摘要

  • 后量子 RPKI 迁移作为风险准备是合理的，但目前没有可信的日期表明会出现密码学相关的量子计算机。正确的应对方式是基于证据的分阶段准备，而非仓促地将权力转移给最先行动的任何 CA 或供应商。
  • IETF 标准应定义可互操作的证书、签名对象、验证器行为和转型里程碑。CA 应履行这些职责。但无论哪种角色，CA 都不拥有所代表的资源的所有权、持有者的私钥或阻止其转向其他合格服务的权利。
  • RFC 6916 已将算法迁移视为一个多年期的自上而下转型，包含并行产品集和确定的准备日期。其结构有用，但量子转型还需要明确的防锁定、语义等价、降级、应急和回滚规则。
  • NIST 的 ML-DSA 和 SLH-DSA 标准提供了成熟的密码学起点，而非自动的 RPKI 选择。2026 年 6 月的一份 IETF 个人草案概述了 ML-DSA-65 用于实验，同时坦诚记录了签名对象和多验证器证据的不完整。
  • 并行 RSA 和后量子发布应根据所产生的路由语义进行判断，而非逐字节的身份。不同的路由授权、撤销状态或清单必须可见，绝不能无声地合并成一个方便的答案。
  • 持有者控制或授权的密钥托管应能在硬件和服务提供商之间可移植。不可导出的密钥可通过协调的轮换替换；它们不得成为 CA 锁定认证关系的借口。
  • 可逆性需要隔离的测试层次、可衡量的生产试点、有限的回退、干净的密钥退役以及在新套件失败时明确的返回路径。永久的经典回退将成为降级渠道而非安全特性。
  • NRS 应在设定任何强制性生产日期之前发布 2025-2035 年迁移章程，涵盖决策权、证据阈值、提供商中立性、小型运营商支持、事件响应、公开指标和独立审查。

量子风险真实存在，但时间表仍不确定

安全问题很直接。大规模量子计算可能使基于整数因式分解或离散对数的算法在普通经典计算无法做到的方式上变得脆弱。RPKI 当前的配置文件使用 RSA PKCS #1 v1.5 签名与 SHA-256 及至少 2048 位的 RSA 密钥。一个密码学相关的量子计算机将破坏只有私钥持有者能生成有效 RSA 签名的假设。

这一陈述并未提供部署日期。量子硬件进展、错误修正、资源估算和工程可行性仍不确定。注册局治理应抵制两种对称性错误：在公开事件发生前宣称威胁是想象出来的，或将每一次预测视为立即替换的理由。关键基础设施不能在旧套件失败之日才开始全球迁移，但也不应为了显得准备充分而将不成熟的套件强行投入生产。

紧迫性与长期加密数据不同。攻击者今天可以收集加密材料，日后如果明文仍有价值则可以解密。RPKI 签名主要授权当前或时间限制的状态，依赖方检索变化的仓库。这减少了一些“现在收集”的暴露，但并未消除转型问题。未来伪造证书或签名对象的能力可能创建虚假的路由权限，而在分层系统中，仓促的应急转换将尤其危险。

因此，准备工作应从密码学清单、实现实验、硬件支持、仓库测量、验证器互操作性和治理规则开始。不应从供应商指令开始。2025 年至 2035 年的关键问题是系统能否在 RSA 尚安全时从容移动，同时保留足够的灵活性以纠正错误的算法、实现或时间表。

NIST 2024 年 8 月的标准实质性地改变了起点。FIPS 204 定义了 ML-DSA，一种基于格的数字签名标准。FIPS 205 定义了 SLH-DSA，一种无状态哈希替代方案。FIPS 203 涵盖密钥封装机制而非签名，因此与签名 RPKI 对象的直接相关性较低。NIST 的转型计划指示在其自身标准背景下，到 2035 年弃用并移除量子易受攻击的标准，高风险系统预计更早迁移。

这些进展证明了当前工作的必要性。它们并未决定 RPKI 套件。RPKI 具有特定的证书、CMS、仓库、清单、撤销和依赖方约束。一个在抽象上标准化且安全的算法仍可能在该环境中带来不可接受的对象大小、签名成本、硬件、互操作性或操作行为。技术选择需要 RPKI 证据；机构选择需要合法、可审查的权力。

