每次有关后量子迁移的对话都会遇到一个悬而未决的问题：组织到底在哪里使用加密技术。大多数领导者不知道如何应对，而那些快速反应的人往往会犯错误。
这种知识的缺乏是该项目的最大障碍。您无法在空白地图上进行迁移、确定优先级或估计截止日期。在选择 ML-KEM、ML-DSA 或任何算法之前，您需要了解情况。
本文讨论了支撑任何重要的加密转换的两种功能：库存（显示您拥有的内容）和加密敏捷性（允许您更改算法而无需重写整个系统）。如果没有它们，后量子迁移将成为一个永恒且昂贵的项目。
为什么库存优先于一切
[加密1悄无声息地在整个组织中传播。它存在于网络流量、证书、软件签名、令牌、数据库、与第三方的集成、设备、库中，这些都嵌入在没有人有意识地选择的依赖项中。
这种散射会产生危险的盲点。被遗忘的证书、嵌入依赖链下三层的旧库、无人愿意接触的遗留服务：其中任何一个都可能正是关键使用 RSA 或 ECC 的点。你不会迁移你不知道自己拥有的东西，而你不知道自己拥有的东西才是最痛苦的。
库存也使优先级成为可能。如果不知道加密在哪里以及它保护哪些数据，您就无法判断首先要迁移什么。有了这张地图，对话就从“我们需要对量子做点什么”变成了“这二十个流保护长期数据并依赖于易受攻击的算法，让我们从它们开始吧。”
还有顺应角。向监管者、审计员或客户证明您知道在哪里使用加密并制定了计划，与承认您不知道有很大不同。根据[LGPD2]，了解和保护个人数据的路径是义务的一部分，而不是额外的义务。
具体要映射什么
有用的加密清单不仅仅是列出证书。他回答操作问题。
映射加密资产：密钥、证书、秘密、它们的位置、所有者和到期日期。映射正在使用的算法，区分哪些算法容易受到量子计算的影响（例如 RSA 和 ECC），哪些算法更有弹性（例如强对称加密技术）。规划出每个应用程序使用的库和版本，包括内置于依赖项中的库和版本，因为这是大多数加密所在的地方，没有人有意识地选择。
映射内部和外部连接的协议，因为早期捕获的风险集中在它们的密钥交换中。并映射每次使用加密保护的数据，特别注意机密性的有效性：需要保密多年的数据最容易受到“现在收获，稍后解密”的影响，捕获今天加密的数据以便将来使用[量子计算4]解密。
最后，绘制供应商地图。您的大部分加密都在云提供商、SaaS 和合作伙伴中运行。了解他们中的哪些人有后量子过渡计划是你库存的一部分，因为他们的风险是你的。
如何在不崩溃的情况下进行调查
许多团队对此列表的反应是沮丧：它看起来太大了。解决方案不是尝试一次完美地盘点所有东西。
组合字体。自动发现工具扫描网络、代码和证书，并找到许多隐藏的内容。但它们并不能取代人们的知识：架构师和产品团队知道没有扫描捕获的依赖关系和上下文。使用两个前线。
从重要的事情开始。在采取任何行动之前不要进行通用清单，而是优先考虑接触长期有效、高曝光数据的系统。首先盘点这些，开始采取行动，并分阶段扩大调查范围。一份部分的、可操作的清单比一份完整的、延迟的清单更有价值。
并将库存视为有生命的。它不是一份写完就归档的文件。系统发生变化，证书诞生又消亡，依赖项版本增加。不更新的库存很快就会老化，并再次成为一张空白地图。将加密发现集成到您的变更和部署流程中。
加密敏捷性：无需重写即可交换
库存回答“我有什么”。加密敏捷性回答了“我的交易速度有多快”。两者相辅相成。
加密敏捷性是指在不完全重写系统的情况下更改系统加密算法的能力。它是一种建筑财产。将特定算法绑定到代码中，广泛传播对密码的直接调用的系统，为改变付出了高昂的代价：每次改变都成为一个长达数月的项目，每个点都存在风险。
区别在于耦合。当加密被隔离在明确定义的层（系统其余部分在不了解内部细节的情况下使用的清晰边界）之后，在该边界下切换算法是一个包含的更改。系统的其余部分甚至没有注意到。
这在现在尤其重要，因为后量子密码学将会不断发展。参数将会调整，新的算法可能会出现，建议也会改变。如果没有加密敏捷性，您的每一步都会重复整个迁移项目。有了它，接下来的交换就是增量的。后量子迁移是这种能力的第一个主要证明，而不是最后一个。
建立交流能力
加密敏捷性无法购买现成的，它是通过有意识的设计决策构建的。
集中访问加密。不要让系统的每个部分直接调用特定的密码，而是让它们通过一个公共点来决定使用哪种算法。改变算法意味着改变这个核心决策，而不是寻找分散在代码中的调用。
外包算法配置。使用哪种密码、使用哪些参数，必须是配置，而不是嵌入代码中的常量。这允许您进行调整，甚至回滚，而无需重写和重新部署所有内容，这在后量子升级导致生产出现问题并且您需要返回方法时至关重要。
设计为同时使用多种算法。在过渡过程中，客户端和服务器将处于不同的阶段，混合方法结合了经典算法和后量子算法。您的系统需要并行协商和支持多种算法，而不破坏合法连接。任何在设计中采用单一算法的人都会遭受这种痛苦。
并适应新的尺寸。后量子密钥和签名更大。尺寸较小的结构、场地和边界需要清理。现在建立这个松弛可以避免以后重做工作。
本周选择一个关键系统并回答两个问题：您是否知道它使用的所有算法，以及更改其中一个算法需要多长时间。这些答案衡量了您的库存和加密敏捷性工作的真实规模，并为您提供了一个具体的案例来开始。
另请阅读
- 【现在收获，稍后解密：你的长期保存数据已经面临风险55
- [如何迁移到后量子密码学：ML-KEM、ML-DSA 和混合方法6
- [量子安全：为什么它将成为必须，而不是炒作77
- [后量子证书和 PKI：公共管理者现在应该计划什么8
- 【数据加密规模化：关键治理与运营9
- 【数据加密：如何在日常开发中应用10