7.3 TLS 迁移实战：混合密钥交换
7.3 TLS 迁移实战：混合密钥交换
现实世界的后量子迁移选择混合方案：每次握手同时跑 X25519 与 ML-KEM-768，两把共享密钥一起喂给密钥派生——任一算法被破都不破防。本节拆解握手时序、逐字节点账、给出从浏览器到服务器的迁移时间线与实操命令，顺带交代证书链这块更难啃的骨头。
承接 7.1 与 7.2 节：标准已定、实现已验，现在把引擎装进互联网最核心的协议。本节是全章的落点，也回答一个战略问题——为什么迁移要趁早：先存后解式攻击者今天就在记录加密流量，等着将来的量子计算机回头解密。数据要保密十年，密钥就得十年内先换。
为什么是混合而不是直接切换
直接换 ML-KEM 的风险在于"新算法的年轻"：格密码虽有三十余年分析与第 3 章的归约保单，但标准的正式审定只有数年。混合设计的妙处是取短补长：X25519 三十年战功（防格方案出意外），ML-KEM 抗量子（防量子计算机），两条腿缺一不可地并联。工程形态：TLS 握手的密钥交换载荷里同时放两种公钥材料，双方各自算出共享密钥后拼接进哈希提取——协议层只认最终密钥，对单个算法黑盒。
握手时序：一次混合协商的完整动作
字节账单：多出来的一千二百字节花在哪
对照传统握手：X25519 单干的 key_share 是 32 字节，换成混合组变成 32 加 1184 共 1216 字节；服务器回程从 32 字节变成 1120 字节。一次握手净增约 2.3 千字节，对千兆光纤无感，但三个历史教训值得记：其一，早期试验（2019 年前后）发现少数中间设备见到超长 ClientHello 就掐断连接——当时诱导出了对协议兼容性的大规模排查，如今主流栈已无此虑，但存量设备审计仍是迁移清单项；其二，高频握手网关要把这 2.3 千字节乘上 QPS 算带宽与 CPU 预算；其三，组名与编号要写进兼容性矩阵——早期草案组编号 0x6399，现行标准组 X25519MLKEM768 编号 0x11EC，新旧并存期内两端要能协商。
迁移时间线全景见下图，注意浏览器与即时通讯走得最快，证书链走得最慢。
图：后量子迁移时间线
动手：给你的服务做一次体检
三步验收自己的服务是否已经"带量子"。第一步，探测协商能力，用命令行客户端指定混合组连自己的域名，观察握手是否成立、协商出的组名是什么：
openssl s_client -connect your.server:443 -groups X25519MLKEM768 < /dev/null 关注输出中的 Negotiated TLS group 一行是否为混合组
第二步，服务器端启用并保留回退：主流网关的配置项是按优先序列写组名，推荐写成"混合组在前、X25519 在后"，不支持混合的老客户端自动落到第二项。第三步，抓包核账：确认 ClientHello 的 key_share 长度约 1216 字节、ServerHello 回程约 1120 字节——数字对上了，链路上跑的才是真的混合协商。
证书链的迁移要单独排期：根 CA 与中间 CA 的签名算法替换牵动整个信任链，业界的主流预期是先出现"双签名"过渡证书（经典与后量子签名并列），再逐步收窄。内部 PKI 与私有信任域没有外部协调成本，可以先行——这也是当下最划算的一次练兵。
先存后解：把威胁算成日期
"趁早迁移"要能说服管理层，就得把威胁折算成日期。推理三段：一问数据要活多久——医疗记录、户籍、国家基础设施图纸的保密期常以数十年计；二问量子计算机何时够大——公开路线图的主流估计集中在未来十年到二十年间出现能跑 Shor 攻破 RSA-2048 的机器，误差极大但方向一致；三问迁移要多久——本轮 TLS 实测从首次互操作（2023）到流量过半（2025）用了约两年，而证书链与存量设备至少再翻倍。三段串起来：保密期覆盖量子机到来日期的数据，今天传输时就该带混合协商——这就是"先存后解"（harvest now, decrypt later）的算术化表述。反过来，保密期只有几分钟的会话（如一次性验证码）优先级可以靠后，把预算先投给长寿命数据。企业的落地清单四行：盘点数据保密期分级、协议栈开启混合组、长寿命数据通道优先割接、每年复测一次协商兼容性。
补一个运维视角的实测注脚：混合协商对握手时延的影响在跨大洲链路上才显形——密文多出的一千余字节在光速往返里折合约一毫秒级 RTT 增量，多数业务无感，但握手密集型服务（短连接 API 网关）要按 QPS 重新核 CPU 预算：解封装比椭圆曲线标量乘慢数倍，尽管绝对值仍是微秒级。公开统计数据口径下，2025 年主流浏览器与云端的混合协商流量占比已先后跨过三成与五成——迁移不再是"要不要"，而是"你的域名什么时候"。
要点速记：混合等于两条腿并联，X25519 保下限、ML-KEM 保量子；一次握手净增约 2.3 千字节，组名与编号进兼容性矩阵；浏览器 2024 年默认、密码库 2025 年内建、2035 是官方退役线；证书链走双签名过渡，内部 PKI 先行练兵。最后一句话送给排期的决策者：迁移工程的每一步都可以小步走、可回滚，唯独"不动"这个选项会随着数据保密期的流逝自动变质——今天不动，明年的选项只会更贵。
到这里，格密码学已经从数学、构造、攻击、标准一路走到真实流量。最后一章向前看：更紧凑的构造、更远的猜想、以及把这一切参数化自动化的工具箱。