RPKI 密钥代表有限授权，而非所有权

RFC 6480 描述的架构遵循现有的号码资源分配层级。资源证书将公钥绑定到证书扩展中包含的 IP 地址空间或 AS 号码。证书使得在 RPKI 内进行密码学可验证的断言成为可能。它不会将私钥变成契约，也不会使签发 CA 成为所代表资源的所有者。

这一区别在迁移期间很重要，因为每个持有者可能需要新的密钥、证书和签名产品。父 CA 必须在新套件下准备好签发，然后其子项才能按照既定的自上而下模式迁移。这种技术依赖赋予父 CA 排序权。但它并不证明子项必须交出保管权、接受附属服务或重新谈判其底层资源权的酌定性主张是正当的。

持有者公认的权威应作为密码学套件间的不变量保持不变。相应的证书可以使用不同的密钥和编码，同时代表相同的资源集。相应的路由授权可以承载相同的路由含义，而签名不同。迁移是验证方式的变化，而非权威本身的转移。

CA 政策应明确说明这一点。签发替换证书不会创建新分配、消除现有争议、纠正有缺陷的底层权威或允许提供商主张受益控制。相反，拥有后量子私钥不能击败根据治理规则认可的法律资源转移或撤销。密码学控制和资源认可必须保持联系而不混淆。

同一规则适用于托管运营。CA 或签约服务可为选择托管签名的客户生成并持有密钥。它为认可的持有者执行有限的技术功能。需要新硬件或更大密钥的迁移不应被用来将这种关系重写为永久保管。客户应保留可见性、批准、记录、升级到委托操作的路径以及有记录的退出。

NRS 可通过证书权利章程使不变量可执行。章程应保护持有者授权的密钥生成、提供商选择、及时的父服务、发布访问、证据导出、常规和应急轮换、独立监控以及对不利行动的审查。这些权利适用于当前和替换套件。任何迁移例外都不应允许无声的再集中化。

决策权应按功能划分

不应由单一机构决定量子迁移的每个方面。IETF 是制定可互操作互联网技术规范的合适场所：算法标识符、证书和签名对象配置文件、依赖方行为、仓库处理和转型程序。其公开审查可以暴露工程冲突并产生共同要求。它不分配号码资源或运营每个 CA。

RPKI CA 在其认证职责内实施技术标准。他们生成或接受证书请求、签发证书、管理撤销、发布签名产品并支持子项转型。信任锚运营商因影响其下层级而具有特别重要的角色。其运营权应受已发布里程碑、合规证据和独立观察的约束。

依赖方决定他们接受哪些信任锚和算法策略。这不是理论脚注。新套件仅当验证器能够检索并验证它、产生预期的已验证输出并将这些输出传递给网络系统时才具有实际效果。运营商需要清晰的配置：仅旧版、并行接受、新版优先并有限回退、仅新版。隐藏的默认值将使本地政策变成意外的全局行为。

资源持有者决定其密钥如何在接受的配置文件中持有、可由谁运营、他们意图哪些路由授权以及哪个合格提供商协助他们。他们不会单独选择任意全局算法并期望普遍接受。其自治权在可互操作的规则内行使，在允许的窗口期内对保管、支持和时间安排有有意义的选择。

NRS 治理应连接这些功能而不吸收它们。它可以在标准讨论中代表成员需求、认证可互操作服务、协调准备演练、发布证据、保护可移植性并提供独立审查。它不应宣布专有套件、强制成员使用 NRS 持有的密钥或声称技术扩展了协会对资源的权利。

政府和安全机构可能为其管辖下的系统发布转型日期。这些日期可能影响供应商和参与者，尤其是公共部门网络。它们不应将全球 RPKI 分裂为不兼容的国家根。NRS 和 RIR 应映射适用义务、寻求可互操作的实现并尽早披露冲突。全球路由安全依赖于共享验证，即使采购法律不同。

