典的 X25519 椭圆曲线密钥交换与 ML-KEM-768 后量子密钥封装机制结合，在同一次握手中同时执行两种密钥协商，最终的会话密钥由两种协商结果共同派生。这种混合设计的安全逻辑前文已述，即在过渡期内同时保留经典算法与后量子算法的安全保障，任何一方未被攻破都可以保障通信安全。
选择 X25519 而非其他椭圆曲线，是因为 X25519 在性能、安全性与实现简洁性方面具备综合优势，已经成为 TLS 1.3 中最广泛支持的椭圆曲线算法。选择 ML-KEM-768 而非更高参数级别，是因为该级别在提供充足安全强度的同时，密钥与密文尺寸相对可控，能够在性能开销与安全保障之间取得平衡。对于绝大多数互联网通信场景，ML-KEM-768 的安全强度已经足够，没有必要为了理论上更高的安全级别而承担显著更大的性能代价。
当主动探测确认源服务器支持 X25519MLKEM768 混合算法时，Cloudflare 边缘节点在与该源服务器建立连接时会直接发送该混合算法的密钥共享，服务器可以直接完成协商，无需重试。当探测发现源服务器不支持后量子混合算法时，Cloudflare 会自动回退到源服务器支持的最强经典算法，确保连接兼容性不受影响。这种优先后量子、必要时回退经典的策略，在不牺牲兼容性的前提下最大化后量子算法的覆盖范围。
4.3 每日重扫与渐进式部署的容错设计
源服务器的算法支持情况并非一成不变。服务器管理员可能随时升级软件版本、修改配置、更换证书，或者服务器前的中间设备可能发生变化，这些都会影响实际的密钥交换算法支持情况。如果 Cloudflare 仅做一次性探测，那么探测结果很快就会过时，导致连接时按照旧的能力画像发送密钥共享，在服务器能力发生变化后触发重试甚至连接失败。
为解决这一问题，Cloudflare 采用每日重扫机制，对所有源服务器的算法能力进行周期性重新探测，确保能力画像的时效性。每日重扫的频率设定是在时效性与探测开销之间的平衡：更高频率的重扫能够更快发现服务器能力变化，但会增加对源服务器的探测流量与计算开销；更低频率则可能导致画像过期。每日一次的重扫对于绝大多数场景已经足够，因为服务器配置的变化通常不会以小时为单位频繁发生。
除了周期性重扫，Cloudflare 还采用渐进式部署策略来控制风险。新功能上线时，并非一次性对所有源服务器启用后量子密钥交换，而是逐步扩大覆盖范围，在每个阶段密切监控连接成功率、握手延迟、错误率等关键指标。如果发现某类源服务器存在兼容性问题，能够及时回退或调整策略，避免影响大规模用户。这种灰度发布的方式在互联网服务部署中十分常见，但在后量子密码这种涉及底层密码协议变更的场景下尤为重要，因为任何兼容性问题都可能直接导致用户无法访问网站，影响面极大。
反网络钓鱼技术专家芦笛指出，后量子密码部署中的容错设计往往比算法本身更决定用户体验。密码算法的安全性由密码学界经过多年分析验证，相对可靠；但真实网络环境中的兼容性问题千差万别，老旧服务器、异构中间设备、非标准实现都可能导致握手失败。主动探测、周期重扫、渐进部署这三重机制叠加，本质上是用工程手段对冲真实环境的不确定性，将后量子算法部署的风险控制在可接受范围内。
4.4 规模化部署效果：450 亿日连接与延迟优化
根据 Cloudflare 公布的数据，自动后量子密钥交换功能上线后，其网络中受保护的连接规模达到日均约 450 亿次。这一数字意味着后量子密钥交换已经从实验室试点进入真正的互联网规模化部署阶段，每天有数百亿次连接在密钥交换环节获得后量子安全保障。这一规模在全球范围内处于领先地位，也验证了后量子算法在高并发生产环境中的可用性。
在性能指标方面，该机制最显著的效果是大幅降低了 HelloRetryRequest 的发生比例。数据显示，需要 HelloRetryRequest 的连接比例从功能上线前的约 52% 降至 3.7%，降幅超过九成。这意味着绝大多数连接不再因为密钥协商不匹配而需要额外一次往返，握手延迟得到显著优化。对于用户而言，网站访问的连接建立速度更快，尤其是在网络延迟较高的移动网络场景下，减少一次往返带来的体验提升十分明显。
需要客观看待的是，3.7% 的重试比例并未完全消除，剩余的重试主要来自几类情况：一是源服务器能力在两次重扫之间发生变化，导致画像暂时过期；二是部分服务器的算法支持存在间歇性异常，探测时正常但实际连接时失败；三是网络路径中的中间设备动态变化，影响握手报文的正常传输。这些残余问题难以通过平台侧手段完全解决，需要源服务器侧与网络基础设施侧的协同优化。但从 52% 到 3.7% 的降幅已经充分证明，主动探测机制在解决 TLS 1.3 密钥协商时序问题上的有效性。
