在受限设备上测试TLS 1.3后量子密码：纯PQC组合比混合方案更快更节能

该论文针对英国、欧盟和美国政府设定的2028至2035年关键系统后量子密码（PQC）迁移期限，通过wolfSSL在Raspberry Pi Pico W、Pico 2 W、ESP32和Raspberry Pi Zero四类设备上，对36种TLS 1.3算法组合进行了基准测试。研究发现，在具备能力的设备上所有选择结果相似，但在IoT类设备上PQC性能高度依赖实现方式和架构，传统认为椭圆曲线密钥交换比后量子格基密钥交换更便宜的假设在此实现中不成立。最完整的PQC组合（ML-KEM-512 + ML-DSA-44）在Pico W上完成TLS握手速度比等效经典现代配对快41%，能效高至2.12倍，在ESP32上甚至快8.9倍。

具体证据显示，IETF草案指定的X25519+ML-KEM-768混合方案成本约为其两个组件之和，并未提供性能折衷，因此在缺乏Curve25519汇编支持的硬件上，纯ML-KEM是更实际的选择。然而，ML-DSA的签名时间具有可变性，对于有严格延迟预测预算的应用，必须接受这种方差作为完全量子安全认证的代价。事实层面确认了全PQC在受限设备上不仅可行，且在能效上与混合或椭圆曲线方案相当甚至更优；推断层面表明现有硬件架构可能低估了特定PQC原语的效率；猜测层面涉及未来标准制定是否需考虑不同芯片架构下的性能差异而非仅关注理论复杂度。

这一发现直接挑战了行业对端侧部署PQC性能的普遍认知，意味着在资源受限的物联网场景中，采用纯PQC方案而非混合方案可能是更优的工程决策，前提是应用能容忍签名时间的波动。产业链方面，芯片厂商若能在底层优化ML-KEM和ML-DSA的实现，将显著提升设备在量子安全时代的竞争力。