後量子密碼學（PQC）是什麼？為何資料正在被「先竊取後解密」
Posted On 2026 年 9 月 8 日
2026年，Google一項研究指出，破解目前主流的橢圓曲線加密演算法（ECC-256）所需要的量子位元數量，比先前業界估計大幅減少了約20倍——這代表量子電腦真正具備破密能力的時間點，可能比多數人以為的更早到來。
美國總統簽署了編號EO 14412的行政命令（白宮管理和預算辦公室隨後發布M-26-15號備忘錄），要求所有聯邦機構在30天內指派專職的後量子密碼學（PQC）遷移負責人並訂出行動時程；台灣金融監督管理委員會也在6月公布了「金融業後量子密碼遷移參考指引」。
這些動作背後有一個共同的判斷：PQC不是留給未來量子電腦成熟那天才需要處理的問題，而是現在就必須開始因應的資安工程——因為攻擊者不需要等到量子電腦出現，今天就可以先動手。
什麼是後量子密碼學（PQC）
現在網路上幾乎所有的加密，不管是網站的HTTPS、企業VPN，還是通訊軟體的端對端加密，底層仰賴的是RSA或橢圓曲線加密（ECC）這類公鑰演算法。這些演算法之所以安全，不是因為理論上不可破解，而是因為破解需要的運算量，用現有的電腦要花上遠超過人類文明存在時間的年份——這個「安全」的前提，建立在古典電腦解不開大數分解、離散對數這類數學問題。
量子電腦不一樣：只要量子位元數量與穩定度到位，理論上能透過Shor演算法，在遠比古典電腦短的時間內解開這些數學問題。這正是後量子密碼學（Post-Quantum Cryptography，PQC）出現的原因——設計一套即使面對量子電腦攻擊仍然難以被破解的新加密演算法，而且要能在現有的一般電腦上運算，不需要量子硬體。
現行RSA、ECC等公鑰加密仰賴大數分解與離散對數等數學難題，量子電腦可透過Shor演算法高效破解，古典電腦則做不到
美國NIST在2024年8月正式公布三項PQC標準——FIPS 203（ML-KEM，用於金鑰交換）、FIPS 204（ML-DSA）與FIPS 205（SLH-DSA，兩者皆用於數位簽章）
NIST並未就此打住：2026年又針對「額外數位簽章方案」推進新一輪標準化競賽，九款演算法已進入第三輪評選，顯示PQC是持續擴充的技術體系，不是換一次演算法就結束
先偷後解（HNDL）：為什麼威脅已經在發生
多數人對量子威脅的直覺反應是「等量子電腦真的出現再說」，但資安圈已經有一個名詞在描述為什麼這個邏輯行不通：Harvest Now, Decrypt Later（先攔截後解密，簡稱HNDL）。
攻擊者現在就能大量攔截、儲存加密過的網路流量與資料庫備份，即使目前的技術還解不開，只要先存起來，等到未來量子電腦成熟，再回頭批次解密。
這代表資料的風險，不是從量子電腦真正出現那天才開始計算，而是從資料被攔截、儲存的那一刻就已經開始倒數。對保密年限長的資料——病歷、國防機密、專利技術、長期商業合約——這個倒數尤其危險，因為就算資料是十年前傳輸的，只要當時被攔截存下來，量子電腦成熟的那天照樣可以被解開。
HNDL指攻擊者現在就攔截、儲存加密資料，等待未來量子運算成熟後再解密，不需要現在就有能力破解
資料保密年限越長（醫療紀錄、國安資訊、智慧財產），風險越高，因為量子威脅提前不代表舊資料已經「過期」而不用在意
Google 2026年的研究顯示，破解ECC-256所需的量子位元數比先前估計減少約20倍，量子威脅逼近的時程比外界原先預期更快
先信任後偽造（TNFL）：比資料外洩更少人談的風險
如果HNDL談的是「保密性」被威脅，那另一個威脅——Trust Now, Forge Later（先信任後偽造，簡稱TNFL）——談的是「信任」本身被威脅。
這類攻擊瞄準的不是加密內容，而是數位簽章與身分驗證系統：一旦簽章演算法被量子電腦破解，攻擊者理論上可以偽造過去的簽章，讓合約、軟體更新的程式碼簽署、憑證鏈的信任基礎被回溯性推翻。
台灣金管會2026年6月公布的金融業後量子密碼遷移指引已經點名這個風險，但整體而言，業界對TNFL的關注度明顯低於HNDL，多數企業的PQC討論還停留在「資料會不會被解密」，較少談到「簽章系統會不會被回溯偽造」。
這也是這波遷移容易被低估的一塊——資料保密可以靠加密演算法換代解決，但信任鏈一旦被回溯攻破，影響的是過去所有靠這套簽章系統做過的承諾。
TNFL指未來量子電腦成熟後，攻擊者可能偽造現在簽署的數位簽章，回溯推翻合約、軟體簽章、憑證鏈的信任基礎