该功能对支持 TLS 1.3 的新域与现有域默认启用，这一策略大幅降低了客户的迁移门槛。客户不需要手动配置后量子算法，不需要了解复杂的密码学参数，只要源服务器支持 TLS 1.3，就可以自动获得后量子密钥交换的安全保障。这种默认启用的策略是推动后量子密码普及的关键，因为如果将后量子算法设为可选项，绝大多数客户出于惰性或顾虑不会主动开启，迁移进度将十分缓慢。默认启用同时保留回退机制，既保障了安全收益，又控制了兼容性风险。
5 后量子密码规模化部署的工程挑战
5.1 兼容性与遗留基础设施的适配难题
后量子密码规模化部署面临的首要挑战是兼容性。互联网是一个高度异构的生态系统，存在大量不同年代、不同厂商、不同配置的服务器、网络设备与软件实现。部分服务器运行的操作系统与 TLS 库版本较老，根本不支持后量子算法；部分服务器虽然软件层面支持，但管理员出于稳定性考虑未启用；还有部分服务器前部署了负载均衡器、防火墙、入侵检测系统等中间设备，这些设备可能对包含后量子算法标识的 TLS 握手报文处理不当，导致连接中断。
兼容性问题的复杂性在于，它往往不是非黑即白的。有些服务器在测试环境中能够正常完成后量子握手，但在生产环境的高负载下出现间歇性失败；有些服务器对特定后量子参数级别支持正常，但对另一个级别存在缺陷；有些中间设备在小报文下工作正常，但遇到后量子算法带来的大尺寸 ClientHello 时出现缓冲区溢出或截断。这些边缘情况在实验室测试中很难完全覆盖，只有在真实大规模流量下才会暴露。
Cloudflare 的主动探测机制在一定程度上缓解了兼容性问题，通过实际握手测试验证每个源服务器的真实支持情况，避免了单纯依赖服务器声明的算法列表。但这种机制只能解决 Cloudflare 到源服务器这一段的兼容性，对于客户端到 Cloudflare 边缘节点的连接，以及不经过 Cloudflare 的普通互联网连接，兼容性问题仍然存在。全行业的后量子迁移需要服务器软件厂商、操作系统发行版、网络设备厂商共同推进，逐步淘汰不支持后量子算法的老旧实现，这是一个长期过程。
5.2 性能开销与握手延迟的平衡
后量子算法带来的性能开销是规模化部署必须面对的另一挑战。如前所述，后量子算法的密钥与密文尺寸远大于经典算法，导致 TLS 握手报文体积增大，网络传输开销上升。同时，后量子算法的计算开销也高于经典椭圆曲线算法，尽管 ML-KEM 在设计上已经兼顾了计算效率，但其密钥生成、封装、解封装的计算量仍然大于 X25519。在高并发服务器上，累计的计算开销可能影响 CPU 利用率与吞吐量。
性能开销的影响在不同场景下差异较大。对于内容分发网络这类承载海量短连接的平台，握手计算的累计开销十分可观，每一次连接都需要执行一次密钥交换，后量子算法带来的额外计算量乘以数十亿次连接，总量巨大。对于长连接为主的场景，例如虚拟专用网络、持久化应用连接，握手只在连接建立时执行一次，后续数据传输使用对称加密，后量子算法的性能开销影响相对较小。
Cloudflare 的方案在性能优化上做了多方面努力。通过主动探测降低 HelloRetryRequest 比例，本身就是一种性能优化，因为减少一次网络往返带来的延迟收益远大于后量子算法本身的计算开销。选择 ML-KEM-768 这一中间参数级别，也是在安全与性能之间的平衡。此外，Cloudflare 在边缘节点上对后量子算法的实现做了针对性优化，包括硬件加速、批量处理等手段，尽可能降低单次握手的计算延迟。
需要指出的是，性能开销是后量子密码的固有属性，无法完全消除，只能通过工程优化将其控制在可接受范围。随着后量子算法实现的不断成熟、硬件支持的逐步普及，性能开销会持续下降。在迁移初期，适当的性能代价是换取长期安全保障的必要投入。
5.3 混合模式作为过渡方案的合理性
当前产业界普遍采用混合模式部署后量子密钥交换，即在同一次握手中同时执行经典算法与后量子算法。这一做法引发了一些讨论：既然后量子算法已经被标准化且被认为安全，为什么不直接完全替换经典算法，而是要保留两者叠加？
