谷歌公布后量子密码路线图：2029年完成迁移，推MTCs提速

今年3月，谷歌将后量子密码学（PQC）迁移截止日期提前至2029年。这一时间点比美国国家标准与技术研究院（NIST）的指导方案早六年，较美国国家安全局对国家安全系统的要求也提前了两年。随后，谷歌进一步公布了按产品划分的详细路线图，围绕三大风险领域设定了明确的服务迁移节点。

对于数字信任领域而言，最关键的举措在于构建“密码敏捷性”基础能力：即打造灵活的系统架构，以便随着新密码标准的演进，以最小的工程成本快速适配。

攻击者正广泛收集并存储加密数据，寄望于未来利用量子计算机进行解密（即“现在窃取，日后解密”）。这意味着，从健康记录到国家档案，任何具有长期保密需求的数据均已暴露在潜在威胁之下。

尽管ML-DSA等抗量子算法解决了理论安全问题，但其生成的密钥和签名体积庞大。若直接通过现有公钥基础设施（PKI）部署，将导致系统膨胀甚至瘫痪，遗留系统和高延迟网络受到的冲击尤为严重。

在谷歌路线图的“完整性与不可否认性”板块中，一项关键规划引人注目：“谷歌信任服务，默克尔树证书，2028年”。

默克尔树证书（MTCs）是一种新型网站域名证书，旨在确保后量子时代的连接速度。传统抗量子签名因体积过大，会拖慢互联网安全连接。MTCs通过让证书颁发机构（CA）将所有发布内容记录在基于默克尔树的公开防篡改日志中，解决了这一难题。

网站无需携带沉重签名，仅需展示一串简短的数字指纹，证明其证书存在于日志中。浏览器则通过软件更新中预置的日志摘要进行验证。值得注意的是，MTCs并未放弃X.509标准，而是作为传统直接签名证书的并行补充，在原本放置签名的位置承载证明。

这种机制使得透明度成为结构性特征。在MTC模式下，证书本质上是其条目出现在CA公共发行日志中的证明。若不在日志中，则不被视为有效证书。这不仅提升了安全性，也确保了底层抗量子能力的同时，用户仍能享受快速、不间断的网络体验。

MTCs并非谷歌独家提案。目前IETF草案的作者包括谷歌、苹果、Cloudflare和Geomys。Cloudflare深度参与早期研发，Sectigo等CA机构贡献了底层研究，Let's Encrypt已公开承诺于2026年6月支持MTCs。最终形成的将是一个不受单一厂商控制的开放标准。

行业格局正在重塑：留在工作组内的组织将共同制定规则，而置身事外的根程序、CA及大型实施者只能被动接受既定结果。

尽管谷歌设定的2028年MTCs落地日期可能随IETF标准化进程调整，但技术方向已定。Chrome计划中的抗量子根存储库将仅支持MTC格式的抗量子证书，而非在传统X.509上附加抗量子签名。

对企业而言，核心启示并非必须立即采用MTCs，而是必须具备快速采纳新兴技术的“密码敏捷性”。具体建议包括：

随着后量子标准逐渐成熟，那些今日投资于密码敏捷性、全可见性及自动化管理的组织，将在未来的数字信任体系中占据最佳适应位置。