收藏它，如果你是 ——
- 被董事会或监管要求交一份后量子迁移路线图、但手上还没有密码资产清单的安全负责人
- 负责 TLS / CDN / 网关配置、需要回答「到底多少流量真的协商出了混合组」的平台或 SRE 工程师
- 做支付或长期客户数据业务、要决定「哪几把长寿命钥匙先换」的中小团队技术决策者
直接划走，如果你要的是 ——
- 可直接部署的配置文件或迁移脚本（本仓是纯研究笔记：无代码、无产品、无工具）
- 一个确定的 CRQC 到达年份（本套笔记明确不主张某年到达，急迫性来自替换周期与数据寿命）
- 稳定更新的跟踪动态（十件笔记是一次成稿的系列，后续更新不定期）
三条最反直觉的发现 ——
- 威胁不在量子计算机问世那天，而在今天已开始计时的存量债务——捕获不以量子能力就绪为前提，只有长寿命秘密在被抄名单上（2026 外泄的数据 2032 年仍敏感 [二手]）
- 配置里开了混合组不等于流量里用上了——TLS 协商时一端不支持即回退古典密钥交换，两侧面板可能都显示已启用（部署≠就绪 [二手]；关闭条件为混合组占比接近 100% 且连续数月稳定 [推算]）
- 这场迁移赢的不是「这次换对算法」，而是抽象层——换代成本从重构级压到配置级，算法被攻破时可小时级 pivot 而非数年重构（CARI = 有抽象密码层的应用 / 核心应用总数 > 85% [二手]）
English Summary（英文读者展开）
These notes trace the practical path of moving public-key cryptography off quantum-vulnerable algorithms, starting from the threat model rather than from any hardware timeline. They cover why Shor converts a complexity assumption into a scheduling problem, harvest-now-decrypt-later exposure sorted by data lifetime, the FIPS 203/204/205 family and why the lattice and hash paths hedge different failure modes, hybrid key exchange and the gap between finished RFCs and moving drafts, cryptographic bills of materials as the first real step, the difference between deployment and readiness in TLS negotiation, crypto-agility as a way to compress replacement cost, the regulatory clock that starts earlier than the technical one, a three-metric scorecard, and a minimum playbook sized for a one-person company. Each claim states its boundary numbers with source grades, separates finalized standards from drafts, and names the evidence that would reverse it. They are written for engineers and researchers evaluating this field, including operators who need to decide what to change first rather than whether to change at all.
中文简介见下 ↓
一套长期跟踪后量子密码迁移写下的独立研究笔记：从 Shor 算法的威胁模型出发，经标准家谱、混合密钥交换、密码清单、协商可观测性、敏捷性与监管时钟，落到一人公司能执行的动作清单与季度记分卡——每条结论都带边界数、来源等级与证伪条件。
每件笔记的正文之前有两块固定结构，两层互相制约：
- 性一（12 岁也能懂）——这是什么（生活比喻 + 一句「哪里不像」）/ 与我何干（只落在省钱、赚钱、避险、暂无四选一）/ 我该怎么办（一个 ≤2 小时、今天就能开始的具体动作）。判据：不允许出现未解释的术语；若 12 岁的人读完会问「所以呢」，就是「与我何干」没写清。
- 性二（同行可验证）——机制（推到基座）/ 边界数（数字 + 来源等级裸写）/ 反例（什么证据能推翻这条结论）/ 可复现（最小验证路径）。判据：不允许出现无法验证的断言；给不出数，性一就只是好听。
只过一层不算懂：缺性一是自嗨，缺性二是空话。完整协议见 FEYNMAN.md。
两层读完再看正文。正文保留原有结构：「为什么这条路线被低估」→「第一性原理拆解」→「技术机制与关键事实」→「反例与证伪条件」→「对善伦业务的迁移点」→「最小下一步动作（≤2 小时）」。
| 编号 | 标题 | 一句话 | 关键边界数 | 证据等级 |