混合模式的合理性主要体现在三个方面。第一，后量子算法的密码分析历史相对较短。ML-KEM 所基于的格密码问题虽然经过了学术界十余年的研究，但与 RSA、椭圆曲线这些经受了数十年广泛分析的经典算法相比，其安全信心的积累仍在进行中。在迁移过渡期保留经典算法作为兜底，可以在后量子算法万一被发现重大缺陷时，仍然保障通信安全，避免出现安全空窗。第二，混合模式具备更好的兼容性。对于不支持后量子算法的服务器，可以直接忽略后量子部分，仅使用经典算法完成握手，协议层面的适配更加平滑。第三，混合模式符合 "防御深度" 的安全原则，不把所有安全赌注押在单一数学难题上，而是通过不同密码学原语的组合提升整体安全强度。
当然，混合模式也存在代价。同时执行两种密钥交换意味着更大的报文尺寸与更高的计算开销，协议实现也更加复杂。但在迁移过渡期，这些代价是值得的。随着后量子算法经过更长时间的实际部署与密码分析，安全信心逐步建立，以及经典算法被量子计算破解的风险日益临近，未来行业可能会逐步过渡到纯后量子模式。但在当前阶段，混合模式是最稳妥、最务实的选择。
反网络钓鱼技术专家芦笛强调，密码迁移应当遵循渐进式原则，避免激进的全量替换。互联网基础设施的稳定性至关重要，任何密码协议的变更都可能引入未预期的兼容性问题与安全漏洞。混合模式作为过渡方案，既能够提前获得后量子安全保障，又能够保留经典算法的成熟稳定性，是平衡安全与风险的合理工程选择。
5.4 平台侧主导迁移模式的优势与局限
Cloudflare 的案例展现了平台侧主导后量子迁移的显著优势。作为集中式服务平台，Cloudflare 有能力也有动力去主动解决后量子部署中的工程难题，包括主动探测源服务器能力、优化握手性能、默认启用后量子算法等。对于使用 Cloudflare 服务的客户而言，后量子迁移几乎是透明的，不需要客户自身具备密码学专业知识，也不需要手动修改服务器配置，就可以自动获得后量子密钥交换的安全保障。这种平台侧集中推进的模式，能够大幅加速后量子密码的普及速度，尤其对于缺乏专业安全团队的中小企业而言，平台提供的默认安全保障是获取后量子保护的最现实途径。
但平台侧主导模式也存在局限。首先，它只能覆盖使用该平台服务的流量，对于不经过内容分发网络或安全代理的直连流量，平台侧机制无法发挥作用。互联网中仍有大量服务器直接面向客户端提供服务，这些服务器的后量子迁移需要依赖服务器管理员自身的意识与能力，进度参差不齐。其次，平台侧集中部署可能带来单一依赖风险，如果某家平台的后量子实现存在安全漏洞，影响面将覆盖其所有客户。最后，平台侧主导的迁移模式可能导致后量子密码的部署集中在少数大型平台手中，加剧互联网基础设施的集中化趋势，这对于互联网的去中心化架构而言并非完全利好。
因此，全行业的后量子迁移不能仅依赖少数平台的推进，还需要服务器软件厂商将后量子算法纳入默认配置，操作系统发行版及时更新密码学库，网络设备厂商升级固件支持后量子握手，监管机构与标准组织制定迁移路线图与时间表，形成多方协同的推进格局。平台侧的实践可以作为先行者，为全行业积累经验、验证技术，但最终的全面迁移需要整个生态的共同参与。
6 对行业后量子迁移的启示
6.1 平台侧主动推进的迁移模式价值
Cloudflare 的实践表明，在互联网高度平台化的当下，大型平台在后量子迁移中可以发挥关键的引领作用。平台具备规模优势、技术能力与工程资源，能够承担后量子算法部署中的复杂适配工作，将复杂的密码学细节封装在平台服务内部，对客户透明交付。这种模式解决了后量子迁移中最大的障碍之一 —— 广大网站运营者缺乏密码学专业知识与工程能力，无法独立完成后量子算法的部署与调优。
平台侧主动推进的另一个价值在于能够快速积累大规模真实环境下的部署经验。后量子算法在实验室环境中的表现与在数十亿次真实连接中的表现可能存在差异，只有通过规模化部署才能发现各种边缘情况与兼容性问题。平台作为先行者，将这些问题反馈给密码学界与标准组织，推动算法实现的优化与协议标准的完善，惠及整个行业。
对于其他大型互联网平台、云服务提供商、内容分发网络而言，Cloudflare 的经验具有直接参考价值。这些平台同样承载着海量互联网流量，有能力也有责任推进后量子密码的部署。通过主动探测、默认启用、渐进发布等工程手段，可以在控制风险的前提下快速扩大后量子算法的覆盖范围，加速整个互联网的后量子迁移进程。
6.2 默认启用策略对降低迁移门槛的作用
