君之组织内，必有一工执笔撰TLS之配置。彼需指明服务器将提供何种密钥交换算法。昔非PQC之世，其答甚简：ECDHE与P-256或X25519，止此而已。迨至二二六年，其答则视彼所配置之国而定。

若服务器直面德意志政府之客，BSI之TR-02102-1。 需要混合模式：ML-KEM 与古典密钥交换并行运行。若遇澳大利亚政府客户，ASD 之 ISM 指导 谓当部署 ML-KEM-1024 而无混合，且至2030年尽废古典非对称算法。若对美利坚国家安全系统，CNSA 2.0。 许雜糅於過渡時，然要求網絡設備必用獨占PQC至2030年。三國，三答同一配置之問。

此非理論之從容。乃PQC遷移之要問，天下主要網絡安危之權威已立不可調和之見。如吾前論。寰宇PQC迁徙之钟，时序分岐最受瞩目。然混用之题难驭，盖时序可序（先易后难），而矛盾之模态须同时满足.

诸方之见

容我详述何者需何，盖微言要义，概览易失。

混合强制.德意志之BSI，于TR-02102-1（二零二五年一月之更新）中，强制生产PQC部署皆须混合之制。法兰西之ANSSI，则“力荐”所有保护二零三零年后数据之产品，皆用混合之法。ETSI TS 103 744之标准，明言混合密钥交换之规。二零二四年十月之联合声明十八欧盟成员国网络安全当局，皆赞混合为过渡之策。欧盟之ECCG ACM v2推举 PQ/T 之混合方案。实践之中，欧洲之共识乃混合也。

杂糅不宜。澳大利亚之自闭症谱系障碍（Autism Spectrum Disorder）明示不荐混合。ISM规定ML-KEM-1024为必用参数，ML-KEM-768仅容至2030年。目标自始即纯净PQC。

混合为过渡，纯净PQC为终局。美利坚在CNSA 2.0之下。许迁跃之际可杂用，然定专用PQC之期：网络设备至2030，网云OS旧制至2033，凡NSS皆至2035。杂用乃中道，非终途也。英之NCSC谓“若可则杂用”，然非强令，亦未定罢用之期。

未有定见。 日荐混合为过渡之策，然不强制之。加拿大(Canada)，天竺，星加坡，韩半岛，且其阿拉伯联合酋长国(United Arab Emirates)未立公论于混用与纯用之间。

混用之理

欧陆之策，本乎一技之疑：若PQC算法，果弱于所期，将若何？

机器学习密钥加密法 乃基于误码模块学习之题，其格之构，约廿载矣。较之 RSA（刊于一九七七），或椭圆曲线密码（一九九零年代标准化），二者皆历廿五载之密术攻伐，方为量子算法所胁。ML-KEM 经八年 NIST 之审，及学林之察，然未历卅载敌国之智士与情报机构之砥砺也。

混合模式可保安全。若新式古典攻击破ML-KEM（或任何PQC算法），则古典部分犹护其连。若量子机破古典部分，则PQC部分护之。需二者同毁，连方受危。BSI之见，此双保险之法，于PQC算法犹积其效之期，实为当得。

ANSSI之立场，益加保守。其后续立场文书推衍混和推荐至数字签名，非惟密钥交换。大抵混和之论，多聚焦于密钥封装机制（KEMs），盖因HNDL 此威胁模型促急于机密。然ANSSI(法国网络安全局)以为，签章算法亦当慎之：若ML-DSA(多变量DSA)被破，则含古典签章之混合签章法犹能验真与保全。其性能之耗较混合签章为高(签章尺寸增大，验证时日加长)，然ANSSI以为其安全余裕值得之。

BSI于算法之选，更进一层，兼采FrodoKEM（其安全归约至最坏情形格问题，严于ML-KEM）及古典麦尔维瑟（基于码，其安全论证溯至一九七八年）为可容之备选。此乃吾所标为“信可证之数理，勿信仅以为难之数理”之哲思也。

驳混合之策

澳地拒混合，非隐秘之疑，乃工程之断，辨复杂也。

雜合之式，倍其機器於每連。二要之易，並行而運。二鍵之系，既得復合。二法之實，必持必補必試。二攻之面，亦存於此。於TLS之握手，雜合增ClientHello之量甚巨（ML-KEM-768加鍵之分享~1,200字節；一雜合合此與X25519，復加古典之分享於其上）。於制約之器，帶寬所限之網，或延時所敏之用，其負擔非輕。