RFC 6916 提供了结构，但不完整的宪法答案

RFC 6916 预见到了 RPKI 最终需要更强的算法套件。它描述了计划中的转型为期数年而非应急开关。模型是自上而下的：父机构先于子机构具备能力。它定义了 CA 准备、CA 生产、依赖方准备、黄昏期和旧套件最终消亡的里程碑。

设计使用并行对应产品集。在关键阶段，证书、撤销列表、清单和签名对象可在两个套件下存在。依赖方可以在继续使用当前套件的同时测试下一个套件，然后在有限间隔内偏好新套件同时保留旧路径。这是一个重要的安全机制，因为全球 PKI 不能依赖所有实现同时更改。

该结构也暴露了治理权。有人必须发布转型时间表、决定准备阈值、确定旧套件何时进入黄昏和消亡。父 CA 可以通过不支持新套件来延迟子项。验证器可以在预期安全边界之后继续接受旧套件。提供商可以利用转型复杂性阻止退出。技术序列需要围绕这些行动的机构规则。

RFC 6916 明确未定义应急转型。对于其计划模型而言，这种遗漏可以理解，但量子准备不能忽视加速证据的可能性：密码分析进展、实现灾难或 RSA 安全加速恶化的可信指示。NRS 和 RIR 需要一个应急决策框架，避免在压力下临时拼凑所有权、信任锚或回退。

现有程序也早于当前后量子对象大小和实现现实。并行发布可能倍增仓库传输、缓存和验证成本。系统需要在大型和少量 CA、多样网络条件和多个验证器实现中进行测量。只有资源最充足的运营商才能满足的时间表将把密码学安全转化为新的参与障碍。

宪法补充应定义五件事：谁可以提出和批准里程碑；需要哪些可互操作的证据；持有者如何平等获得迁移；如何处理分歧和降级；以及如何可以逆转决策。标准描述有效行为。治理决定要求该行为的权力是否被公平行使。

2026 年 RPKI 提案是进展和不完整的证据

2026 年 6 月提交给 IETF SIDROPS 社区的一份个人互联网草案提供了一个有用的当前标记。它提出 ML-DSA-65 作为 RPKI 的下一签名套件的主要候选，并重用了 IETF 其他地方开发的后量子证书和 CMS 约定。它旨在保持现有 RPKI 架构、仓库模型和面向路由器的已验证输出模型不变。

该提案不是已采用的互联网标准，也不应被描述为标准。其状态很重要，因为一旦机构投入，迁移决策可能在政治上变得棘手。将早期提案视为已定案将有利于第一个实现和供应商，在独立证据出现之前。正确的响应是严格测试该提案，并在已发布的标准下比较替代方案。

其坦诚很有价值。初始修订版报告使用当代密码学库生成了 ML-DSA 和 SLH-DSA CA 证书、终端实体证书和撤销列表。它还报告测试的命令行 CMS 路径未产生所需的 ML-DSA 签名数据，因此完整的 RPKI 清单和路由授权未在该环境中生成。使用完整后量子 RPKI 对象的多验证器互操作性仍为未来工作。

这并非证据表明 ML-DSA 不能在 RPKI 中工作。而是表明标准参考、算法实现和端到端 RPKI 能力是不同的成熟度水平。治理应奖励发布此类差距。压制它们以维持势头将增加脆弱强制日期的可能性。

该提案还将更大的密钥和签名识别为仓库和验证问题。ML-DSA-65 被选为候选，因为它有最终的 NIST 标准和稳定的 IETF 证书及 CMS 标识符，而非因为它总是最小或最快的选择。SLH-DSA 提供密码学多样性，但可能根据变体施加显著更大的签名或更高的签名成本。其他候选可能提供大小优势，但缺乏同等的配置文件和实现成熟度。

NRS 应将草案视为共享测量的邀请。它可以资助独立实现、测试仓库、硬件试验和验证器比较，而不宣布胜者。结果应包括失败和环境细节。提供有用证据的提供商不应获得独家控制生产迁移作为奖励。

算法选择需要公开证据标准

所选套件必须满足密码学、操作和机构标准。密码学标准包括安全基础、参数强度、实现抵抗力、随机性需求、侧信道行为、故障行为以及与已接受套件的多样性。正式标准的存在对于信心是必要的，但不能消除实现风险。