|---|---|---|---|---|
| 01 | Shor 算法为何让 RSA/ECC 变成定时炸弹 | 公钥密码的安全是计算复杂性声明，Shor 把它从指数级降到多项式级，引信焊在「数据寿命 × 替换周期」的错配上 | CRQC 到达时间仍有争议；全球银行替换全套密码 routinely 需十年以上 | 一手（算法/标准）+ 二手（周期） |
| 02 | HNDL「先收割后解密」：今天被抓包的数据 2032 年裸奔 | 捕获不以量子能力就绪为前提，长寿命秘密按寿命排暴露，短寿命会话密钥只缩小窗口不关闭窗口 | 2026 外泄的数据 2032 年仍敏感；长寿秘密（客户记录、IP、认证凭证）最暴露 | 二手为主，含一手（PFS 机制） |
| 03 | FIPS 203/204/205 家谱：ML-KEM、ML-DSA、SLH-DSA | 三个标准的产物不是三个算法，是「不同命门」的组合：格承担效率，哈希承担保守 | FIPS 203/204/205 于 2024 年 8 月定稿；NIST IR 8547（草案）提议 2030 后弃用、2035 后禁用 | 一手（标准/草案） |
| 04 | 混合密钥交换：X25519MLKEM768 与 RFC 10024 | 混合是逻辑或的风险对冲，TLS 侧已标准化可上生产，远程接入侧仍在草案阶段 | TLS 1.3 混合 X25519MLKEM768 = RFC 10024（2026 年 8 月）；IKEv2 ML-KEM 草案 -09（2026 年 7 月）未批准 | 一手（RFC/草案）+ 二手（NCSC 建议） |
| 05 | CBOM 与密码盘点：迁移的第一步不是换算法 | 覆盖率的上界等于已知资产数，清点从内部脏活变成供应商准入项 | CERT-In 2025-07-09 发布 SBOM/QBOM/CBOM v2 指南；印度 DST FY2026-27 起索要 CBOM、FY2027-28 起采购强制 | 一手（指南）+ 二手（路线图） |
| 06 | 部署≠就绪：TLS 协商回退的 visibility gap | 安全是协商结果不是单方属性，就绪的判据是「观测到的实际协商分布」而非「配置里有没有」 | 一端不支持即回退古典密钥交换；就绪关闭条件为混合组占比接近 100% 且连续数月稳定 | 二手 + 推算（关闭条件） |
| 07 | 密码敏捷性：抽象层设计 | 目标不是这次换对算法，而是把换代成本从重构级压到配置级 | CARI = 有抽象密码层的应用 / 核心应用总数 > 85%；目标是小时级 pivot 而非数年重构 | 二手为主 |
| 08 | 监管时钟：DORA、NIST IR 8547、印度 DST 路线图 | 监管时钟独立于技术时钟且启动更早，罚则买的是整个行业提前出发的窗口 | NIST IR 8547（草案）2030 弃用 / 2035 禁用；RBI 2026-07-31 指令、2026 年 9 月 Q-Safe 专家委员会 | 一手（草案）+ 二手（执法与指令） |
| 09 | 董事会记分卡：ICP>98%、HER<60%、CARI>85% | 不可度量则不可管理：库存、暴露、敏捷三维互补，任何单科都不构成健康证据 | ICP > 98%；HER < 60%（2026 年底）；CARI > 85% | 二手（框架）+ 推算（口径纪律） |
| 10 | 一人公司最小迁移手册：跨境电商支付与账户安全 | 七步按规模缩小即可用，排序规则不变——长寿命密钥先换，证书随后，签名最后 | 七步序列；长寿命链路优先（远程访问、支付通道、独立站入口、供应商 API）；QKD 不是 PQC 替代品 | 二手为主，含一手（签名战线） |
以下条目是本套笔记的证伪条件汇总。任何一条成立，对应笔记的结论就要改写；被推翻是预期内的正常结果，不是失败。
- CRQC 到达时间仍有争议。 本套笔记不主张密码学相关量子计算机会在某一年到达。01/02/08 号给出急迫性，依据是替换周期（全球银行替换全套密码 routinely 需要十年以上）与数据寿命（2026 外泄的数据 2032 年仍敏感），不是硬件时间表。证伪条件：出现可信的物理证明——容错量子计算机不可实现或经济上永不可行——则威胁模型作废，迁移降级为纯保险行为。
- 部署≠就绪：TLS 协商回退的可见性缺口。 本套笔记不主张「配置里开了混合组」等于「流量里用上了混合组」。06 号的全部内容就是这个落差：一端不支持即回退古典密钥交换，而两侧面板可能都显示已启用。证伪/关闭条件：两端全自控且强制只用后量子时缺口消失（但面向全球浏览器与合作方服务端不可行）；或监控显示混合组占比接近 100% 且连续数月稳定。
- 不主张格密码长期稳健。 03 号的选型依据不是「格一定安全」，而是命门分散：格路径承担效率，哈希路径只押注抗碰撞性。证伪条件：格密码被找到高效经典攻击或更优量子攻击——被证伪的是「选格」这个决定，不是「迁移」这个方向；攻击只会改变迁移目标，不会取消迁移。
- 不主张 ICP/HER/CARI 三个数能单独证明安全。 09 号的三个阈值（98% / 60% / 85%）建立在估算分母与统计口径之上。证伪条件：ICP 的分母「总估算资产」未留档、估算方法未独立于执行人，则该指标不采信；HER 的统计口径若与 06 号的协商观测不一致，数字即为装饰；三指标全绿仍可能裸奔——回退流量未观测、影子资产未入册、供应商黑盒未拆。
