算法被标准化，不等于整款通讯工具的安全性获得认可。
“现在收集，以后解密”是一种威胁场景：攻击者保存加密数据，希望未来获得破解加密的工具。这种场景并不证明某个特定用户的消息正在被收集，也不意味着适用计算机的问世时间已经确定。**即时通讯后量子密码学（PQC）**是旨在应对这一特定场景的现代密码学工具。
本文探讨量子计算对聊天的风险，并介绍评估产品声明的实用标准。
摘要：即时通讯后量子加密的关键要点
- **今天的流量，未来的风险：**需要长期保密的数据，可能值得攻击者今天存储、未来解密。
- **NIST 最终标准：**2024 年，三项主要后量子密码学标准（FIPS 203、204 和 205）正式定稿。
- **全面安全的要求：**仅有“抗量子通讯工具”的标签并不足够；安全取决于整个系统的架构和元数据保护。
- **实际示例（Livara）：**Livara 对个人消息、处于 E2EE 模式的兼容私密群组，以及这些对话涵盖的媒体使用混合后量子端到端加密（Hybrid PQC E2EE）。频道不在这一范围内。
什么是即时通讯中的后量子密码学？
后量子密码学（PQC）指一组能够抵御量子计算机强大计算能力的密码算法。这些算法运行时不需要量子硬件，可在现有普通手机和计算机上使用。
足够庞大且可靠的量子计算机，可以利用 Shor 等算法解决 RSA 和 ECC 所依赖的一些数学问题；这并不是在说现有的每台量子计算机都能做到。这会使传统通讯工具的密钥交换面临风险。后量子技术通过生成具有抵抗能力的会话密钥来保护消息内容。
什么是“现在收集，以后解密”？
“现在收集，以后解密”（Harvest Now, Decrypt Later）是指攻击者截获并保存当今网络中的加密流量。他们的目标不是立即破解加密，而是等待量子计算机成熟，再解密已存储的文件。
为什么这一风险值得重视？
日常消息的价值可能很快消退，但下列信息可能在数十年内仍然敏感：
- 商业与金融秘密
- 法律和医疗档案
- 身份与政府数据
量子计算对聊天的风险有多紧迫？
目前没有可用证据表明，存在能够大规模破解当前算法的量子计算机。不过，迁移安全基础设施是耗时的过程。决定迁移时，应考虑数据需要保密多久，以及升级系统所需的时间；不存在明确且普遍适用的“五年”门槛。
**安全提示：**网络钓鱼、恶意软件和账户盗窃等传统威胁仍是首要关注点。抗量子通讯工具无法保护已遭入侵的手机上或未锁定屏幕上的消息。
区分标准算法、协议和产品
NIST FIPS 203 将 ML-KEM 定义为建立共享秘密的机制。该算法并不直接加密每条消息的文本，其标准化也不等于认可一整款通讯工具。
混合架构结合使用经典与后量子密钥材料。当某个组件被攻破时还能保留何种保护，取决于组合方法和协议假设；仅仅列出两个算法名称并不足够。身份验证、签名、密钥更新和错误处理也需要审视。
Signal 对 PQXDH 的介绍是技术性解释后量子升级目的的一个例子。那篇文章对应特定历史阶段；了解产品现状，还必须阅读当前的规范与版本。Livara 也描述了自己的混合架构。本文不会从这些文档中推导出排名或独立安全认证。
选择通讯工具时应评估什么？
评估通讯工具安全性时，请考虑这些结构化问题：
- **默认加密：**消息是否默认采用端到端加密？
- **抗量子覆盖类型：**协议的哪一部分——密钥交换还是签名——采用后量子方案？
- **覆盖范围：**后量子加密究竟涵盖什么——仅私信，还是也包括群组、图片和音频文件？哪些内容不在范围内？
- **标准：**是否使用了 NIST 标准化的算法？
- **元数据管理：**应用存储多少元数据，例如消息时间和联系人？
我今天就应该更换通讯工具吗？
如果你持有需要长期保密的敏感数据，审视产品的后量子迁移计划是合理的。但不要仅凭这一标签做选择：设备管理薄弱、恢复机制不可靠或声明缺乏证据的产品，可能带来更迫近的风险。
首先识别敏感数据和威胁行为者，再阅读协议的具体覆盖范围及其评估证据。更新应用和保持设备安全仍然至关重要。新的密码技术无法收回此前以明文形式或因密钥泄露而暴露的副本。
常见问题（FAQ）
什么是“现在收集，以后解密”？
这是一种攻击策略：攻击者保存今天已加密、无法读取的数据，以便未来借助量子计算机解密。
即时通讯的后量子加密会取代端到端加密（E2EE）吗？
不会。两者相互补充。端到端加密意味着只有通信参与方能读取消息。加入后量子算法还有另一个目标：让密钥交换阶段能够抵御未来的量子计算机。
只出现 ML-KEM 这个名称就足够了吗？
不够。你需要知道它用于哪个阶段、如何与其他组件结合，以及该产品版本有哪些独立评估。E2EE 的覆盖范围、元数据和设备安全是不同的问题。
量子计算机现在就在读取聊天吗？
不应从某项硬件突破的新闻推断聊天加密已在实用规模上被破解。这种能力何时出现仍不确定；恶意软件和账户盗窃等当前威胁也独立存在。
