后量子身份验证：组织为何应现在开始测试证书生态系统
编辑部 · 发布 2026/10/09 · 更新 2026/10/09
微软指出，后量子密码迁移不仅涉及加密数据，还影响证书、信任锚、公钥基础设施、应用和硬件安全模块。其受控 TLS 试点帮助合格证书机构评估互操作性，组织可从依赖清单、供应商准备度和非生产测试着手。
后量子密码学规划通常关注保护加密数据，但身份验证系统也必须演进。证书、信任锚、公钥基础设施服务、应用、设备，以及硬件安全模块，都可能受到新算法和更大的证书链影响。
微软的后量子密码学传输层安全试点项目，帮助符合条件的证书颁发机构，在受控环境中评估互操作性与运营准备度。组织应当现在就开始盘点证书依赖、评估供应商路线图、识别长期部署的基础设施，并建立非生产测试环境。提前测试能够在后量子身份验证需要大规模采用之前，暴露兼容性与流程缺口。
读完本文，安全负责人、公钥基础设施管理员和架构师，将了解后量子身份验证准备工作中的关键证书依赖、迁移风险，以及可采取的初步实际步骤。
为何后量子身份验证带来了不同挑战
当前有关后量子密码准备度的讨论，大多聚焦于保密性和“现在收集、以后解密”的风险：攻击者今天收集加密数据，期待未来的量子计算机能够解密。
身份验证则带来了另一组挑战。
保密性保护主要关注加密通信的安全，而身份验证依赖广泛的技术生态系统与信任关系。证书和私钥必须跨不同环境与供应商完成签发、分发、存储、验证、续期及管理。因此，密码算法变化的影响，可能超越密码学正确性本身，延伸到运营流程、互操作性和基础设施准备度。
组织通常知道传输层安全在哪些地方保护通信，但拥有完整清单、了解每个签发、验证、存储、分发或依赖证书的系统的组织要少得多。
随着行业迈向后量子身份验证，安全团队需要更清楚地掌握这些依赖关系。
为何组织应现在开始准备
向后量子身份验证过渡，不太可能只是一次技术升级。
企业环境通常包含数十年积累的基础设施，包括内部管理的公钥基础设施部署、嵌入式设备、运营技术、安全设备、自定义应用、第三方服务，以及由硬件支撑的信任系统。其中一些技术可能有漫长的部署生命周期、固定的密码算法假设，或在开始测试前不易察觉的运营限制。
组织面临的挑战，并不是后量子标准不存在，而是要了解拟议的后量子证书层级结构，如何与其环境中已经部署的系统和流程相互作用。
测试有助于回答以下问题：
-
现有应用能否正确处理和验证后量子证书？
-
更大的后量子证书和证书链，会如何影响握手大小、性能、存储、传输，以及检测系统的限制？
-
企业公钥基础设施工作流程是否需要改变，以适应新算法？
-
网络监测、检查或证书管理系统，是否已为后量子身份验证做好准备？
-
硬件安全模块及其他密码基础设施组件，是否能够支持未来的证书要求？
-
供应链、供应商和第三方服务中，存在哪些隐藏依赖？
在许多情况下，组织可能还不知道这些问题中，哪些与自己的环境最相关。识别这些未知因素，是今天开展生态系统测试的重要原因之一。
微软对准备度的看法
为后量子身份验证做好准备，需要验证证书链、平台与运营流程如何协同工作。
目标不只是确定证书能否签发或验证，而是在后量子身份验证必须大规模部署之前，识别互操作性、兼容性、性能及运营方面的挑战。
组织应将后量子准备工作视为多年的规划，而不是未来才启动的迁移项目。现在就开始盘点依赖、评估供应商准备度及测试互操作性的安全负责人，将更有能力在标准、平台支持及行业要求不断演进时，作出有依据的决策。
测试未来的证书生态系统
为了帮助生态系统积累后量子身份验证的实践经验，微软于 2026 年 8 月 27 日启动了后量子密码学传输层安全试点项目。
该试点使获得批准、在微软受信任根计划中信誉良好的证书颁发机构，能够使用抗量子的模格数字签名算法 ML-DSA-87，评估后量子传输层安全根证书及证书签发。
