利用 AI 为我们的后量子迁移规划航向

随着世界各地实验室竞相构建密码学相关量子计算机，我们 Cloudflare 正在奔向2029 年实现全面后量子就绪的目标期限。虽然我们已经将许多产品迁移到了后量子加密，但在支持后量子身份验证并在我们的平台上实现全面后量子就绪方面，我们仍有工作要做。

我们采取了全面的立场（“PQ 化一切！”），因为作为全球基础设施提供商，我们希望让客户放心，使用 Cloudflare 可以确保他们的流量能够抵御未来的量子对手。

但是，在像我们这样规模和量级的组织中，如何完成如此大规模的迁移呢？毕竟，密码学是几乎所有世界数字系统的底层，包括驱动我们平台的软件服务和网络协议。

为了推动我们的 PQ 迁移，我们有三个关键目标。

首先，我们要帮助我们的产品和工程团队了解密码学的使用方式以及应如何升级。这应涵盖向后量子加密和后量子身份验证的升级。我们的许多产品已经通过 TLS 1.3 升级到了后量子加密，但我们仍希望覆盖 TLS 连接的长尾部分，并升级公钥加密的所有其他用途。与此同时，我们的后量子身份验证部署仍处于早期阶段。

其次，我们要为迁移提供进度指标。这些可能包括每个存储库和每个产品使用经典密码学和后量子密码学的计数。

最后，我们要尽早发现先决条件。如果我们的产品或平台依赖于尚未有 PQ 迁移计划的协议（因为尚未考虑系统的 PQ 变体，或者因为 PQ 标准不存在或缺乏共识，或者因为软件库或其他关键生态系统组件尚未提供 PQ 支持），那么我们需要现在就了解。这样我们就可以与相关的利益相关者、标准制定机构和生态系统合作，帮助推动其 PQ 迁移计划，从而满足我们自己的 2029 年 PQ 迁移时间表。

这篇文章讲述了我们如何进行这项工作的故事。我们解释了如何转向 AI 帮助解决我们的一些问题，以及我们如何开发名为 CryptoLabe 的内部工具来帮助我们。CryptoLabe 以航海星盘（mariner’s astrolabe）命名，这是一种由葡萄牙航海家改进的导航仪器。正如星盘帮助水手确定位置并绘制航线一样，CryptoLabe 帮助我们发现代码中的密码学，了解其使用方式，并绘制后量子迁移的路径。

CryptoLabe 针对我们的内部系统（我们的存储库、我们的工单系统和内部文档流程）高度专业化，并且随着我们继续开发仍在不断发展，因此我们不向客户提供。尽管如此，我们仍在分享我们的经验，以便其他组织在进行自己的 PQ 迁移之旅时可以借鉴我们的努力。

问题的规模

驱动大多数 Cloudflare 产品的软件都位于我们单一的集中式源代码控制管理平台中。这意味着我们只需查看代码库即可发现我们平台上大多数密码学的使用情况。

虽然代码库的集中化对我们来说是一个显著优势，但我们仍需应对这一问题规模带来的三个挑战。首先，我们的代码分布在许多存储库中。其次，密码学很少在代码中清晰地声明自己。相反，它隐藏在：