證交所邀 100 餘位券商資訊、資安主管與承辦人談後量子密碼遷移：下單系統與憑證、網站 TLS、電子合約、VPN、HSM 列為可能受影響場景，建議先盤點、建 CBOM 密碼清單
趨勢新聞2026 年 10 月 29 日
用手機 App 下單買股票，背後會用到數位憑證、簽章和加密連線；其中用 RSA、ECC 這類傳統公鑰機制的環節，未來可能受到夠強的量子電腦威脅。臺灣證券交易所 10 月 28 日上午在台北 101 大樓 36 樓，找來 100 餘位券商資訊、資安單位主管與承辦人，開「證券商後量子密碼學（PQC）遷移作業研討會」。證交所新聞稿把客戶下單系統與憑證、網站主機的 TLS 加密連線、電子合約簽署、長效期資料、VPN 與 HSM 金鑰設備，列為券商可能受影響的業務場景，建議先盤點，建立 CBOM（密碼清單）。新聞稿沒有要求投資人換帳號或重辦憑證；本站的讀法：這是券商後台要先做的功課。
以下整理證交所講的風險、它給券商的建議，以及台灣的時程跟投資人的關係。
證交所講了哪些風險
新聞稿寫，量子電腦將透過肖爾（Shor）演算法「在極短時間內破解現有的非對稱加密」，並透過葛羅佛（Grover）演算法讓對稱加密的安全強度減半。這要有足夠規模與容錯能力的未來量子電腦，威脅的主要是 RSA、ECC 等常用公鑰機制；金管會指引寫，現行量子電腦的位元數與容錯率，還不足以破解廣泛使用的 RSA-2048 等非對稱加密。非對稱加密就是「公鑰」那一類，例如 RSA、ECC，網站憑證、電子簽章都靠它；對稱加密是雙方用同一把金鑰鎖資料，例如 AES。「減半」是理論估算：在理想的量子搜尋模型下，猜中 128 位元金鑰要試的次數，從約 2 的 128 次方降到 2 的 64 次方量級，實際破解仍受硬體限制。
新聞稿特別提醒「先保存、後破解」：攻擊者今天先截存加密資料，等未來有破密能力的量子電腦出現再解開。用假設的數字說明：一份合約內容要保密 15 年，攻擊者今天截下傳送它的加密資料，若保護這段傳輸的金鑰交換機制 10 年後被破解，內容就可能在保密期內外洩。足以破解的量子電腦何時出現，新聞稿沒有預測。
會中邀臺灣網路認證公司（TWCA，官網列有證券暨期貨相關單位共用憑證等服務）一位連姓協理做「PQC 金融實務分享」，新聞稿未附這場分享的簡報或完整內容。
證交所建議券商怎麼做
第一步是盤點。新聞稿建議照「快篩、問診、細部盤點」的順序，把內部服務、資料、金鑰和相依系統全部查過，建立 CBOM 當治理基礎。CBOM 是 Cryptography Bill of Materials 的縮寫，金管會指引稱「密碼技術資產清單」，欄位可包括用途、演算法與參數、憑證鏈與金鑰來源、部署位置、供應商版本與可替換性等。排先後時，參考金管會的後量子遷移時程與 F-ISAC（金融資安資訊分享與分析中心）實務手冊的角色分類，同時看「量子風險」和「遷移要花多久」兩個指標，排成優先順序矩陣。接著從通訊安全、加密保護、數位簽章、憑證體系、載具與硬體（例如保管金鑰的 HSM 硬體安全模組）五個面向逐步升級。
憑證也要自動化。新聞稿提醒國際規範的 TLS 憑證效期會縮短，建議盡早導入憑證自動化或憑證生命週期管理平台。新聞稿沒有寫是哪一份規範，本站對照的是 CA/瀏覽器論壇（CA/Browser Forum）的 SC-081v3 提案：公開信任的 TLS 伺服器憑證，依簽發日期適用的最長效期，已於 2026 年 3 月 15 日由 398 天縮至 200 天，2027 年同日降至 100 天，2029 年同日降至 47 天。這是網站用的伺服器憑證，不是投資人的下單憑證。
過渡期怎麼辦？新聞稿建議「演進（過渡）」和「遷移」並行，用複合憑證、雙軌憑證或巢狀加密維持互通與相容，再配合主管機關與周邊單位等樞紐機構的時程，逐步完成原生 PQC 遷移。本站的讀法：重點是過渡期間舊系統還要能用；新聞稿只列方案名稱，具體怎麼搭配新舊機制、何時停用舊的，要看各方案與共同時程。
台灣的時程，投資人要不要做什麼
新聞稿建議參考金管會的後量子遷移時程。本站對照金管會 2026 年 6 月的《金融業後量子密碼遷移參考指引》，它分四階段：2026–2027 年準備與規劃（優先盤點對外 TLS 端點與 HSM 等設施），2027–2029 年試辦與基礎升級，2029–2032 年優先遷移高風險、高關鍵情境，包括對外通路、跨機構介接、關鍵驗章與簽章、高敏感長效期資料，2032–2035 年全面遷移與收斂。指引自稱是「推動建議」，會滾動檢討，不是硬性期限；它列舉盤點盲點時，也直接舉了「證券下單憑證」當例子。美國的時程見〈NIST 定稿後量子密碼時間表〉。
對投資人，這份新聞稿沒有要求任何動作，也沒有公布各券商的切換安排。本站的讀法：不必只因這則消息自行換證；日後券商若通知更新 App 或換發憑證，照官方管道的指示做，也要留意假冒「憑證升級」的釣魚訊息。
還不知道的事：這份新聞稿沒有列券商完成盤點的日期，也沒有列各券商的執行進度；會中提出的「具體遷移路徑、時程規劃」細節，沒有隨新聞稿附上。