這個風險直接衝擊身分驗證與軟體供應鏈完整性，不只是資料外洩問題
台灣金管會的金融業PQC遷移指引已提及TNFL，但業界討論度仍偏低，是目前PQC論述裡相對被忽略的一塊
企業現在該做什麼 — PQC遷移不是換一個演算法
2026年之所以被業界視為PQC遷移「強制執行元年」，是因為監管從過去NIST、NCCoE這類機構的建議性指引，轉向具法律約束力的規範。
美國政府透過EO 14412與OMB M-26-15備忘錄，要求聯邦機構在30天內指派專職負責人並訂出遷移路線圖；台灣金管會也對金融業提出對應指引。
但對多數企業來說，遷移的第一步不是急著換演算法，而是先盤點：自己的系統裡到底用了哪些加密演算法、放在哪些地方、由誰維護。
這份清單在業界被稱為CBOM（Cryptographic Bill of Materials，密碼元件清單），已經被視為明年法遵重點——原因很直接：不知道自己用了什麼加密，就沒辦法談替換。
盤點之後，產業建議的架構原則是「密碼敏捷性」（crypto-agility）：系統設計上讓加密演算法可以被彈性替換，而不是像過去一樣把某個演算法寫死在架構裡，下次再遇到類似的演算法淘汰，都能用同一套機制快速換掉，不用重新設計系統。
2026年6月美國行政命令EO 14412與OMB M-26-15備忘錄，要求聯邦機構30天內指派PQC遷移負責人並訂出時程，象徵PQC遷移從建議轉為具強制力的規範
企業遷移的第一步是建立CBOM（密碼元件清單），盤點現有系統用了哪些加密演算法與應用場景，而不是直接跳去換演算法
產業建議把「密碼敏捷性」（crypto-agility）當作架構原則，讓演算法可以被彈性替換，降低下一次密碼標準更迭時的重工成本
總結
後量子密碼學常被講成一個關於「未來」的技術議題，但真正該被關注的部分其實是現在：HNDL已經讓資料保密的風險提前發生，TNFL又把戰場延伸到信任與身分驗證系統，而2026年的多項監管動作——美國聯邦政府的行政命令、台灣金管會對金融業的遷移指引——說明主管機關已經不再把PQC當作選項，而是時程表上的合規要求。
對企業而言，判斷自己是否需要現在行動，不該用「量子電腦什麼時候會出現」當標準，而是該問：我們現在傳輸、儲存的資料，保密年限有多長？如果答案是幾年以上，那麼從盤點加密資產開始的第一步，已經沒有觀望的空間。
FAQ：關於 PQC 密碼資產盤點常見問題
Q1：如何判斷自己公司的資料現在有沒有HNDL風險？
A：看資料的「保密年限」有多長。如果傳輸或儲存的資料（例如病歷、智慧財產、國防或金融相關資訊）需要保密五年、十年甚至更久，而這些資料目前只靠RSA或ECC加密，就已經處於HNDL風險中，因為只要今天被攔截存下來，未來量子電腦成熟後就有可能被解密，跟現在有沒有量子電腦無關。
Q2：PQC遷移大概要花多久時間？
A：目前沒有統一答案，但可以參考業界指標：Cloudflare公開表示要在2029年前完成涵蓋加密與身分驗證的後量子安全遷移，美國聯邦機構則被要求在收到行政命令後30天內先訂出遷移路線圖。這代表遷移本身通常是以「年」為單位的工程，越早開始盤點，能爭取到的準備時間越多。
Q3：現有的RSA、ECC加密要馬上全部換掉嗎？
A：不需要一次全部換掉，但也不建議完全不處理。實務上多數建議先從保密年限長、風險高的資料與系統開始盤點與遷移，搭配「密碼敏捷性」的架構設計，讓系統之後能持續替換演算法，而不是把RSA、ECC直接停用又立刻全部換成PQC演算法。
Q4：台灣企業有沒有強制的PQC遷移時程？
A：目前確定有明確指引的是金融業，金管會在2026年6月公布了金融業後量子密碼遷移參考指引。其他產業目前多半還是參考性質的建議，但考量到美國已經對聯邦機構訂出具法律約束力的時程，加上供應鏈可能被要求配合，其他產業提前開始盤點，會比等到強制規範出來才動作更有餘裕。
Q5：什麼是密碼敏捷性（crypto-agility），為什麼企業要在意？
A：密碼敏捷性指的是系統架構設計上，能夠彈性替換底層的加密演算法，而不是把某一套演算法（不管是現在的RSA、ECC，還是未來的PQC演算法）寫死在系統裡。它的價值不只在因應這一次的量子威脅，密碼標準本來就會隨著新的破解技術或漏洞被淘汰更新，具備密碼敏捷性的系統，可以用同一套機制持續因應未來的演算法更迭，不用每次都重新設計。
訂閱偉康科技洞察室部落格，掌握最新科技趨勢！
專人協助
由偉康業務人員為您詳細說明偉康的解決方案，以及相關產業經驗。
About The Author