- 不主张 NIST IR 8547 的 2030/2035 是既成事实。 它是草案日期，不是生效条款。证伪条件：正式版推迟或柔化会改变节奏，但不改变弃用方向；且标准一旦进入采购合同，惯性独立于监管存续——合同不会因为草案推迟而自动失效。
- 不主张 QKD 是 PQC 的替代品。 10 号列出三条未解决的问题：认证、互操作、成本与 KMS 集成。证伪条件：出现同时解决这三项且有独立第三方测评的工程方案，此条需重写。
- 不主张敏捷性投入越多越好。 07 号给出边界：若业务线生命周期短于算法换代周期，敏捷投入收不回来；抽象门面会把分散的重构风险换成集中的运行风险（一次配置错误放大为全站事故），对策是变更审计与灰度发布，不是放弃抽象。
- 不主张一人公司必须立刻立项目。 10 号给出反例：若清点后密码面确实极小（全部流量走一个已默认启用混合密钥交换的现代托管服务、自持仅一张短寿证书），激进迁移的边际收益低于投入，正确动作是维持监测而非上项目——且这个判断以先完成清点为前提，不成立于清点之前。
- 数字必指源。 每件笔记的边界数后裸写来源等级：[一手] = 标准原文、官方指南、RFC/草案、原始论文、自行实测；[二手] = 综述、报道、转述、行业框架；[推算] = 由已知数推导，推导过程写在正文。
- 无源数字不进入对外文本。 拿不到来源的数字，要么删掉，要么降级为假设并在正文标注。
- 区分发布状态。 已发布 RFC 与变动中的 Internet Draft 不等价（04/06/10 号）：生产系统用 RFC，Draft 上的部署不计就绪。草案（如 NIST IR 8547）与正式版分开标注。
- 事实与看法分开。 正文中以「事实包」标注的是外部来源，以「推算」标注的是本套笔记自己的推论，两者不混写在同一句里。
- 每条结论必带反例。 写不出反例的判断不写进正文；反例要具体到「什么证据能推翻它」，而不是「也许会错」。
- 修订留痕。 指标口径、定义、阈值一旦变更，必须显式标注并重述历史，否则前后两期不可比。
- 不扩张事实边界。 修订时只补来源与数字，不把事实包之外的内容写进结论。
- 隐私与称谓。 全文只保留称谓「善伦」，不出现真实姓名、邮箱与任何身份标识。
MIT License. Copyright (c) 2026 chenhz01.
本套笔记按「现状」提供，不构成安全审计结论、合规意见或采购建议。读者应以一手标准原文与自身实测结果为准。
| 领域 | 仓库 | 一句话 |
|---|---|---|
| 神经形态计算与事件驱动传感 | neuromorphic-event-sensing | 永远在线的智能为什么必须抛弃「帧」与全局时钟，以及省 100 倍的前提条件 |
| AI 老药新用与计算重定位 | ai-drug-repurposing | 用计算手段给已上市分子找新适应症，以及 10-30% 的前瞻重复率边界 |
| 本地优先软件与 CRDT 同步 | local-first-crdt | 把数据主副本放回用户设备，冲突由数学保证收敛 |
| 后量子密码迁移 | post-quantum-migration | 从 Shor 的威胁模型走到一人公司能执行的换算法顺序 |
| 软体与折纸机器人 | soft-origami-robotics | 柔性结构能否把安全、顺应与几何编程做成工程能力 |
五套笔记各自独立，互不依赖，可任选入口进入。
一句话：像有人正在偷偷复印你家钥匙的形状、准备十年后再来开锁——现在还撬不开，但保险柜里的东西那时候还值钱；哪里不像：换锁可以一晚上换完，而全球银行替换全套密码 routinely 需要十年以上，所以动手时间要按「数据寿命 × 替换周期」倒排，不能按量子计算机哪年到倒排。
三个数：
- FIPS 203 / 204 / 205 于 2024 年 8 月定稿 [一手]
- NIST IR 8547（草案）提议 2030 后弃用、2035 后禁用量子易损公钥算法 [一手]
- 全球银行替换全套密码 routinely 需要十年以上 [二手]
不成立的三个条件：
- 若出现可信的物理证明——容错量子计算机不可实现或经济上永不可行——威胁模型作废，迁移从必然降级为纯保险行为。
- 若格密码被找到高效经典攻击或更优量子攻击，被证伪的是「选格」这个决定，不是「迁移」这个方向；攻击只会改变迁移目标。
- 若清点后密码面确实极小（全部流量走一个已默认启用混合密钥交换的现代托管服务、自持仅一张短寿证书），激进迁移的边际收益低于投入，正确动作是维持监测而非上项目——且这个判断以先完成清点为前提。
这套笔记的每篇都有完整两层费曼拆解，方法见 FEYNMAN.md。
捕获不需要量子计算机先到——今天被抓走的密文，就是 2032 年的明文。 —— 出自《HNDL「先收割后解密」：今天被抓包的数据 2032 年裸奔》，查看原文
一端不支持就悄悄回退古典交换，两侧面板却都显示已启用——部署不等于就绪。 —— 出自《部署≠就绪：TLS 协商回退的 visibility gap》，查看原文
致胜的不是换对算法，是把换代成本从重构级压到配置级——小时级 pivot。 —— 出自《密码敏捷性 crypto-agility：抽象层设计》，查看原文
每句都自带出处链接，可单独复制转发。