后量子 VPN 的宣传：到底哪一项操作变了

后量子 VPN 是个没说完的说法，除非有人说清究竟是哪一项操作变了。会话密钥来自一项操作，对端认证来自另一项，流量的保护来自第三项。产品可以只改动三者之一，而营销话术却暗示三者都已改变。因此把这三者分开，是看到宣传时的第一件事，也是人们最后才做的事。

会话密钥、对端身份、流量保护：只选一项

这个说法命名了一种没有哪个单独组件能够独自拥有的属性。会话密钥出自密钥建立这一步，对端身份出自签名或证书链，流量保护则出自两端在第一步完成后导出的对称密码。厂商可以只升级其中一项，就把结果称作后量子 VPN，而且说的并不假。读者必须自己弄清对方到底主张了什么。

密钥建立为一次会话产生共享秘密材料，也正是未来量子计算机最直接攻击的对象，因此它备受关注。认证是另一件事，再多的后量子密钥交换也不会让签名变成后量子。两者各自独立升级，多数部署也会照此办理，一次改一项。

两项标准规定了什么、又没规定什么

标准固定了术语，也固定了一个名字能证明的东西少得可怜。ML-KEM 被标准化为 FIPS 203，它是密钥封装机制：当双方还没有共享秘密时，在公开信道上导出一个。ML-DSA 被标准化为 FIPS 204，它是签名方案，回答的是身份问题，而不是密钥建立问题。

两份文件都没有点名任何 VPN 协议、实现或在握手中的位置，因此关于后量子密钥建立的说法，并不自动等于关于后量子签名的说法。某个原语在握手中处于什么位置，由写协议的人决定，有用的细节恰恰在那里。要问算法、参数集、它在握手中参与的环节，以及支持该安排的用户端和服务端版本。四个答案就足以检验一个说法，而多数说法过不了第二个。

混合是一种设计，所以要问设计

混合把一次经典交换和一次后量子交换结合起来，使其中一方若被证明薄弱，会话仍能存活。这是稳妥的工程选择，也是具体设计，而不是一个类别。两种混合可以组合不同的原语、不同的参数集和不同的密钥派生顺序，仅凭标签无法区分其中任何一种。

要规格说明，至少要点名的那种组合，然后确认双方都在协商它，因为悄悄退回经典那一半的用户端，最终得到的属性会比其文档所暗示的更弱。回退路径通常才是设计中有意思的部分，而它很少是最先被描述的部分。

部署真正能拿出的证据

有用的解释会点名三件具体的事：实现、它背后的更新流程，以及预期模式在你这次部署中确实启用的证据。这三样审核者都能核查，而这也正是它们与其余谈话的区别。只看抓包并不够，它能显示协商了哪个组，却让实现无从证明、每个端点的完整性也未被检查。要读标准的最新勘误和实现的公告，因为发布页面会带更正，而点出一项标准化算法，与维护它背后的代码并不是一回事。

按你保护的数据以及需要保护多久来决定。这个框架胜过对新事物一概拒绝，也胜过对带标签的东西一概信任。它还能造出多数采购问题真正在问的那句话：点名变的是哪项操作，以及证据何在。

握手主张永远覆盖不到的部分

以上都不涉及对端身份，因为配着验证不当的证书的后量子握手，仍然是同未经验证的对端握手。交换的数学修不了它周围的策略，也没有哪套参数能弥补一项被关掉的检查。账号安全、路由、端点被攻破以及运营方的数据做法，同样在主张之外。能抵抗未来计算机的隧道，仍可能由一个记录每次连接的人来运营，而对多数用户来说，这个缺口比算法更重要。

复述主张时要收窄。诚实的版本点名操作、引用标准、说明证据，然后到此为止。再往前就是另一种承诺，而它需要自己的证据。