🌌 量子安全迁移（QSM）

---

---

面向 Nginx 和 OpenSSH 的后量子密码学迁移工具包。

---

🛠️ 概述

QSM 是一个开源工具包，用于审计遗留的密码学配置，并将其迁移至混合后量子密码学（PQC）。它针对**“先收集、后解密”（HNDL）**威胁向量，通过模拟 Shor 算法的影响，并在基于 Debian 的系统上自动化混合迁移。

⚠️ 严格的架构原则： QSM 绝不允许纯后量子部署。所有操作均强制执行混合范式，结合经典算法与 PQC 算法（认证使用 ECDSA P-256 + ML-DSA-65；密钥交换使用 X25519 + ML-KEM-768）。

---

⚠️ 局限性

QSM 是一个功能性概念验证，而非经过认证的生产工具。在关键环境中依赖它之前，请仔细阅读本节内容。

模拟模型

--simulate 命令使用简化的分析模型来估算 Shor 算法的资源需求——而非编译后的量子电路：

• 门数量：O(bits³)
• 物理量子比特：logical_qubits × 1000（表面码假设）
• 逻辑时钟：1 MHz（保守估计）

这产生的是数量级估算，而非精确预测。 现实世界中 CRQC 的资源需求取决于电路深度、门保真度、纠错开销和硬件架构。这些仍是活跃的研究领域。

输出数值（例如*“ECC-256 约需 99 天”*）代表在所述假设下的理论下界，而非在任何现有机器上的测量结果。目前尚不存在密码学相关量子计算机（CRQC）。

迁移范围

--migrate 命令修补配置文件以注入混合密码套件。它不会：

• 安装或配置 liboqs 或 oqs-provider
• 生成混合证书
• 验证目标服务是否实际支持注入的算法名称
• 端到端测试生成的 TLS 握手

你必须确保 oqs-provider 已安装并加载，注入的密码名称才会生效。请先在非生产环境中测试所有迁移。

生产就绪度

QSM 已在以下环境验证：

• Parrot OS Security · 内核 7.1.13+parrot7-amd64
• Python 3.13.5 · Nginx 1.26.3 · OpenSSL 3.5.7
• 单元测试通过（见 tests/）

它尚未在大规模、高负载或多样化环境下进行压力测试。请将其视为参考实现，并根据你的基础设施进行调整。

NIST 标准对齐

QSM 面向最终确定的 NIST 标准：

FIPS	算法	QSM 用途
FIPS 203	ML-KEM	密钥交换（ML-KEM-768）
FIPS 204	ML-DSA	认证（ML-DSA-65）

术语说明： “Kyber”和“Dilithium”是 NIST 竞赛期间使用的标准化前代号。最终确定的标准分别使用 ML-KEM 和 ML-DSA。QSM 全程使用标准化名称。

---

🚀 双运行模式

QSM 旨在跨环境自适应运行：

1. 轻量模式（模拟与试运行）： 无需任何高级 C 依赖。可安全地模拟 Shor 算法攻击、风险评分，并预览迁移配置。
2. 生产模式（主动迁移）： 需要集成 liboqs 系统，以原子方式修补配置层，并具备校验和验证的回滚逻辑。

---

⚡ 安装与快速开始

1. 克隆与设置

# Clone and enter the vault
git clone https://github.com/soufianecyber/Quantum-Safe-Migration
cd Quantum-Safe-Migration

# Initialize virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. 验证你的 Matrix

python3 qsm.py --preflight

🎮 CLI 参考指南

# 1. Run Quantum Attack Simulation on target assets
python3 qsm.py --simulate --target example.com
python3 qsm.py --simulate --keyfile ./test_legacy_key.pem

# 2. Preview Hybrid Migration Block (Safe Dry-Run)
python3 qsm.py --migrate --target nginx --config ./dummy_nginx.conf --dry-run

# 3. Apply Production Migration (Requires Sudo)
sudo venv/bin/python3 qsm.py --migrate --target nginx --config /etc/nginx/nginx.conf
sudo venv/bin/python3 qsm.py --migrate --target sshd --config /etc/ssh/sshd_config

# 4. Atomic Rollback Checksum Restoration
sudo venv/bin/python3 qsm.py --rollback --target /etc/nginx/nginx.conf

📸 截图

1. 飞行前系统检查

sudo python3 qsm.py --preflight

验证 Python 版本、liboqs 绑定、ML-KEM/ML-DSA 可用性以及 OpenSSL。

2. 量子脆弱性评估

python3 qsm.py --simulate --target google.com

在 google.com 上检测 ECC-256 并计算 Shor 算法的破解时间。

3. 混合 PQC 迁移（试运行）

sudo python3 qsm.py --migrate --target nginx --config /etc/nginx/nginx.conf --dry-run

混合密码套件注入预览——未修改任何文件。

---

🛡️ 许可证与法律框架

基于 MIT 许可证分发。详情请参阅 LICENSE。

免责声明：本工具包专为授权测试和基础设施迁移验证目的而构建。

---

👤 作者

Soufiane Cyber

• 🐙 GitHub：github.com/soufianecyber
• 🔐 专注领域：攻击性安全 · 后量子密码学 · DevSecOps

---

🙏 致谢

• Open Quantum Safe 提供 liboqs
• NIST PQC 项目 提供 FIPS 203/204
• Shields.io 提供徽章基础设施

---

⭐ 支持本项目

如果 QSM 能帮助您保护基础设施免受量子威胁， 请考虑在 GitHub 上为其点亮一颗 star。这有助于项目 获得更多关注，并触达更多需要它的安全团队。