数字签名通常是在其创建的那一刻接受评估的：证书有效，密钥足够强，算法在推荐之列。但许多记录的生命并不只存在于签名的那一刻。长期合同、临床记录、试验文档、工程设计、产权凭证或监管档案，可能需要保存并被证明长达数十年。
在此期间，证书会过期，证书颁发机构会更替，算法会老化，而远处还浮现着一个更深层次的变化：足够强大的量子计算机，可能使当今最常用的签名算法不再安全。本文说明这对长期保存记录的完整性意味着什么，以及如何既不恐慌、也不拖延地为过渡做好准备。
量子计算带来了哪些变化
目前使用的大多数数字签名基于 RSA 或 ECDSA 等椭圆曲线密码学。这些方案的安全性取决于数学难题的难度，例如大数分解或离散对数，而足够大的量子计算机有可能通过 Shor 算法高效解决这些问题。目前并不存在具备这种能力的量子计算机，对于它何时可能出现也没有共识。但需要关注的时间窗口，并不取决于这样的机器何时问世，而取决于您的记录需要在多长时间内保持可信。
就保密性而言，这种风险被称为“先收集，后解密”：今天被截获的加密数据，将来可能被解密。就完整性而言，风险有所不同，但同样重要。如果某个签名算法被攻破，就有可能用受影响的密钥伪造签名。从那时起，单独一个签名本身就不再能证明文档是由其所称的签署者在其所称的时间签署的。
正确的问题不是“量子计算机何时到来？”，而是“我的记录需要在多长时间内继续证明某些事情？”。
新的后量子标准
2024年8月，NIST 发布了首批后量子密码学标准：FIPS 203（ML-KEM，用于密钥建立）、FIPS 204（ML-DSA，基于格的签名）和 FIPS 205（SLH-DSA，基于哈希函数的签名），另有其他标准正在制定中。在欧洲，成员国通过 NIS 合作小组发布了协调一致的过渡路线图，提出短期内即启动迁移，并在本十年末之前优先保护风险最高的使用场景。
这些标准的出现并不意味着所有系统明天就要迁移，而是说明路径已经明确，管理长期保存记录的组织应当开始规划。
为什么哈希函数更经得起时间考验
并非所有密码学受到的影响都相同。SHA-256 等哈希函数并不依赖 Shor 算法所能解决的数学难题。Grover 算法在原像搜索上提供二次加速，实际上会缩小有效的安全余量，但并不会将其消除：输出为256位的哈希函数，在后量子场景下仍被认为足以抵抗原像攻击。
这对档案系统的设计有重要影响。基于数字指纹（文档的哈希值）并连同时间戳封存在独立账本中的完整性证明，主要取决于哈希函数的稳健性和账本的保存，而不仅仅取决于某一对签名密钥的存续时间。将完整性证明与签名分离，能使档案更能适应密码学的演进。
签名、时间戳与续期
时间戳的作用
如果能够证明某份文档及其签名在算法仍然安全的日期就已经存在，那么即使该算法后来被认为不够安全，这份签名依然具有证据价值。ETSI 定义的长期签名格式，以及 RFC 4998（Evidence Record Syntax）中描述的证据记录，依据的正是这一原则：在先前的证明失效之前，不断叠加新的时间戳，将其“包裹”起来。
趁为时未晚进行续期
证明的续期必须在所用算法仍然可信时进行。如果等到底层算法已被攻破才续期，就再也无法令人信服地重建这份证明。因此，长期保存的档案需要一项明确的续期政策，规定责任人、时间安排和技术标准。
密码学敏捷性
后量子过渡留下的最持久的教训，是对敏捷性的需求：系统应当能够更换算法，而无需重写架构，也不会使既有证据失效。记录中如果明确保存所用算法的标识，而不是隐含地默认，迁移起来就容易得多。
面向长期保存记录的实用计划
- 建立清单。 识别需要长期保持证据效力的记录，以及目前保护这些记录的密码学机制。
- 按保留期限分级。 需要保存数十年的记录，其优先级高于一年后就会被丢弃的记录。
- 将完整性与签名分离。 确保除了任何签名之外，每条记录还有一份带时间戳、经独立封存的数字指纹。
- 现在就封存。 今天加盖的可靠时间戳，是应对日后对文档存在时间产生质疑的最佳防线。
- 制定续期周期。 明确证明何时、以何种方式使用更新的算法进行续期。
- 要求供应商具备敏捷性。 询问每家供应商计划如何支持新标准，并保持已签发证明的有效性。
- 持续关注指导意见。 关注 NIST、ENISA 及各国主管机关的建议，这些建议还将不断演进。
ROOTKey 如何提供帮助
ROOTKey 在设计上就将完整性证明与文档本身分离。每项资产都会获得唯一的数字指纹，并被永久封存在独立的公共账本中，形成其确切状态的带时间戳记录。采用定制部署时，内容保留在您自己的基础设施中，被记录的只有数字指纹。
这种方式为长期保存的记录提供了可独立验证的时间锚点，它是对现有签名的补充，数年之后任何一方都可以通过 公共验证门户加以确认。持续监控会检测与已封存状态相比的任何变更，保管链也随时可以在需要时提交给审计员和监管机构。