全世界每天有无数加密数据在互联网上跑来跑去，银行转账、聊天记录、病历、商业合同，全靠一层数学锁保护。这层锁非常结实，结实到地球上最强的超级计算机用暴力破解，需要的时间比宇宙的年龄还长。但已经有人在偷这些数据了。不是因为他们现在能打开，是因为他们赌自己将来能。密码学圈子管这叫“先收割，后解密”：把加密数据先大量下载存好，等哪天量子计算机成熟了，再一口气全部拆开。你十年前发的一封加密邮件、签过的一份电子合同，届时可能毫无秘密可言。这听起来像赌博，但赌注正在变得越来越现实。故事要从1994年说起。那年，美国数学家彼得·肖尔写出了一个算法，理论上能让量子计算机以碾压性的速度做一件事：分解大数。这件事之所以重要，是因为今天保护你数据的主流加密方式，几乎全部建立在“大数分解极其困难”这个前提上。RSA加密就是典型的例子，它的安全性来自一个简单的数学事实：把两个大质数乘起来很容易，但反过来，从乘积还原出那两个质数，难到几乎不可能。肖尔算法直接瞄准了这个“几乎不可能”。如果有一台足够大的量子计算机运行它，RSA加密就会像纸糊的门一样被捅穿。密码学界把这一天叫做Q日，量子末日。32年过去了，还没有任何一台量子计算机在有实际密码学意义的规模上被公认实现了肖尔算法。但2024年，两颗炸弹几乎同时落下。谷歌发布了一项研究，展示了量子计算对加密货币的潜在威胁。几乎同一时间，加州理工学院孵化的一家初创公司独立宣布，有用的量子计算机也许只需要1万个量子比特就能造出来，这个数字远低于此前许多人的预期。两项成果都还是预印本，没经过同行评审，但方向一致：Q日可能比我们以为的更近。防御这边并没有干等。早在2015年，美国国家标准与技术研究院（NIST）就启动了后量子密码学标准的研发，简单说就是设计一套新的数学锁，被认为能抵御已知的量子攻击。2024年，NIST正式发布了头三套标准，已经可以用了。NIST要求所有联邦系统和关键基础设施在2035年前完成迁移。标准准备好了，真正的硬仗是让全世界都用上。NIST的密码学家达斯汀·穆迪说，全球数字基础设施的迁移可能需要数年甚至数十年，而没人知道量子计算机什么时候会成熟到能破解现有加密。你以为只换一个门锁，往往会牵出一串旧钥匙、旧门框和不知道谁留在角落里的备用通道。谷歌的密码工程师索菲·施密格开出了一张具体的待办清单：从浏览器与服务器之间的加密握手，到远程登录协议，到访问令牌的签名方式，一项项都要换成后量子版本。对普通用户来说，这些变化在幕后默默发生，你可能根本不会注意到。但对企业和政府来说，这是一场跟时间的硬仗。芝加哥大学的理论计算机科学家比尔·费弗曼的判断是，实验进展一直很快，没有理由认为它会慢下来。几乎所有人都在为Q日做准备。但牛津大学的理论物理学家蒂姆·帕默押了一个完全不同的赌注：量子计算机可能根本到不了那个规模。他提出的理论叫“有理数量子力学”，核心思路是：当纠缠的量子比特超过几百个，量子系统里的信息量就不够支撑算法继续扩展。到那时候，肖尔算法的量子优势会碰到天花板，再加更多量子比特也没用。帕默反而期待谷歌的进展，因为这会加速人们在实验中发现量子力学的边界。如果他是对的，Q日永远不会到来，但我们会收获一个更深层的东西：量子力学需要被修正。不管帕默的赌注结果如何，物理学家保罗·戴维斯提醒了一件更紧迫的事：后量子密码学保护的是未来的数据，那些已经被截获、存在某个硬盘里的加密文件，迁移到新标准也救不了它们。他的建议很朴素：把不再需要的云端数据永久删除，必须保留的拷贝到永远不联网的存储设备上。那些已经被“收割”的数据，连这个机会都没有。量子计算机什么时候能大规模击穿今天的加密，没人敢给一个准年份。可有一件事已经很清楚：密码世界的倒计时，不是从机器成功那天才开始算。它早就在跑了。～～～～～～图源：sasha85ru信源：Lee,Gayoung.“HowShouldWePreparefortheLoomingQuantumEncryptionApocalypse?”Gizmodo,11Apr.2026
