美國NIST發布PQC遷移路線圖，RSA、ECDSA等傳統公鑰演算法2030年後逐步退場，2035年後禁用

隨著後量子密碼學（PQC）標準逐步確立，既有系統升級與傳統公鑰演算法汰換，成為政府與企業面臨的重要課題。美國國家標準暨技術研究院（NIST）繼兩年多前公布首批3項PQC標準後，今年10月27日進一步發布NIST IR 8547文件《轉換至後量子密碼學標準》，提出傳統公鑰演算法的汰換時程及遷移指引。

NIST指出，這份文件列出需要逐步汰換的傳統公鑰演算法，包括用於數位簽章的RSA、ECDSA及EdDSA，以及用於金鑰建立的RSA、Diffie-Hellman和MQV等演算法。NIST規畫2030年後將其列為不建議使用（Deprecated），並於2035年後在NIST標準與指引中列為禁止使用（Disallowed）。

不過，上述是NIST對傳統公鑰演算法提出的一般退場時程，美國聯邦政府部分高敏感系統另有更早的遷移期限。依據美國2026年6月發布的行政命令EO 14412，聯邦政府的高價值資產（High Value Assets）及高影響系統（High Impact Systems），不含國家安全系統，須提前於2030年底完成後量子金鑰建立機制的遷移，並於2031年底完成數位簽章轉換。

NIST將這份文件定位為高層次的PQC遷移路線圖，主要說明不同技術與應用場景的遷移需求、挑戰及過渡方案，而非提供詳細的系統升級步驟。

在技術層面，NIST強調，後量子密碼學遷移不只是替換密碼演算法，還涉及整個資訊系統與密碼學技術的供應鏈。例如，TLS、SSH及IPsec等網路安全協定需逐步支援新的金鑰建立與身分驗證機制，OpenSSL等密碼學函式庫需支援後量子演算法，硬體安全模組（HSM）及可信任平臺模組（TPM）也可能需要更新韌體或重新設計。此外，公開金鑰基礎建設（PKI）也須調整憑證簽發、驗證與撤銷機制，以支援後量子數位簽章。

在網路通訊方面，NIST將TLS列為優先遷移項目之一，主要是考量TLS廣泛用於保護資料傳輸，也可能成為攻擊者「先蒐集、後解密」（HNDL）的目標。依據美國聯邦政府相關政策，各機關須最遲於2030年1月2日支援TLS 1.3，為導入後量子金鑰建立機制奠定基礎。

而在實際遷移過程中，不同系統面臨的技術挑戰與所需時間也有所差異。例如，部分設備在製造完成後，可能難以更新程式碼簽章的驗證機制，必須提前考量抗量子簽章需求；美國聯邦政府使用的個人身分驗證（PIV）系統，則涉及智慧卡、讀卡機、中介軟體及公開金鑰基礎建設等元件的升級。由於相關憑證的核發與硬體汰換週期通常長達數年，相關遷移作業也須及早展開。

至於遷移期間的相容性與安全性問題，NIST也將混合式密碼學機制列為可考慮的過渡方案，透過結合傳統與後量子演算法，以因應既有系統的相容性需求，並降低對單一演算法的依賴。但NIST也提醒，混合式方案可能增加實作與系統架構的複雜度，進而提高安全風險及成本，組織仍須依實際應用需求審慎評估。

NIST表示，由於密碼學演算法從標準化到全面導入資訊系統，過去往往需要10至20年，政府機關與企業應及早盤點使用中的密碼學演算法、評估系統相依關係及供應商支援能力，並依資料敏感度規畫遷移優先順序。