部署了后量子密码，并不代表 IPsec 隧道就自动具备后量子安全性。如果攻击者能在协商阶段把“后量子或混合模式”从消息中移除，双方可能在不报错的情况下退回传统密码套件。隧道看起来建立成功，安全属性却已经发生变化。
针对这类协议设计缺口，IETF 相关工作引入了握手转录认证思路：认证的不只是最终身份，还包括双方在协商过程中实际发送、接收和选择的关键内容。这样一来，攻击者若修改算法列表或扩展能力，端点看到的转录就会不同，认证也应随之失败。
降级攻击绕过的是协商，不是直接破解算法
设想两个 IPsec 端点都支持以下模式：
- 后量子与传统算法组合的混合模式；
- 仅使用传统公钥密码的兼容模式。
保留传统模式通常是为了兼容旧设备，但它也给降级攻击留下了空间。攻击者不必直接击败后量子算法，只需干预握手：
- 发起端声明自己支持混合模式和传统模式；
- 中间人删除或篡改其中的后量子能力；
- 响应端只看到传统模式，于是选择传统密码套件；
- 双方继续建立隧道，甚至都认为这是一次合法的兼容性回退。
普通中间人未必能从这种降级中立即获益，但拥有量子计算能力的高级攻击者可能利用传统公钥密码的弱点。更棘手的是，这种攻击发生在“选择用什么保护连接”的阶段，因此仅检查隧道是否建立、ESP 流量是否正常，并不足以证明连接获得了预期的后量子保护。
这里应区分两个问题：
- 算法安全性：某个后量子算法本身是否可靠；
- 协商完整性：双方是否真的选择了原本共同支持的安全模式。
再强的算法，也无法弥补未被认证的协商结果。
转录认证需要绑定哪些内容
握手转录可以理解为协商过程的规范化记录。扩展的具体报文、字段和编码应以对应的 IETF 规范及实现文档为准，但从工程角度看，至少要关注以下信息是否被密码学绑定：
- 发起端提供的算法与能力列表；
- 响应端最终选择的密码套件；
- 后量子或混合模式扩展是否出现；
- 双方身份及会话上下文；
- 消息顺序、角色和必要的会话标识；
- 与回退决策有关的参数。
关键不是简单地“对抓包文件做一次哈希”，而是让协议认证覆盖一个确定、无歧义的转录表示。双方必须按照同样的规则编码字段、排列消息，并区分发起端和响应端角色。否则，即使没有攻击，也可能因为序列化差异导致认证失败。
转录认证提供的核心性质是：协商内容一旦被修改，最终认证就不能继续成功。 这把原本可能静默发生的回退，变成可检测、可记录的握手失败。
它也有明确边界：
- 如果策略本身允许传统密码，合法协商仍可能选择传统模式；
- 如果管理员主动配置了无条件回退，转录认证不会替代安全策略；
- 它不能修复端点实现漏洞、密钥泄露或不安全的随机数生成；
- 新扩展只有在双方实现并正确启用后才能发挥作用。
因此，转录认证与“禁止不符合要求的回退策略”必须一起部署。
用一个可运行模型观察降级如何被发现
下面的 Python 程序不是 IKE/IPsec 的线级实现，也不代表某个具体扩展的报文格式。它使用标准库中的 HMAC 模拟“把算法提议和最终选择绑定到认证结果”这一核心机制。
将代码保存为 transcript_demo.py，然后执行 python3 transcript_demo.py：
#!/usr/bin/env python3
import hashlib
import hmac
import json
KEY = b"demo-authentication-key-change-me"
def canonical_transcript(offered, selected):
"""生成确定性的演示转录；真实协议必须使用规范规定的编码。"""
message = {
"initiator_offered": offered,
"responder_selected": selected,
"protocol": "demo-ipsec-negotiation-v1",
}
return json.dumps(
message,
sort_keys=True,
separators=(",", ":"),
).encode("utf-8")
def authenticate(offered, selected):
transcript = canonical_transcript(offered, selected)
return hmac.new(KEY, transcript, hashlib.sha256).digest()
def verify_case(name, initiator_view, responder_view, selected):
# 响应端根据自己收到的协商内容生成认证值。
responder_tag = authenticate(responder_view, selected)
