量子计算机还没造出来，“先存后解”（harvest now, decrypt later）的攻击已经在发生——现在抓走的加密流量，等量子计算成熟后再解。IoT 设备寿命动辄十年，这笔账必须现在算。

最近 Aethyr Research 开源了一套 ESP32-S3 固件：2.1 秒启动，完整后量子密钥交换握手只要 35 毫秒。这篇文章拆它的技术构成，以及"单片机跑抗量子加密"对 IoT 行业意味着什么。

📌 全文 8 章 · 6 张图 · 一条主线：PQC 不再是服务器专属，MCU 也到了必须跟进的时候

---

🎯 一、先看三个数字

指标	数值	说明
启动时间	2.1 秒	到可通信状态
PQC 握手	35ms	完整 ML-KEM-768 密钥交换
算法标准	ML-KEM-768	FIPS 203，NIST 正式标准

这三个数字放在两年前是不可想象的——后量子算法的公钥和密文体积都比传统方案大一个量级（ML-KEM-768 公钥 1184 字节、密文 1088 字节），早期实现在 MCU 上握手动辄数百毫秒甚至数秒。35ms 意味着它已经可以嵌进正常的产品通信流程，不再是演示玩具。

固件技术栈的构成：

---

🔐 二、ML-KEM-768 是什么，为什么是它

ML-KEM（Module-Lattice-based Key Encapsulation Mechanism）基于格密码，是 NIST 2024 年正式发布的 FIPS 203 标准。选 768 参数级（而不是更低的 512）是因为它被广泛视为"长期安全"档位——CATAPULT 等行业联盟也推荐 IoT 长寿命设备直接上 768。

它解决的问题很具体：密钥交换的抗量子性。现有 IoT 设备大量使用 ECDH，量子计算机（Shor 算法）一旦可用，ECDH 直接失效。ML-KEM 在数学上不依赖离散对数，量子算法对它没有已知优势。

传统 TLS 1.3 握手和 PQC 握手的流程对比：

注意公钥+密文合计 2.2KB——这对以太网无所谓，对 NB-IoT 这种按字节计费的链路是真实成本。这就是为什么"MCU 上跑得动 PQC"是个工程问题而不只是算法问题。

---

⚙️ 三、35ms 是怎么做到的

拆开看，35ms 的握手 = 密码学运算 + 通信往返。ESP32-S3 的 240MHz 双核 Xtensa LX7 加上向量指令，是能跑动格运算的最低门槛配置。作者公布的基准显示 PQC 算法引入的延迟"最小化到适合实时应用"。

对性能贡献最大的三个设计判断：

1. BLAKE3 做完整性：比 SHA-256 快数倍，且天然支持并行，在 MCU 上校验大固件镜像时优势明显；
2. XChaCha20-Poly1305 做对称加密：没有 AES-NI 的 MCU 上，ChaCha20 软件实现比 AES 快，192 位随机 nonce 免去 nonce 管理的心智负担；
3. 2.1s 启动：说明密码学初始化没有拖累引导流程，这对需要低功耗快速唤醒的电池设备是硬指标。

---

🧱 四、混合部署：现实中不能只跑 PQC

成熟的部署方案不是"换成 PQC"，而是混合密钥交换：ECDH + ML-KEM 同时跑，两边都贡献密钥材料。这样即使 PQC 实现被发现缺陷，传统算法还在兜底；反过来也一样。

TLS 生态（X25519MLKEM768 混合组）已经是这个做法。IoT 侧照搬即可，代价是握手数据量再翻倍。用状态图看混合握手的回退逻辑：

降级策略必须是显式的：哪些链路允许降级到纯 ECDH、哪些必须强 PQC，写进配置而不是留给运行时猜。

---

🕐 五、IoT 行业的时间表：为什么现在就要动

各主要市场的后量子迁移时间线已经排出来了，IoT 是最紧迫的一端：

逻辑很简单：设备寿命 + 数据保密期 > 量子计算机到来时间的任何产品，今天发出的设备都在泄露未来。电表、工业传感器、门锁，寿命都是十年起。

---

💰 六、成本账：换 PQC 的代价到底有多大

最容易被低估的是后两项。OTA 改造是因为存量设备换密码学栈必须走升级，而升级通道本身就是要保护的对象——先有鸡还是先有蛋的困境，业界通行解法是用带外验证或分阶段信任锚。密钥体系重建则是运营侧的长期成本。

ESP32-S3 这套开源固件的价值在于把第一项（算力开销）的疑虑打掉了：35ms、2.1s，硬件完全扛得住。剩下的成本主要是工程组织问题。

---

🧩 七、给 IoT 团队的行动清单

1. 盘点加密资产：列出产品里所有密钥交换点，标注每个的"数据保密期 + 设备寿命"，超过量子威胁窗口的列入改造清单；
2. 新项目直接上混合握手：ESP32-S3/C3/H2 都有足够算力，开源参考实现已经验证可行，别再新造纯 ECDH 的债；
3. 把 OTA 通道当第一优先级加固：它是未来十年所有密码学升级的运载工具，通道不安全，后面全白搭；
4. 关注供应链声明：芯片厂商的 PQC 路线图（乐鑫、ST、NXP 都已有动作）会直接影响选型。

---

✍️ 八、写在最后

后量子迁移过去两年一直停留在"大厂服务器先行"，MCU 侧的总以"性能不够"推脱。35ms 握手这个数字宣告：性能借口没了。

剩下的都是工程组织和成本决策——那些从来不是技术借口，只是优先级问题。对 IoT 从业者，现在开始评估 PQC 不算早；五年后再开始，大概率是在补一次被迫的紧急升级。

资料来源：Aethyr Research 开源固件公开资料及第三方评测（futuredesignzs 等）；NIST FIPS 203。性能数据为作者公布口径，未做独立复现。