操作标准包括公钥和签名大小、证书和撤销列表增长、清单大小、仓库快照和增量、签名延迟、验证器 CPU 和内存、缓存大小、故障处理和硬件可用性。测量应使用有代表性的全球仓库以及合成边缘情况。中位数结果可能掩盖小型验证器或大型发布点的失败。

互操作性标准要求至少两个独立的 CA 实现、多个仓库环境和主要的依赖方实现就完整的有效和无效对象集达成一致。测试应涵盖畸形的算法标识符、不支持的参数、过时清单、不一致的撤销、未知套件和混合新旧分支。接受意味着一致的安全行为，而非仅仅是成功验证一个快乐路径对象。

机构标准包括许可、供应商集中度、硬件多样性、导出和轮换支持、跨区域可用性、小型运营商成本以及替换提供商的能力。理论上优秀的套件如果只有单一供应商控制可用硬件或只有一项服务能操作所需的密钥格式，则可能产生治理风险。采购证据应与性能证据并列。

在比较首选算法之前应固定标准。否则机构可以选择证明现有投资合理的指标。NRS 应发布权重、测试方法、数据集、例外和审查者冲突。社区评论应以理由回答。最终建议应解释为何拒绝替代方案以及什么证据可能导致重新考虑。

算法多样性有价值但非免费。支持多个套件增加代码、配置和降级复杂性。RFC 7696 警告过多选择可能破坏互操作性并让弱算法部署过久。目标是一小套连贯的集合，具有可信替换路径，而非每个验证器都不同解释的永久菜单。

语义等价是决定性的迁移测试

旧套件和新套件对象不会逐字节相同。密钥、签名、证书序列号、有效性细节和仓库路径可能不同。有意义的问题是它们是否产生相同的已接受资源和路由语义。对于路由授权，验证器应通过前缀、最大长度、原始 AS 和相关信任上下文比较生成的已验证负载。

如果分支不一致，验证器不应静默合并。假设 RSA 分支授权一个原始 AS，而后量子分支授权另一个，或者一个分支已撤销子证书而另一个仍然有效。合并两者可能扩大授权超出任一预期状态。选择首先验证的分支可能隐藏严重的操作错误或攻击。

分歧应产生明确的遥测和有限的政策响应。在早期测试阶段，生产可能继续依赖已建立的套件，同时调查新分支。在新套件首选阶段，回退可能允许用于定义的技术故障类别，但不允许用于语义冲突。不支持、不可用、畸形、过期和矛盾之间的区别必须保持可见。

CA 在并行发布期间有责任跨分支维护对应状态。撤销、资源变更和持有者指令应一致应用。自动生成可减少漂移，但共享自动化也可能重复一个错误。独立验证器和持有者监视器应比较输出，而非信任共同管理显示。

语义检查应扩展至路由授权之外。证书资源集、撤销状态、清单覆盖范围和对象清单需要对应比较。较新的签名对象和未来使用可能需要对象特定的等价规则。基本原则稳定：迁移改变密码学表示，而非意图的资源权威。

NRS 应公开聚合的分歧统计数据。报告可显示不匹配对象、不一致的验证输出、过时分支、回退事件、验证器分歧和修正时间。敏感的持有者细节可保持受保护。声称成功但隐藏分歧语义的转型测量了密码学，但未测量路由安全。

并行发布不得成为永久降级

运行两个套件在新套件成熟时提供了恢复路径。它也保留了脆弱路径。如果验证器在缺少或无效后量子分支时无限期接受 RSA，攻击者可能抑制更强分支并获取较弱结果。当条件广泛、无声或永久时，回退成为降级渠道。

每个阶段需要明确的接受策略。在测试阶段，当前套件保持权威，下一套件提供证据。在并行生产阶段，两者应存在且语义等价。在偏好阶段，新套件主导，具有明确定义的可用性失败回退。在消亡时，除隔离的取证或测试上下文外，旧套件接受终止。

回退应有时间限制、记录和运营商可见。反复回退的验证器应发出警报而非正常化条件。信任锚和 CA 运营商应接收聚合信号，以便区分单一仓库故障和系统不兼容。资源持有者应能看到其产品是否在两个套件下被接受。

