在量子计算对现有公钥密码体系构成潜在威胁的背景下，企业和安全团队正面临两条主要的量子安全迁移路径：一是基于物理原理的量子密钥分发（QKD），二是基于数学难题的后量子密码学（PQC）。这两种方案在工程实现层面存在显著差异，理解这些差异对于制定切实可行的迁移策略至关重要。
BB84 协议的实现成本解析
BB84 作为最早提出的 QKD 协议，其工程实现涉及一系列专用硬件设备。一套完整的企业级 BB84 系统通常包含量子收发模块、单光子探测器、同步控制系统以及经典通信信道的安全认证模块。从成本角度而言，一个覆盖单城域链路、约二十公里距离的基础 BB84 部署，初期资本支出通常在数十万至两百万美元之间，具体取决于所需的密钥速率、系统冗余度以及供应商报价。此外还需计入每年的运维成本，包括线路租用、维护支持以及软件更新费用，年支出通常在数万至数十万美元量级。
成本的主要驱动因素包括链路距离与拓扑结构。更长的传输距离或需要可信中继节点的网络架构会显著增加硬件复杂度和维护成本。系统组件方面，脉冲整形、相位或偏振编码模块以及高灵敏度单光子探测器构成了资本支出的主要部分。控制软件集成、密钥管理以及网络层面的编排工作同样需要持续的投入。值得注意的是，近年来出现的诱饵态 BB84 变体通过简化硬件配置（如使用单激光源配合高速调制器）有望降低初期部署成本，同时保持理论安全性保证。
硬件信任根与安全假设
QKD 的核心安全优势建立在量子力学原理之上：任何对量子态的窃听测量都会不可避免地引入可检测的扰动。然而，这种物理层面的安全性需要依赖于对硬件的信任。企业在评估 QKD 方案时，必须考虑硬件信任根的要求：单光子探测器的性能特征、随机数生成器的熵源质量、偏振保持光纤的稳定性等因素都可能成为潜在的攻击面。已有研究指出实现层面的旁路攻击和探测器漏洞是需要持续关注的问题。
相比之下，PQC 算法完全基于软件实现，其安全假设依赖于数学难题的计算困难性。ML-KEM（基于模格密钥封装机制）、ML-DSA（基于模格数字签名算法）以及 SLH-DSA（基于哈希的格签名算法）已成为 NIST 标准化的后量子密码学算法。这些算法的部署无需专用硬件，可直接在现有服务器和网络设备上运行，通过软件升级即可实现与现有系统的集成。
NSA 的官方立场与采购参考
美国国家安全局（NSA）在 QKD 与 PQC 的选择问题上持明确立场。NSA 认为，对于保护国家安全系统而言，PQC 相比 QKD 更加经济有效且易于维护。NSA 预计不会对 QKD 或量子密码学产品进行认证或批准，除非当前存在的若干技术限制得到根本性解决。这些限制主要包括：QKD 无法对传输源进行自身认证（需要依赖外部密码学机制或预共享密钥），以及 QKD 面临更高的拒绝服务攻击风险。
NSA 明确建议国家安全系统的运营者优先采用 PQC 算法实现量子安全迁移。这一立场意味着，对于大多数企业用户而言，将现有 TLS 迁移至支持 PQC 算法的版本是一条更为实际且符合行业趋势的路径。企业在制定采购规范和安全评估框架时，应充分考虑 NSA 的这一官方指导意见。
现有 TLS 迁移路径与工程实践
将现有 TLS 基础设施迁移至后量子密码学的过程涉及多个工程层面的考量。首先是算法选择：密钥交换可采用 ML-KEM（取代传统的 ECDHE），数字签名可采用 ML-DSA 或 SLH-DSA（取代传统的 ECDSA 或 RSA）。大多数主流 TLS 库（如 OpenSSL、BoringSSL）已逐步支持这些新算法，企业可通过升级库版本并启用相应选项实现渐进式迁移。
密码学敏捷性是迁移过程中的核心设计原则。系统架构应支持多种算法并行运行，允许在运行时根据对端能力动态选择最合适的密码套件。这意味着企业需要在密钥管理基础设施、证书管理体系以及负载均衡配置等方面预留足够的灵活性。硬件安全模块（HSM）供应商也正在陆续添加 PQC 算法支持，确保敏感密钥的生成和存储过程符合后量子安全标准。
对于已经部署 QKD 基础设施的组织，一个可行的混合方案是将 QKD 用于高价值链路的对称密钥分发，同时利用 PQC 保护密钥交换的初始化过程和跨域认证。这种分层策略可以在充分利用 QKD 物理安全特性的同时，弥补其在源认证和可用性方面的短板。
决策框架与落地参数
企业在选择 QKD 或 PQC 时，应综合评估以下参数：业务场景的安全等级要求、现有基础设施的兼容成本、人员技能储备以及长期运维投入。对于需要最高等级安全保证且具备专用光纤或自由空间链路的场景，QKD 可作为纵深防御的组成部分。对于绝大多数企业环境，采用 NIST 标准化的 PQC 算法进行 TLS 迁移是更具成本效益且风险可控的选择。
迁移进度安排上，建议将关键系统的 PQC 支持作为近期优先级，在二零二七年前完成主要互联网 - facing 服务的算法升级。密码学敏捷性框架的建立应与算法部署同步推进，确保未来能够快速响应新的安全标准或威胁演变。
资料来源：NSA 关于量子密钥分发与后量子密码学的官方立场；BB84 企业部署成本分析参考（diva-portal.org 相关研究）。