为何美国近期发布的第14412号行政命令要求做好PQC准备

行业趋势 | 2026年7月01日

Rachael Shah高级产品营销经理 | F5

AI或许抢尽了风头，但量子计算也对我们的数据构成了迫在眉睫的风险。2026年6月22日，白宫发出重大警示，再次强调量子计算不只是未来的问题，而是我们现在就需要着手应对的安全威胁。

美国第14412号行政命令（保护国家免受高级密码攻击）强调了迁移到后量子密码学（PQC）的紧迫性，并优先制定相关资金和采购政策，以更有效地满足联邦合规期限要求。

“美国第14412号行政命令将讨论重点从遥远的“假如发生”情景转向迫在眉睫的合规现实，要求各组织优先落实明确的期限，以保护国家关键系统。”

如果认为这只会让政府机构头疼，那就需要重新审视了。该行政令将在各类采购周期中引发广泛的连锁反应，促使技术供应商和企业在当前采购周期中优先考虑量子安全系统。

不止于“Q-Day”：实际执行期限

多年来，人们普遍认为，“量子威胁”，即量子计算机能够轻易破解RSA等标准加密技术的时刻，仍然十分遥远。我们曾以为，还有充足的时间为“Q-Day”做好准备。

但物理硬件的发展速度已超出最初的数学预测。Harvard Quantum Initiative研究人员近期取得的突破表明，稳定且具备容错能力的量子系统发展进度远超预期，相关时间点可能提前至本十年末。

第14412号行政命令让这一形势变得更加现实。它将讨论重点从遥远的“假如发生”情景转向迫在眉睫的合规现实，要求各组织优先落实明确的时间节点，以保护国家关键系统。

到2030年12月31日：联邦机构需要全面迁移到经美国国家标准与技术研究院（NIST）批准、用于密钥建立（加密）的PQC算法。此举旨在遏制“现在收集，以后解密”攻击，即攻击者现在窃取并存储加密流量，等待未来利用量子计算将其解密。
到2031年12月31日：必须完成数字签名（身份验证）的PQC迁移，以防范冒充和欺骗攻击。

这些截止日期看似涉及范围有限，实则影响广泛。为推动该命令落地，美国管理和预算办公室（OMB）于6月24日发布了M-26-15号备忘录，要求民事机构必须在严格限定的120天内提交正式迁移计划；与此同时，战争部（DoW）也在推进并行实施工作。

该命令还要求美国联邦采购法规委员会（FAR Council）将完全相同的时间表纳入联邦合同要求。这使政府命令转化为商业现实：整个国防工业基础以及数千家联邦承包商必须证明其符合PQC要求，才能继续与政府开展业务。

此外，美国网络安全和基础设施安全局（CISA）正指示各机构在即将开展的采购周期中优先考虑具备PQC能力的供应商。无论贵公司是直接参与军事供应链，还是在金融、医疗等其他受到严格监管的领域运营，结论都不变：如果系统涉及联邦数据，具备量子就绪能力就是开展业务的必要条件。

供应链盲区：CBOM登场

数据不会始终局限在一处，而是不断在第三方API、外部SaaS平台、供应商托管的云等环境之间流动。这些依赖关系会带来无法直接控制的漏洞，因此，做好PQC准备远比仅保护内部系统复杂。

根据第14412号行政命令，白宫配套指令引入了密码材料清单（CBOM），要求供应商披露其密码系统的详细信息，以解决这一盲点。与软件物料清单（SBOM）类似，CBOM侧重于提高加密透明度，明确产品中嵌入了哪些算法、库和证书。

挑战在于，大多数企业基础设施尚未做好满足这些透明度标准的准备，而供应商在PQC方面准备不足，使这种依赖关系变得更加关键。例如，F5 Labs的数据显示，得益于自动更新，全球57%的Web浏览器流量在技术上已做好PQC准备，但企业后端系统远远落后。在排名前100万的网站中，只有8.6%支持混合PQC密钥交换，银行网站的这一比例更是仅为3%。

量子就绪不仅取决于自身准备是否充分，还取决于合作伙伴，其中最薄弱的依赖项可能会危及整体准备工作。CBOM透明度对于评估供应商以及确保贵组织能够顺利应对量子转型至关重要。

PQC 就绪三步检查清单

迁移到抗量子算法并非通过一个快速软件补丁就能完成，而是一个需要周密规划、历时多年的过程。目前，白宫仅给联邦机构30天时间来任命专职的PQC迁移负责人。企业也应以同样的速度推进。

可立即从以下三个步骤着手：

明确责任归属并梳理依赖关系：当前首要任务。指定一名负责人，统筹整个组织的量子就绪工作。其首要任务是梳理RSA和ECC等传统加密算法目前的使用位置，包括组织自身的基础设施，以及第三方API、SaaS平台和供应商生态系统。
为CBOM强制要求做好准备：未来3至6个月。更新采购准则。要求未来的硬件、软件和云服务供应商提供清晰的路线图，说明如何实现符合NIST标准的PQC支持，并询问其计划如何提供透明的CBOM。及早发现这些依赖关系缺口，远比等到合规期限临近再处理更为妥当。
测试混合部署模式：未来6至12个月。采用TLS 1.3，并开始在非生产环境中测试混合密钥交换，以评估后量子密钥对实际网络延迟和应用性能的影响。现在开展测试，可避免未来出现重大运营中断。

借助F5顺利完成转型

要成功迁移到抗量子密码技术，需要具备密码敏捷性，即随着标准演进，无缝替换加密算法，同时避免系统中断或停机。

重写数千个旧版应用可能需要数年时间，对大多数团队而言，这是一项规模庞大且成本高昂的工作。因此，F5加入了NIST国家网络安全卓越中心（NCCoE）的“迁移至PQC”项目。该项目汇聚多方力量，致力于构建实用框架，帮助组织完成这一转型。

F5通过可从根本上降低部署风险的网关平台架构，简化了这一迁移过程。开发人员无需在混合、多云或旧式环境中手动重新设计应用架构，F5将对混合PQC密码套件（服务器端和客户端）的原生支持直接集成到其F5 Application Delivery and Security Platform (ADSP)中。这有助于保护当前的关键数据交换，同时为团队留出充足时间，以便顺利完成、长期的过渡。