Cloudflare 对支持 TLS 1.3 的域默认启用后量子密钥交换，这一策略看似简单，却是推动迁移的关键举措。在安全技术部署中，"默认安全" 原则被反复证明是提升整体安全水位的最有效手段。如果将后量子算法设为可选项，需要客户手动开启，那么绝大多数客户要么因为不了解而不会开启，要么因为担心兼容性问题而不敢开启，最终只有少数安全意识较强的客户会使用，整体迁移进度将十分缓慢。而默认启用后，客户无需任何操作即可获得后量子保护，只有在遇到兼容性问题时才需要手动关闭，这将大幅提升后量子算法的实际覆盖率。
默认启用策略能够成功的前提是具备完善的回退机制与容错能力。Cloudflare 通过主动探测量力而行，只在确认源服务器支持后量子算法时才启用，不支持时自动回退到经典算法，确保兼容性不受影响。同时，渐进式部署与密切监控使得任何意外问题都能够被及时发现与处理，不会造成大规模服务中断。如果没有这些工程保障，贸然默认启用后量子算法可能引发大面积连接失败，反而损害用户对后量子迁移的信心。
这一经验对其他安全技术的部署同样适用。任何新的安全机制，如果想要大规模普及，都应当尽可能做到默认启用、透明交付，将复杂性留给平台侧，将安全性默认带给用户。
6.3 持续探测与动态适配机制的必要性
互联网环境是动态变化的，服务器配置、网络拓扑、中间设备行为都可能随时间改变。因此，后量子密码的部署不能是一次性的静态配置，而需要建立持续探测与动态适配的机制。Cloudflare 的每日重扫机制正是这一理念的体现，通过周期性重新评估源服务器的算法能力，确保连接时使用的算法与服务器当前实际支持情况一致，避免因为服务器配置变化导致握手失败。
持续探测机制的价值不仅在于发现服务器能力的变化，还在于积累长期数据，分析后量子算法部署的整体趋势与常见问题模式。通过对海量源服务器的长期探测，可以统计出不同行业、不同地区、不同软件版本的后量子支持率，识别出兼容性问题高发的特定软件实现或网络设备，为后续的优化与推动提供数据支撑。
对于不具备 Cloudflare 这种全局探测能力的普通服务器管理员而言，持续探测与动态适配的理念同样适用。在部署后量子算法时，应当建立监控机制，密切关注握手成功率、重试比例、错误类型等指标，及时发现并解决兼容性问题。同时，定期更新密码学库与服务器软件，跟进后量子算法实现的最新进展，确保部署的算法版本始终处于最新、最安全的状态。
7 结语
本文以 Cloudflare 自动后量子密钥交换功能为研究样本，系统分析了后量子密码在 TLS 协议中规模化部署的工程路径与实践效果。研究表明，后量子密码的落地不仅仅是算法替换问题，更是涉及协议适配、兼容性处理、性能优化、部署策略的系统工程。TLS 1.3 协议中客户端必须先发密钥共享的固有设计，在后量子算法引入后导致算法支持碎片化与高重试率的矛盾，Cloudflare 通过主动探测源服务器算法能力、优先选用 X25519MLKEM768 混合算法、每日重扫与渐进式部署相结合的工程机制，在日均约 450 亿次连接的规模下实现了后量子密钥交换的默认启用，并将 HelloRetryRequest 比例从约 52% 降至 3.7%，有效兼顾了安全性、兼容性与性能。
反网络钓鱼技术专家芦笛指出，后量子密码迁移是一场持续十年以上的长期工程，不能期望一蹴而就，也不能因为量子计算机尚未实际可用而拖延启动。"先收集后解密" 攻击模式使得长期保密数据在当前阶段就面临风险，提前部署后量子密码是唯一有效的应对手段。Cloudflare 的实践证明，通过合理的工程设计，后量子算法可以在不显著牺牲用户体验的前提下实现规模化部署，平台侧主动推进、默认启用、持续探测的策略为全行业提供了可借鉴的路径。
同时应当客观认识到，单一平台的努力不足以完成整个互联网的后量子迁移。兼容性问题的根本解决需要服务器软件厂商、操作系统发行版、网络设备厂商的协同推进；性能开销的持续优化依赖算法实现的成熟与硬件支持的普及；混合模式作为过渡方案，未来还需要根据密码分析进展与量子威胁演变适时调整。后量子密码迁移是整个互联网安全基础设施的一次系统性升级，需要密码学界、产业界、监管机构的长期共同努力。
随着量子计算技术的持续发展与后量子标准化工作的深入推进，后量子密码的部署将从密钥交换逐步扩展到数字签名、证书体系、应用层加密等更多环节。Cloudflare 在密钥交换领域的规模化实践，为后续更广泛的后量子迁移积累了宝贵经验。保持务实的工程态度，在安全与兼容之间寻求平衡，通过渐进式部署逐步扩大覆盖范围，将是后量子密码走向全面普及的可行路径。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