项目旨在创建一个受控环境，让参与者评估后量子证书层级结构所涉及的互操作性、兼容性、性能及运营因素。
通过试点签发的证书并非公开受信任证书，只能在封闭环境、自定义应用及企业测试平台中，用于互操作性与生态系统准备度测试。它们不得用于生产信任场景或面向公众的网站。试点期间，对 ML-DSA 的支持仍有限且持续变化，不应依赖它进行生产使用。
根据微软受信任根计划公告，2026 年 8 月的发布新增了七个试点根证书，运营机构分别为 ComSign、DigiCert、HARICA、IdenTrust Services、Sectigo、上海市数字证书认证中心及 SSL.com。
试点将持续滚动接收申请至 2026 年底，为参与微软受信任根计划的合格证书颁发机构提供更多加入机会。已参与微软受信任根计划、并希望评估后量子身份验证准备度的组织，应通过 https://aka.ms/rootcert 查看试点要求与申请流程。该试点让合格证书颁发机构有机会，在后量子身份验证更广泛采用之前，测试互操作性、运营流程及生态系统准备度。
目标不是验证一个预定结果，而是帮助证书生态系统发现，在后量子身份验证能够广泛采用之前，哪些地方需要现代化改造、测试及运营改进。
扩展端到端测试
在受支持且配置适当的 Windows 11 系统上，可以在试点受控的非生产测试场景中评估 ML-DSA 证书。支持从 2026 年 7 月 28 日的更新开始：26H1 对应 KB5101681（操作系统内部版本 28000.2608），25H2 对应 KB5101684（操作系统内部版本 26200.8973 和 26100.8973）。
ML-DSA 证书也可在受支持的场景中，与安全通道 Schannel 一起使用。测试前，应确认适用的 Windows 与 Schannel 平台要求。
微软平台支持与后量子密码学传输层安全试点项目相结合，提供了一种受控方式，可以在问题影响生产环境之前，识别应用不兼容、证书大小限制、性能影响，以及运营工作流程缺口。
组织今天可以做什么
组织不必等到行业广泛采用之后，才开始为后量子身份验证做准备。
安全负责人、公钥基础设施管理员和架构师可以从以下事项开始：
-
盘点依赖证书的系统。识别在身份验证、信任建立或生命周期管理方面依赖证书的应用、服务、设备、安全设备及基础设施。
-
绘制信任关系。
记录公开和私有公钥基础设施环境，包括内部证书层级结构、信任锚、设备身份验证系统，以及由外部管理的证书。
- 评估供应商准备度。
与证书提供商、公钥基础设施供应商、硬件安全模块提供商、软件供应商及平台提供商交流，了解其后量子路线图与测试能力。
- 识别长期部署的基础设施。
特别关注升级周期很长的系统，包括嵌入式设备、安全设备、运营技术环境及安全基础设施。
- 制定安全的测试策略。
建立非生产环境，在其中评估后量子证书层级结构的互操作性、性能及运营影响。
- 构建多年的过渡路线图。
将后量子身份验证准备工作视为持续计划，而不是单个项目。分配负责人、安排依赖关系的先后顺序，并在未来要求出现前，利用测试结果确定现代化改造工作的优先级。
有兴趣测试的组织，应询问自己的证书提供商是否参与试点，以及是否提供适合其环境的测试机会。
如果证书提供商参与微软受信任根计划，但尚未加入试点，可以考虑鼓励其通过项目申请流程参与。
展望未来
后量子身份验证需要证书颁发机构、平台、软件、硬件及企业环境之间协调变革。现在就开始测试信任基础设施与证书依赖的组织，将更有能力降低未来迁移风险，并加强对抗量子威胁未来的准备。
了解更多
-
了解微软威胁情报社区的最新安全研究，请访问微软威胁情报博客。
-
若想收到新文章通知并参与社交媒体讨论，请在 LinkedIn、X（原 Twitter） 和 Bluesky 关注我们。
-
若想听微软威胁情报社区讲述不断变化的威胁形势及相关洞见，请收听微软威胁情报播客。
来源：Microsoft