第5章 · 部署与迁移
第 5 章 · 部署与迁移
章节摘要：SOURCE 5.x 给出企业 PQC 迁移路线图、TLS/IoT/区块链场景与风险管理。本章用对比表对齐「先盘点再试点再全量」的阶段任务。
本节导读
- 绘制资产依赖 RSA/ECC 的清单
- 设计混合 TLS 试点方案
- 定义回退与密码敏捷策略
本章学习建议
第五章是把前四章的知识汇成行动清单的收尾章节，核心是「分阶段、可回滚、可持续」。建议按三条线阅读：第一是路线图，理解 CBOM 资产盘点、优先级划分、混合试点、全量推广、持续运维五个阶段各自的任务与产出，特别留意 HNDL 风险如何决定 P0/P1/P2 的优先级；第二是场景，掌握 Web、VPN、邮件、IoT、政府 PKI、区块链六类场景各自适合的参数组合，明白场景约束（带宽、内存、合规）才是选型的真正决定因素；第三是风险，学会用登记册管理「算法被破、互操作失败、性能劣化、合规滞后」四类风险，并把回退演练纳入常态。
读完本章，应该能回答：公司下一次季度评审时，我要提交的 PQC 迁移一页纸计划是什么？哪个系统第一个试点、预计的握手延迟增量是多少、回退脚本在哪里演练过？
知识点衔接
- 前置知识：第 3 章的参数集与 FIPS 编号、第 4 章验证过的实现栈。
- 后续依赖：本章的迁移清单可直接作为项目立项依据；风险登记册模板可复用到其他安全建设。
- 常见误区：把迁移等同于「升级 OpenSSL」；跳过试点直接全量替换；忽略根 CA 与证书链的 RSA/ECC 残留。
迁移优先级速查表
| 系统类型 | 数据保密年限 | 优先级 | 第一步动作 |
|---|---|---|---|
| 长期归档 | 10 年以上 | P0 | 立即盘点并启用混合加密 |
| 公网 Web TLS | 中 | P1 | 灰度启用混合码点 |
| 内网短期会话 | 1 年以内 | P2 | 纳入统一队列，随版本更新 |
| IoT 设备群 | 设备寿命长 | P0 | 评估 Falcon 签名与 Kyber-512 |
| 政府/合规 PKI | 长期 | P0 | 对齐 FIPS 203/204 时间表 |
对照这张表与 5.1 的阶段模型，可以快速为任意系统定位它在迁移地图中的位置。
常见疑问
| 疑问 | 解答 |
|---|---|
| 迁移为什么不能一步到位？ | 依赖链横跨 CA、CDN、客户端与旧证书，只能分阶段并行，任何一环滞后都会阻断全局。 |
| 混合试点失败怎么办？ | 试点前就准备好回退脚本与配置快照，失败时一键回退到经典模式，业务不受影响。 |
| 怎么判断该先迁哪个系统？ | 看数据保密期与 HNDL 风险：长期归档、根证书、政府 PKI 优先。 |
| 回退演练多久做一次？ | 建议至少季度一次，且必须真实执行、强制复盘，而不是只更新文档。 |
带着这些答案阅读 5.1 的阶段表与 5.3 的登记册模板，迁移这件事就从「知道要做」变成了「知道怎么做」。
评论区
(0)
U