退役日期必须基于证据但可信。每当一家供应商延迟就改变的日期给每家供应商提供了延迟的激励。忽略材料不兼容的日期可能碎片化验证。治理应提前定义准备阈值、例外类别和后果。关键延迟运营商可能获得有限帮助或隔离过渡措施，而非无限否决权。

旧密钥和产品需要受控退役。过早移除可能造成验证空白；过久保留签名能力则保留攻击面。CA 应根据定义的风险销毁或存档旧私钥，在声明阶段撤回旧信任材料，并保留足够的公共证据以解释历史状态。退役证据应接受独立审查，对于上层 CA 尤其如此。

逆转新套件的能力不同于永久继续信任旧套件。替换方案可以激活另一个抵抗套件、恢复先前已知良好的实现或在当前有效产品持续时暂停新发行。可逆性应设计为受治理的转型，而非隐藏的例外，否则将否定安全目标。

密钥保管必须通过硬件变更保持可移植

后量子私钥可能需要新的密码学库、硬件安全模块、内存配置文件、签名仪式和备份安排。这些变化为提供商打包保管、发布和支持创造了自然机会。捆绑可以降低运营成本。它也可能困住持有者，如果新密钥只能通过一个提供商的账户或一个未文档化的接口使用。

NRS 应保留持有者可以在持有者控制的权威下运营委托 CA 或指定提供商的假设。密钥生成应在持有者控制或具有合同决定性权利的安全边界内进行。持有者应知道谁可以激活签名、批准如何工作、保留什么证据以及如何替换。

私钥导出并不总是可取的。硬件设备可能故意阻止它。因此可移植性并不意味着每个私钥必须可提取。它意味着认证关系、公共产品、配置、审计证据和发布服务可以移动，而新密钥通过协调轮换生成和认证。不可导出性保护密钥材料；它不赋予设备运营商所有权。

提供商应支持通用的证书请求、发布和监控接口。自定义密钥包装器、未披露的参数选择和专有批准系统不应成为 RPKI 参与的条件。在早期部署期间硬件支持稀缺时，NRS 可以认证共享服务，但合同必须包括转型援助，且不对持有者资源提出要求。

备份和恢复需要算法特定测试。某些后量子签名方法高度依赖于安全随机性。硬件和软件可能以不同形式表示密钥。恢复仪式应验证恢复或替换的密钥以符合编码运行，且不重复不安全的随机性。对疑似泄露的最安全响应通常是替换而非恢复同一签名密钥。

小型运营商需要资助的安全迁移访问。如果只有大型网络能负担兼容硬件和测试，托管中央保管将成为实际默认。NRS 可提供补助、参考配置、管理仪式和与多个提供商可用的共享测试环境。支持应跟随成员，而非补贴一个主导主机。

仓库容量是治理关切

后量子签名可能比当前 RSA 签名大得多。并行发布可能倍增证书、撤销列表、清单和签名对象。依赖方重复同步全球仓库内容、验证它并产生本地输出。大幅增加传输或处理的套件可能不均地影响运营商，并在高容量验证器中创建新集中。

测量应覆盖完整快照、增量更新、冷启动、常规刷新、大规模轮换、撤销事件和丢失本地状态后的恢复。RRDP 快照和增量行为很重要，以及回退到其他检索方法。测试应包含受限网络、遥远区域和普通硬件，而非仅良好连接的实验室。

对象大小限制和资源控制必须避免两种失败。过于宽松的限制可能允许内存、存储或处理耗尽。过于严格的限制可能拒绝合法的后量子产品。验证器应报告拒绝是否来自算法策略、语法、大小、时间、内存或语义验证。一个通用的“无效”结果阻止诊断，并可碎片化运营商响应。

仓库提供商不应仅因吸收额外成本而获得政策权力。其角色是可靠发布符合的产品并报告容量。费用可能反映可测量的服务成本，但需透明度和竞争。仓库不应决定只有其附属 CA 可以使用新套件，或延迟客户的迁移以保护商业捆绑。

