美國政府將內部後量子密碼遷移截止時間從2035年提前至2031年

2026年6月22日，白宮發布第14409號行政令《保障國家免受高級密碼攻擊》，將後量子密碼（PQC）的遷移截止時間從2035年提前至2031年。該行政令在過往聯邦指引的基礎上，設定了短期可執行的截止期限，並將這些期限與聯邦採購直接掛鈎，切實落地NIST 2024年發布的PQC標準，為其明確了落地時間線。

該行政令的實際要求是什麼？

各機構必須完成以下工作：

1. 在2030年12月31日前，完成所有高價值資產和高影響系統的密鑰建立環節向PQC的遷移
2. 在2031年12月31日前，實現數碼簽署環節使用PQC

有兩點需要明確：

第一，上述截止時間僅適用於高價值資產和高影響系統，而非全部聯邦系統。國家安全系統仍由NSA負責，遵循獨立的推進路徑和報送要求。

第二，該行政令未引入新的密碼技術，而是將現有NIST標準納入法規：

• 密鑰建立採用ML-KEM
• 數碼簽署採用ML-DSA和SLH-DSA

後續安排：立即執行的行動

該行政命令設定了快速執行時間線：

• 30天內：各機構必須指定一名PQC遷移負責人，向首席資訊官（CIO）匯報工作
• 90天內：美國管理和預算辦公室（OMB）必須要求提交關鍵系統清單及正式遷移計劃

2027年底前：美國國家標準與技術研究院（NIST）將完成試點遷移，作為參考藍本。

為何執行順序比時間節點更重要

兩個截止日期相隔一年，該行政命令將二者分開的安排是合理的。密鑰協商工作需在2030年率先完成，因為針對機密性的威脅已經顯現。

先截獲、後解密（HNDL）這使得密鑰協商成為最緊迫的事項。當前由傳統密碼學保護的會話密鑰所保障的數據，可能需要保密十年、二十年甚至三十年。如果相關流量現在就被捕獲並存儲，遷移工作已然滯後。

數碼簽署的情況則不同。偽造簽署屬於實時攻擊。你無法追溯偽造一份2026年發布的軟件更新。這正是簽署相關工作可以排在第二順位的原因。身份認證是一種簽署行為，同時也是實時行為。該行政命令對工作的排序，是為了優先解決可被追溯利用的問題。這一區分十分重要，因為無需誇大任何人對量子計算發展時間線的實際預判，這項工作本身的緊迫性就已切實存在。

為何PQC遷移截止日期從2035年提前至2031年？

需要明確的是，這一調整並非量子計算領域突然取得突破的信號，而是反映了三項現實情況：

• PQC標準現已正式定稿
• 遷移工作周期長、複雜度高
• 敏感數據的保護需求已超出安全密碼學有效期

換言之，並非政策要求提速，而是政策跟進了密碼學技術的客觀規律。

如何在當下啟動PQC遷移工作

1. 搭建密碼資產清單；你無法保護無法感知的資產
2. 識別存儲長期敏感數據的系統並確定優先級
3. 立即向供應商施壓要求其實現密碼敏捷性，並索要等效的密碼物料清單（CBOM）
4. 從密鑰協商環節入手，這是HNDL風險最集中的領域
5. 將2031年視為近期規劃的時間節點

立即預約免費諮詢，開啟您的PQC遷移之旅：https://www.sectigo.com/quantum-labs