美國馬里蘭州蓋瑟斯堡 NIST 園區 A 門口的招牌，藍白配色寫著 NIST 與美國商務部字樣，後方是樹林 — NIST 蓋瑟斯堡園區 A 門。G. Edward Johnson 攝，CC BY 4.0，Wikimedia Commons，本站裁切為 16:9。

資安NIST後量子密碼

NIST 定稿後量子密碼時間表：RSA、ECDSA 等公鑰演算法 2030 年後列為不建議使用，2035 年後依 NIST 標準不得再單獨使用

趨勢新聞2026 年 10 月 28 日

登入網路銀行、打開有鎖頭的 HTTPS 網站時，背後常用 RSA、ECDSA 這類「公鑰演算法」驗證身分，用 Diffie-Hellman 等機制建立雙方共用的加密金鑰。美國國家標準暨技術研究院（NIST）美國時間 10 月 27 日發布報告 NIST IR 8547 定稿，寫明這些易受量子攻擊的演算法 2030 年後列為「不建議使用」，2035 年後依 NIST 標準不得再單獨使用，因為未來夠強的量子電腦能破解它們。美國聯邦最敏感的系統期限更早：建立金鑰 2030 年底、數位簽章 2031 年底前要換掉。它直接約束美國聯邦系統，台灣的銀行和廠商不歸它管，但用的是同一批演算法與供應商。本站的讀法：要先動的是銀行、系統廠商和設備商。

誰要先動

一般使用者：本站的讀法是這份報告本身不代表現在就要換手機或重辦帳號；日後要不要更新或換設備，看各服務與裝置的支援，報告也提到部分硬體可能要換。
銀行、電子支付、證券：金管會 2026 年 6 月已發布遷移參考指引，建議 2035 年前全面完成（見下文）。
承接美國聯邦相關供應鏈的台灣廠商：NIST 新聞稿寫，期限雖只適用聯邦系統，「許多與聯邦政府往來的組織也會受影響」（本站譯）。本站的讀法：網通設備、伺服器、安全晶片可能較早被客戶問「支不支援新演算法」。

名詞先講清楚

公鑰演算法是一組「公開的鎖」和「自己留著的鑰匙」。簽章證明「這真的是銀行發的」，建立金鑰讓雙方在公開網路上談出只有彼此知道的加密金鑰。NIST 報告寫，這些演算法都會被量子電腦上的 Shor 演算法攻破。後量子密碼（PQC）是設計來抵抗傳統電腦與量子電腦攻擊的新演算法，NIST 2024 年 8 月已公布建立金鑰用的 ML-KEM（FIPS 203），與簽章用的 ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）。AES 這類對稱加密不在這次時程內，報告說 NIST「預期不需要在這次 PQC 遷移中換掉」既有對稱密碼標準（本站譯），少數 112 位元強度的除外。

「不建議使用」和「不得再用」差在哪

NIST 的分級裡，不建議使用（deprecated）是「仍可使用，但有一定安全風險，資料擁有者必須評估，決定要不要繼續用」（本站譯）；不得再用（disallowed）是「不再允許用於所述用途」（本站譯）。2030 到 2035 年是緩衝期。美國聯邦的高價值資產與高影響系統不適用緩衝期，依行政命令 14412 與預算管理局（OMB）備忘錄 M-26-15，期限是 2030 年 12 月 31 日（建立金鑰）與 2031 年 12 月 31 日（簽章）。另外，舊演算法和 PQC 疊在一起用的「混合」方案（NIST 比喻成門上掛兩把鎖），符合 NIST 規定的組合可以納入 FIPS 140 驗證，並不是加進一個核准演算法就一定合格。

能破解加密的量子電腦還沒出現，為什麼現在就要換

NIST 報告承認，目前沒有能威脅現行加密的量子電腦。急的原因叫「先存後解」：今天截下加密資料存著，等量子電腦成熟再解開。用假設數字說明：病歷要保密 10 年、系統改完要 8 年，如果足以破解的量子電腦不到 18 年就出現，遷移期間仍用舊演算法保護、又被截走的病歷，就可能在保密期內被解開。報告也寫，過去換一次密碼標準往往要 10 到 20 年。

跟 2024 年初稿差在哪

2024 年 11 月的初稿，只把 112 位元安全強度的版本列為 2030 年後不建議使用，128 位元以上的直接寫 2035 年後不得再用。定稿則不分強度，表列演算法都是 2030 年後不建議使用。

台灣有對應的規定嗎

有指引。數位發展部數位產業署 2025 年 4 月 16 日與後量子資安產業聯盟發表首版《後量子密碼遷移指引》。金管會的金融業指引參考 NIST 等路線圖，建議 2026–2027 年盤點，2027–2029 年試辦，2029–2032 年優先遷移對外通路與跨機構介接，2032–2035 年全面完成，並註明是「推動建議」、會滾動調整，不是美國聯邦文件那種強制期限。資通安全署 2026 年 7 月的資安月報寫，規劃今年底前發布《政府機關後量子密碼遷移政策》。

還不確定的事

足以破解現行公鑰密碼的量子電腦何時出現，報告沒有預測。民間與其他國家跟不跟 2035 年，看各自主管機關與客戶。NIST 說會在 SP 800-131A 與 TLS 指引 SP 800-52 的後續修訂版給出各應用更細的時程，部分應用可能早於 2035 年。本站的讀法：台灣廠商各產品線實際要多早換，要看適用的規範和客戶的採購規格。

原文 NIST CSRC 出版頁〈NIST IR 8547, Transition to Post-Quantum Cryptography Standards〉，發布日期、作者、文件沿革（2024-11-12 初稿、2026-10-27 定稿）與摘要取自此頁； NIST IR 8547 定稿全文 PDF，各演算法的時程表、不建議使用與不得再用的定義、聯邦期限、混合方案、設備更新限制、Mosca 定理與對稱加密的說明取自此處； NIST 新聞稿（2026-10-27），「許多與聯邦政府往來的組織也會受影響」一句與 2024 年 8 月公布 PQC 標準的時間取自此頁； NIST IR 8547 初稿 PDF（2024），用來對照初稿的時程表；金管會《金融業後量子密碼遷移參考指引》（2026 年 6 月），金融業四階段建議時程取自此處；數位產業署新聞稿，《後量子密碼遷移指引》的發布單位與日期取自此頁；資通安全署《資通安全網路月報》2026 年 7 月，政府機關遷移政策的規劃取自此處。