容量证据应告知算法选择和时间表。如果 ML-DSA 产生显著但可管理的增长，工程和投资可能比选择仅为了大小的不成熟替代品更可取。如果测量显示提议套件使全球验证不切实际，标准工作必须适应。决定属于公开技术评估，而非私下合同谈判。

NRS 可协调共享测试仓库并发布匿名化性能分布。它应将测试与生产信任锚和密钥分开。早期实验不得因运营商重用方便的仓库路径而泄露进入生产。清晰的视觉和技术分离保护了安全性和结果的可靠性。

应急迁移需要更窄的权力模型

计划迁移允许多年准备。应急可能提供数周或数天。触发因素可能包括可信的密码分析证据、广泛使用实现的泄露、灾难性随机性失败或部署后所选后量子套件的缺陷。不同触发因素需要不同响应；“量子紧急情况”不应是空白支票。

宣布紧急状态的权力应分散。技术证据可能来自密码学家、实现维护者、国家安全机构或独立研究人员。信任锚运营商和标准领导需评估全局影响。NRS 和其他治理机构需保护成员连续性并防止自利的服务变更。没有任何 CA 供应商应能宣布迫使客户进入其产品的紧急状态。

紧急权力应预先指定：加速已测试的里程碑、缩短证书有效期、暂停选定发行、要求加强监控、激活抵抗替代套件或限制回退。每项行动应陈述范围、证据、持续时间和审查。响应应避免改变底层资源认可，除非事件直接质疑该认可。

应急密钥轮换技术上有效但机构上可能滥用。父 CA 可能拒绝子项的新请求、坚持托管保管或利用紧迫性移除有争议的资源。独立审查需要有区分安全必要性与无关杠杆的能力。临时连续性可在争议进行时保留无争议的先前状态。

沟通应避免虚假确定性。如果证据是初步的，运营商需知道已知信息、未知信息以及哪些保护措施是可逆的。隐瞒不确定性可能导致不协调的过度反应。过早发布敏感利用细节可能增加风险。分层披露计划应服务实施者、网络运营商、持有者和公众在适当级别。

每项紧急行动必须结束。使用前应定义日落日期、行动后审查、密钥退役以及不当不利行动的补偿。成为常规控制的紧急权力将把密码学风险转化为机构捕获。

回滚是能力，而非承认失败

机构有时避免讨论回滚，因为似乎削弱对所选套件的信心。相反是正确的。没有安全响应实现缺陷、语义分歧或操作过载的迁移依赖于乐观。可逆性允许更早测试，同时限制错误的后果。

回滚不一定意味着返回 RSA 作为生产答案。在旧套件消亡之前，如果新实现失败但 RSA 仍在声明的安全窗口内，有界返回可能可接受。稍后，回滚可能意味着移动到第二个抵抗套件、恢复修正版本，或在新发行暂停时保留当前签名状态。

接受标准应在每个生产阶段前声明。例子包括验证器分歧超过阈值、语义分歧、仓库增长超出测试限制、不支持的硬件行为、不安全的随机性、密钥泄露或无法一致撤销。标准应确定谁命令回滚以及如何保存证据。

演习应模拟部分回滚。一个 CA 可能需要返回而其他 CA 保留在新套件上。一个验证器发布可能有缺陷。一个仓库可能拒绝有效对象。自上而下层级和并行产品模型可创建使本地纠正困难的依赖。测试这些边界揭示了声明的可逆性在实践中是否存在。

返回路径应避免双重未控制权威。CA 需要有序清单、撤销状态和清晰当前密钥。验证器需要明确策略和遥测。持有者需要确认其意图的路由授权保持不变。不再需要的旧密钥或失败新密钥应在不再需要时退役，并有足够证据供后续审查。

公开报告应区分回滚原因和算法失败。糟糕的库集成不证明密码原语被破坏。资源容量问题可能需要架构工作而非放弃。精确分类保护技术学习，并防止供应商使用一次失败毫无证据地诋毁竞争对手。

三个迁移案例揭示治理利害关系

考虑一个大型委托 CA，控制自己的硬件和发布。在两个独立验证器支持下一套件后加入生产试点。父 CA 发放相应证书，持有者在两个套件下发布语义等价产品。外部监视器比较验证输出。经过测量间隔，新套件成为首选。持有者在试点期间通过常规轮换更换硬件供应商，而不改变其资源状态。