ASD之见，似以为此复杂之状，于过渡之际所生之操作风险，远甚于其于理论密码分析风险所减之害。若欲部署PQC，则当正而洁之，择最强参数组（ML-KEM-1024），专力于一事之当，而非于二并行密码栈之交互间费工。

复有年表之辩。混用之态，隐设终将弃古典之想。然组织之惰，力大难移。运行混用PQC于二七者，犹可于三五仍混用，盖无人优先易之。澳洲之法，迫其断然：或处古典，或处PQC，无永恆之居中之地。

何故此争端难解

二说各有所据，皆可成立。欧陆诸司，重其密钥之险；澳地之署，务其行简之便。非有谬误，惟权衡之异耳。其衡之轻重，因制之文异，估之危之位殊也。

此题国际和谐之景，黯淡无光。十八国之邦联合声明 欧洲共识之坚，固于混用。ASD之ISM指导，屡次更新，皆反混用。CNSA 2.0已定其由混转纯之期，日期具陈。此非待议之草见，乃已颁之策，诸司已投其公信力以卫之。

此分野将至少持续至2030年代，诸组织宜依此筹谋。吾尝言之。PQC标准碎片化分析且于更广之境中PQC 之世，主权所在。诸国择异方以行PQC，其理一也，犹择异方以开密钥之隙，投QKD之资，与家算法之研创者，盖因密码之策即国安之策，而国安之序各异.

其实施何为

若处一域之内，则循此域之导。事毕矣。

若涉疆域而治，需谋策以合最严之规，勿成纷繁难驭之局。吾之建言，本于与诸组织共历斯困：

当速行混用密钥交换之术。 X25519MLKEM768，已为OpenSSL 3.5之常例。 亦适用于 Chrome 及 Firefox 之 TLS 堆栈。此配置可满足 BSI、ANSSI、CNSA 2.0（过渡期间）、英国 NCSC，及未表态之每一司法管辖区。亦满足澳大利亚近期之要求，盖因 ASD 虽不鼓励混合，然未禁止之，且 ML-KEM 尚存于协商之中。

专司按司法管辖区配置之架构。 君之TLS配置、VPN政策或PKI层级，当于部署之境，得易混用与纯PQC之式。此非每连之累，乃每境之设也。澳大利亚向之VPN关，行ML-KEM-1024纯式。德国向之关，行混用。内中PKI发混用之证，具古典与PQC之链。密码之变乃成此功而不需并行基建之先决也。

谋 CNSA 2.0 环境之混用退场。若供应用于美國國家安全系統，標記2030（網絡）及2033（其他）為古典元件撤銷之期。汝之測試環境，當於此期之前，善驗純粹PQC之運作。勿待獨用截止之期前半年，方知汝之堆疊無法無古典之備。

若为法市服务，则签名须遵从ANSSI之规。 混合签名较之混合密钥封装机制，耗损更巨（性能与带宽），而多数法域未对其立论。然若尔之产品需ANSSI认证，或服务法政府客户，则混合签名实为安妥之择。若尔不事法市，则纯质PQC签名，以ML-DSA为基，通行无碍，且免性能之罚。

留意IETF标准。 混合密钥交换之规约（草稿-ietf-tls-hybrid-design，承袭浏览器所施之X25519MLKEM768）与复合签名之规约（草稿-ietf-lamps-pq-composite-sigs）犹在演进。施行之细要必更易。此乃又一由也：尔不欲硬铸一混合之构，而为修订之IETF RFC所代。

实践之要义

混用之问，似为TLS配置之技术争辩，实则为治理与架构之问也。混用模式之技术实现，本甚直明：OpenSSL 3.5固以此设。其难处，在于决何模式适何部署，以文书记之，使多域之审计者与监管者能容，且持架构之变通，俟需求之迁转，可易其答。

吾所睹之组织，善处此者，皆具一德：早于其迁转之程，已分算法之决于架构之决。彼辈筑基设，可运合参纯一，乃依其规约之境，配置各境。而困顿者，乃择一式于寰宇（多为其本土管辖所荐），后知异市需他式焉。

为二者而建，依境配置。毋预设当前纷争，待需发之时已解。

量子之胜 & 量子之险 - 已处之

吾司 - 量子之用 - 助官府、企业、投资家备量子之利弊。 吾等供简明之董事会与投资者简报；破量子计算、感知、通信之迷；谋邦国与企业之策以取先机；化蓝图为实。助君减量子之险，行加密库存、加密敏捷实施、后量子加密迁移及广防量子之策。吾等办供应商审慎、价值验证试点、标准与政策契合、员工培训及采购支持，继而督其施于尔组织。致吾若欲助之。

与吾语之 联系应用量子