先收割，后解密.

先收割、后解密（HNDL），又称先存储后解密，指对手今天拦截并归档加密通信，押注未来具备密码学意义的量子计算机（CRQC）将借助 Shor 算法 攻破其底层公钥体制——即 RSA 与椭圆曲线 Diffie-Hellman。数据当下无需可读，只要在解密变得可行时仍具价值即可。

该威胁受 Mosca 不等式 支配：若数据须保密的时长（X）加上系统迁移所需时间（Y）超过 CRQC 到来的时间（Z），则你已然暴露。对于长寿命机密——国家情报、健康与基因组记录、知识产权，以及根密钥或 CA 密钥——威胁最为严峻，因其价值可延续数十年。

防御的核心是迁移到 NIST 于 2024 年 8 月 13 日定稿的后量子标准：用于密钥封装的 FIPS 203（ML-KEM），以及用于签名的 FIPS 204（ML-DSA） 和 FIPS 205（SLH-DSA）。实践中，部署更倾向于 混合 密钥交换，如 X25519MLKEM768，它已在 Chrome、Firefox 和 Cloudflare TLS 中落地，只要任一分量安全，会话即保持安全。NSA 的 CNSA 2.0 套件规定了分阶段迁移时间表。缩短机密寿命并践行密码敏捷性，可在不重构的情况下替换算法。

flowchart LR
  A[攻击者今天拦截加密流量] --> B[将密文存入长期归档]
  B --> C[等待多年直到量子计算机出现]
  C --> D[CRQC 运行 Shor 算法]
  D --> E[攻破 RSA / ECDH 密钥交换]
  E --> F[解密已归档的会话]
  G[防御：现在就采用混合 PQC 密钥交换] -.阻断.-> F