这是一个强结果，因为技术迁移和提供商移动共存。父 CA 履行其认证职责，持有者保留保管权，仓库发布两个分支，验证器暴露分歧。没有一方因率先行动而获得永久主张。证据而非机构声望支持下一里程碑。

现在考虑一个使用托管签名的小型运营商。其提供商宣布后量子服务需要十年合同，因为硬件昂贵，并称新密钥不能移动。NRS 应拒绝锁定主张。提供商可收取透明服务费，但运营商必须能够替换密钥、移动发布并指定另一个合格主机。不可导出密钥通过轮换退役；资源权利继续。

第三个案例是语义冲突。RSA 分支包含已建立的路由授权，而后量子分支因发布错误省略了它。新套件首选的验证器将不同分类路由。系统应警报、防止静默合并，并允许有界回退，同时 CA 纠正新分支。持有者收据和先前状态有助于确定意图。事件被审查并纳入准备度指标。

再次改变事实：新分支包含 RSA 下不存在的额外授权。回退不能通过选择保持流量稳定的任何结果来解决。额外授权可能是恶意的或错误的。受影响对象应隔离，CA 的签名和管理证据应被检查，并通过保护渠道联系持有者。密码学有效性不使分歧语义合法。

这些案例显示为何迁移不能简化为算法标识符。决定性结果是可移植权威、一致的路由含义、可观察的失败和可审查的机构行动。系统可以量子抵抗但治理糟糕。它也可以机构公平但技术不准备。转型必须满足两个测试。

NRS 应通过 2025-2035 年迁移章程

章程应从不变量开始。号码资源认可不会仅仅因为签名套件改变而改变。持有者保留授权保管和提供商选择的权利。CA 获得任何新所有权主张。依赖方保留明确的信任策略选择。紧急权力是临时的、有范围的并可审查。

第二部分应定义技术证据门。在完成跨独立实现的证书、撤销、清单和路由授权互操作性之前，不应设定强制性生产套件。仓库和验证器测量应覆盖代表性规模。语义等价检查、畸形对象测试、降级行为和轮换必须通过已发布的接受标准。

第三部分应将阶段和日期定义为范围，在成为承诺之前。从 2025 年到 2027 年，清单、标准审查和隔离实验为主。从 2027 年到 2030 年，可互操作的测试层级和选定的并行试点可扩大，如果证据支持。从 2030 年起，生产偏好和经典退役可根据安全证据、供应商准备和全球互操作性安排。2035 年地平线应激励完成，而不假装一个日期适合每个信任上下文。

第四部分应保护参与。小型运营商获得参考支持和可移植托管服务。提供商披露依赖和退出条款。公共部门义务被映射而不创建不兼容根。成员代表、安全专家、实施者和独立审查员参与里程碑决策。利益冲突被记录。

第五部分应定义事件和回滚权力。触发类别、决策机构、临时措施、回退限制、沟通、审查和日落应在危机前批准。无紧急情况允许 CA 解决无关资源争议。滥用特殊权力时适用补偿和纠正。

最后，章程应要求年度证据。NRS 报告实现覆盖率、硬件多样性、仓库增长、验证时间、分支分歧、回退、轮换成功、提供商集中度、小型运营商准备度和未解决风险。指标应显示分布和失败测试，而非仅标记为准备就绪的百分比。

只有当用户能离开时，迁移才算成功

密码学转型自然集中专业知识。早期硬件稀缺，库不熟悉，标准变化，操作错误可能代价高昂。少数提供商可能变得不可或缺。正是在此时退出权需要最强，因为转型期间形成的依赖可能在技术成熟后长期持续。

每个合格的后量子服务应提供文档化的入职、证据导出、发布可移植性、替换密钥轮换、终止和事件合作。合同应声明证书和签名产品是为认可持有者执行的，而非服务所拥有。重大价格变更或提供商收购应触发合理的移动窗口。

NRS 应匿名测试退出。合成客户可以从一个托管服务移动到另一个，从托管移动到委托运营，以及从一个硬件供应商移动到另一个。测试观察父响应、仓库连续性、语义等价、凭证退役和验证器收敛。能签名但不能释放客户的提供商未完全合格。

