应根据数据的保密期限衡量抗量子保护的价值，而不是依据对未来某个日期的猜测。
“先收集，后解密”，简称 HNDL，是指攻击者现在收集加密数据，寄希望于未来获得读取这些数据的手段。在量子场景下，主要担忧的是某些公钥方法：性能足够强大的量子计算机可能对其发起攻击。
这种风险并不意味着今天的所有消息都已被破解，也不意味着破解会在某个确定的日期发生。风险的重要程度取决于加密方式、可被收集的数据，以及信息需要保密的时间。
为什么“保密期限”很重要？
一条日常协调消息可能几小时后就几乎没有价值，但一份合同、个人档案或新闻消息源的身份可能多年后仍然敏感。选择保护措施和规划迁移时，应考虑这种差异。
NIST 对后量子密码的说明也提到了长期敏感数据面临的风险，以及迁移需要时间这一点。足以破解现有密码的量子计算机何时出现，尚不确定。在不确定性下进行规划，与宣布安全将在某一天崩溃，是两回事。
| 关于你的数据，应问什么？ | 为什么重要？ |
|---|---|
| 需要保密到什么时候？ | 明确未来泄露可能带来的价值 |
| 谁可能收集数据副本？ | 将攻击者的能力和访问条件纳入评估 |
| 密钥如何生成和保管？ | 仅知道 AES 等内容加密算法的名称，还不是完整答案 |
| 备份或设备中存在哪些副本？ | 某些泄露途径根本不需要量子计算机 |
这张表是决策工具，不是统计评分，也不能证明你的某项数据已经被记录。
ML-KEM 的作用是什么？
FIPS 203 标准定义了用于建立共享秘密的 ML-KEM 机制。ML-KEM-768 是其中一套参数集。协议可以利用得到的共享秘密生成内容加密密钥；ML-KEM 本身并不是直接加密一部电影或一篇长文的方法。
具备后量子抗性，并不意味着已经证明它永远不可破解。安全性取决于数学假设、算法的正确组合、实现方式和密钥管理。产品页面上出现 ML-KEM 这个名称，不等于整个消息应用获得了独立认证。
为什么使用混合方案？
混合设计通过指定机制，将传统密码和后量子密码的密钥材料结合起来，以避免只依赖一个算法家族。其目标可以是在一个组成部分被攻破后仍保持机密性，但能否做到，取决于组合器的设计和协议假设；仅仅把两个名称放在一起并不够。
前向保密和失陷后安全性也是不同的属性。协议必须明确：哪把密钥泄露会影响哪个时间范围，以及恢复安全需要哪些新的输入。仅仅沿着确定性链轮换，并不能赶走仍然驻留在设备上的攻击者。
这对 Livara 用户意味着什么？
Livara 安全文档描述了 LVR1 中 P-256 与 ML-KEM-768 的混合使用，以及通过成对会话分发群组密钥的方式。这是开发方的描述；评估时，应分别考察产品版本、各种会话类型的保护范围，以及技术证据。
不要因为一种消息受到保护，就推断所有功能都受到保护。通话、备份、公开频道和身份恢复可能遵循不同规则。与笼统的“量子”标签相比，Livara 威胁模型和消息应用选择指南是更合适的起点。
让密钥具备抗量子能力，解决不了哪些问题？
- 恶意软件，或对显示已解密内容的设备的访问。
- 接收者保存消息、拍照或再次传播。
- 产品为路由而有意保留的元数据。
- 没有独立保护措施的备份。
- 对已经泄露的内容再次记录。
此外，今天的升级不会改变攻击者此前收集的流量副本。要了解内容与附带信息的区别，请阅读消息应用元数据指南。
应该从哪里开始？
首先识别需要长期保密的数据。然后询问：后量子保护实际上在哪个版本、哪条处理流程中启用？公开了哪些规范和评估？恢复安全有哪些限制？与此同时，不要忽略设备更新、联系人验证和安全备份；这些风险现在就存在。
我是否应该假定自己的所有消息将来都会被读取？
不应该。不了解密码设计和攻击者能力，就无法为这样的结论提供依据。HNDL 是根据敏感数据的特点进行规划的理由，并不代表所有消息必然泄露。
端到端加密本身就是后量子的吗？
不是。端到端加密涉及密钥和内容可以在哪里被访问；对量子攻击的抵抗能力则取决于算法和协议。