# 发起端根据自己实际发送的内容计算预期认证值。
initiator_expected = authenticate(initiator_view, selected)
accepted = hmac.compare_digest(responder_tag, initiator_expected)
print(f"{name}: {'ACCEPT' if accepted else 'REJECT'}")
print(f" initiator offered: {initiator_view}")
print(f" responder saw: {responder_view}")
print(f" selected: {selected}\n")
original_offer = ["pq-hybrid", "classical"]
verify_case(
name="未被篡改",
initiator_view=original_offer,
responder_view=original_offer,
selected="pq-hybrid",
)
verify_case(
name="攻击者删除后量子能力",
initiator_view=original_offer,
responder_view=["classical"],
selected="classical",
)
预期输出为：
未被篡改: ACCEPT
initiator offered: ['pq-hybrid', 'classical']
responder saw: ['pq-hybrid', 'classical']
selected: pq-hybrid
攻击者删除后量子能力: REJECT
initiator offered: ['pq-hybrid', 'classical']
responder saw: ['classical']
selected: classical
第二种情况下，传统模式本身并没有“计算错误”。认证失败是因为双方看到的协商历史不同。真实 IKE/IPsec 实现会使用协议规定的认证机制、密钥派生和报文编码，不能直接用这段 HMAC 示例替换生产实现。
上线时不要只看“隧道已连接”
实际采用相关扩展时，建议把验证拆成能力、策略和可观测性三个层面。
1. 明确允许的协商结果
对必须具备后量子保护的连接，应采用失败关闭策略：
- 对端不支持所需扩展时，拒绝建立隧道；
- 不要为了提高连接成功率而静默切换到传统模式；
- 如果业务确实需要兼容回退，应将其限制在独立的连接配置、目标网段或维护窗口中；
- 把“混合模式”和“纯传统模式”视为不同的安全等级，而不只是两种等价配置。
2. 记录实际协商结果
监控系统至少应收集：
- 双端软件版本及扩展支持状态；
- 实际选择的密钥交换和认证模式；
- 因转录不一致导致的握手失败数量；
- 从后量子或混合模式退回传统模式的事件；
- 对端标识、时间和配置版本。
在测试环境中，可以先保留一份 IKE 协商流量用于故障分析：
sudo tcpdump -ni any 'udp port 500 or udp port 4500' \
-w ike-negotiation.pcap
sha256sum ike-negotiation.pcap
抓包可能包含敏感的网络元数据，应限制文件权限、保存时间和访问范围。不要把抓包哈希误认为协议级转录认证：它只适合事后分析，不能阻止在线篡改。
3. 主动测试负向路径
互操作测试不应只验证“两个新版本能连通”，还应覆盖：
- 删除后量子能力后，握手是否失败；
- 修改算法顺序或选择结果后，是否触发认证错误；
- 一端不支持扩展时，行为是否符合既定策略；
- 设备升级、回滚或集群混合版本期间，是否出现意外回退；
- 日志与告警是否能区分网络故障、配置错误和转录认证失败。
这些测试最好在隔离环境中通过受控代理或故障注入完成，不要在生产网络上随意修改 IKE 流量。
采用清单：把密码升级变成协议升级
后量子 IPsec 的落地不只是增加一个新算法名称。它要求团队同时检查算法、协商、认证、策略和监控链路：
- [ ] 确认两端版本支持相同的转录认证能力；
- [ ] 根据正式规范核对扩展标识、覆盖字段和编码规则；
- [ ] 对关键隧道禁用静默传统回退；
- [ ] 在日志中输出最终协商的安全模式；
- [ ] 为传统模式选择建立高优先级告警；
- [ ] 测试能力删除、报文修改和混合版本场景；
- [ ] 准备扩展不兼容时的显式回滚方案；
- [ ] 将抓包、日志和密钥材料按不同敏感等级管理。
最值得记住的一点是：后量子安全不是“支持某个算法”这一静态属性，而是一次连接从能力声明到最终认证都保持完整的结果。转录认证相当于给协商过程贴上密码学封条，让攻击者无法在不触发失败的情况下，把后量子隧道悄悄换成传统隧道。