竞争应包括连续性能力。如果主导服务失败，替代提供商需有足够硬件、员工和仓库容量以波次接受迁移。储备容量可在不分配实时资源的情况下测试。依赖图应揭示表面替代是否使用相同密码学模块、云控制或支持团队。

用户选择非绝对。持有者不能要求非标准化算法、不安全密钥处理或无限期旧套件接受。协会可执行通用安全结果。合法性测试是要求是否提供商中立、基于证据、可纠正且不宽于互操作性和安全所需。

离开是 CA 技术角色未成为资产主张的最强证明。如果持有者可生成替换密钥、获得相应认证、移动发布并在新合格服务下保留路由语义，则层级协调了安全而未没收选择。

治理必须在量子转型后保持适应性

后量子迁移不会是最后一次密码学变更。算法可能弱化，实现可能失败，硬件可能集中，运营假设可能老化。持久目标并非从 RSA 成功移动到首选套件。而是能够再次变更而不发生危机或捕获的系统。

该能力取决于清晰的抽象边界、可互操作格式、明确的算法策略、可移植密钥或轮换、仓库容量、语义监控和练习过的决策权。它还取决于机构记忆。早期试点、失败测试、紧急行动和提供商变更的证据应保存，以便后来领导者不重复可避免的错误。

NRS 应将算法策略与商业服务策略分开。技术更新可修订已接受套件而不重写成员权利。提供商资格可变更而不改变标准。持有者争议可在不选择密码学架构的情况下决定。分离减少了紧急问题携带无关权力的机会。

独立审查应在旧套件消亡后继续。审查者应检查旧密钥是否退役、不受支持的验证器是否残留、回退例外是否持续、新市场是否集中以及持有者是否仍能移动。完成声明不应终止观察。

协会还应对“安全”一词保持谦逊。后量子算法旨在在当前分析下抵抗已知经典和量子攻击。它们不是对未来任何发现、侧信道、实现错误或管理滥用的保证。精确声明比绝对语言更好地维护信任。

治理成就将在下一次算法变更成为例程时可见：标准公开成熟，独立实现互操作，持有者保留权威，提供商竞争，验证器暴露差异，旧密钥基于证据退役。量子迁移是该持久能力的测试案例。

更强的密钥不得创建比成员授权更强的机构

到 2035 年期间将引发戏剧性主张。一些将预测即时量子崩溃；其他将轻视准备为投机。负责任的立场介于两者之间。RPKI 现在应构建和测试后量子路径，因为全球迁移需要数年，密码学失败可能影响路由信任。它应保持强制日期基于完整证据，因为过早部署可能产生自身系统性风险。

技术层级不可避免。父 CA 必须准备就绪，仓库必须承载新对象，依赖方必须验证它们。机构层级是选择。系统可协调这些功能而不授予 CA 永久保管、专有控制或对客户移动的否决权。清晰权利和可互操作轮换将层级转化为服务而非所有权。

标准记录已提供有用基础。RFC 6916 提供分阶段多年模型。RFC 7696 解释为何算法敏捷需要比标识符更多以及太多选择可削弱互操作性。NIST 已标准化可信后量子签名。IETF 证书和 CMS 规范现支持 ML-DSA。当前 RPKI 工作识别了一个合理候选和未解决的实现问题。

剩余任务是不确定性下的治理。NRS 应定义谁决定、什么证据算数、如何处理异议、回退何时结束、回滚如何工作以及每个阶段存在什么权利。它应测量仓库和验证器后果，支持较小成员，并防止供应商集中成为政策。

更长或更复杂的私钥不携带更大权利。新证书不创建新分配。协调迁移的 CA 不获取资源。存储密钥的供应商不拥有认证关系。这些命题应在昂贵基础设施和紧急修辞使其更难辩护之前写下。

量子迁移将在密码学改变且权利合法分配不变时成功。持有者保持认可，CA 保持问责，验证器保持明确，提供商保持可替换，标准保持对证据开放。这不是路由安全的障碍。这是使更强路由安全值得信赖的治理条件。

证据与延伸阅读