摘要

  • RFC 10024 为 TLS 1.3 定义 X25519MLKEM768、SecP256r1MLKEM768 和 SecP384r1MLKEM1024 三个组，把 ML-KEM 与传统椭圆曲线密钥建立组件结合起来。
  • 密钥协商负责生成会话秘密；证书链与 CertificateVerify 签名负责认证服务器。前者采用后量子/传统混合构造，不会自动把后者、下游连接或存储系统一并升级。
  • Bas Westerbaan 与 Krzysztof Kwiatkowski、Panos Kampanakis、Douglas Stebila 共同撰写 RFC 10024。这项成果提供的是一项可协商、可观测的迁移能力，而不是覆盖整个服务的安全称号。

讨论后量子迁移时，人们容易把“握手”当作单一动作。实际上，它更像一组按顺序完成、彼此关联但职责不同的证明。某一步更换了算法，并不意味着邻近步骤也随之变化。

2026 年 8 月发布的 RFC 10024，把其中一项证明变成 TLS 1.3 的正式标准能力。X25519MLKEM768 把 X25519 与 ML-KEM-768 结合；另外两组分别把 secp256r1、secp384r1 与相应参数的 ML-KEM 结合。客户端和服务器交换两个组件所需的材料，再按标准规定的顺序形成共享秘密，交给 TLS 1.3 密钥派生流程。

它面对的是一项有时间差的风险。被动攻击者可以今天保存密文，等待未来出现具备密码学意义的量子计算机，再试图破解传统密钥建立。混合构造使会话秘密不只依赖传统数学问题，也不必把全部希望押在较新的后量子组件上。

这是一项重要控制，但控制对象必须写完整：TLS 1.3 的密钥协商。

同一握手里的两项任务

在基于证书的 TLS 1.3 握手里，密钥交换结果进入密钥调度，产生后续流量所需的秘密。服务器证书、信任链和 CertificateVerify 签名则回答身份问题：提供服务的一方是否持有受信证书对应的私钥，并用允许的签名方案确认这段握手记录。

两个任务共享一份 transcript，不共享同一个结论。混合密钥协商成功，说明可见两端完成了特定的会话秘密建立；它没有说明认证签名已经后量子化。

RFC 9794 用术语把边界画得很清楚：PQ/T 混合密钥建立、混合 KEM、混合公钥加密、混合数字签名属于不同方案家族。企业完全可能先迁移其中一类，再等待另一类的标准、证书生态和硬件支持。RFC 9935 为 X.509 中的 ML-KEM 密钥规定算法标识，也只解决相应格式问题；“存在标识”不等于“已有发行与信任体系”，更不等于数字签名已经迁移。

把攻击者分开看，差别更明显。存档密文、日后解密的被动攻击者，主要挑战会话密钥的建立。未来能伪造传统签名的主动攻击者，则可能冒充服务器。两类风险都与量子计算有关，所需的迁移证据却不同。

分阶段不是漏洞，模糊阶段才是

Cloudflare Research 将 Bas Westerbaan 介绍为 Research Engineer，其工作从密码工程、标准化延伸到大规模实验与部署，目标是推动后量子密码采用。IETF 官方档案也列出 RFC 10024 与其他后量子标准工作。

这不应改写共同作者关系。RFC 10024 的另外三位作者是 Krzysztof Kwiatkowski、Panos Kampanakis 和 Douglas Stebila；它还建立在 RFC 9954 的通用混合交换设计、RFC 9794 的术语、TLS 1.3 与 NIST FIPS 203 的 ML-KEM 标准之上。Westerbaan 的人物意义在于贯穿标准、工程与部署，而不是把集体成果变成个人发明。

Cloudflare 在 2025 年 9 月公开过一组很有价值的并列事实：其网络超过三分之一的人类生成流量，已使用带混合后量子密钥协商的 TLS 1.3；与此同时，文章明确说后量子数字签名与证书仍在为 TLS 和互联网 PKI 推进标准化，WARP 当时也尚未升级到这些签名和证书。

这段披露同时证明规模和范围。它不能被外推为全球采用率，也不能证明 Cloudflare 之后每条路径的状态；但它证明了一项生产级迁移可以先完成，而相邻的认证迁移仍然待办。分阶段本身是复杂系统的常态。问题在于用“量子安全”一个词把待办项藏起来。

协商结果能证明到哪里

客户端在 supported_groups 中列出混合组，首先证明它愿意或有能力使用，不证明服务器最终选择。服务器选中 RFC 10024 组，证明可见端点就该连接达成协议；它仍不能排除实现缺陷、旁路泄漏、随机数问题或隐藏的降级策略。

握手顺利完成后，证据进一步增强：两端确实按照协商结果产生了可用流量密钥。接下来仍要读取证书链、握手签名算法和信任路径，确定 TLS 在哪里终止，并检查恢复会话、0-RTT、反向代理、服务网格和源站连接。

解密之后，握手收据的解释力还会继续缩小。应用可能把明文写入日志、数据库、消息队列和备份；这些系统使用其他密钥、其他保留策略和其他恢复流程。边缘连接显示混合密钥协商，不能证明数据静态加密、备份、证书撤销和事故恢复已经后量子化。

RFC 10024 对复制构造也很谨慎。安全章节提醒，不能假定类似混合方式放进其他协议仍然安全。组合器、秘密长度、排列顺序、transcript 与攻击模型共同构成安全分析。简单把两个算法并列，不会自动产生安全协议。

RFC 9851 冻结 TLS 1.2 新功能，是在告诉实现者：新能力应进入 TLS 1.3，而不是继续给旧版本添加功能。但选对协议世代，仍不等于证书、硬件、代理和数据层会在同一天完成迁移。

给“已后量子”补齐运行收据

Heng Lu 的运行代码优先原则提供了一个检查方法：声明不是运行结果。页面徽章或产品说明可以写“post-quantum”，真正可审计的结果必须能重现连接当时发生了什么。

一份合格收据至少应保留客户端、端点、时间、TLS 版本、宣布与最终协商的组、实现版本、证书链、CertificateVerify 签名方案、终止位置、恢复与 0-RTT 规则、下游链路保护，以及数据在哪一层出现明文。测量工具和不可见范围也要记录。

责任随字段分配。IETF 负责机制；浏览器与密码库负责实现；运营方配置组、证书、签名和终止；CA 管理发行与信任；网络平台管理代理与内部跳点；应用与数据团队管理存储；响应团队负责撤销和恢复。一项成功协商不能替所有责任人完成工作。

RFC 10024 的价值，是让密钥协商迁移可以被准确命名、部署和核验。对它最诚实的采用方式，是在关闭这一项风险时，把仍然开放的认证和架构风险继续写在账上。

来源