正在迁移到后量子密码学？你依然需要真随机数。

1. 量子计算机究竟能攻破什么，又不能攻破什么

Shor 算法攻破的是 RSA 与椭圆曲线密码学所依赖的数学问题：大整数分解与离散对数求解。这正是后量子迁移存在的全部原因：一旦足够强大的量子计算机对这些问题运行 Shor 算法，它们就不再困难。Grover 算法影响的是对称加密与哈希算法，大致会把它们的有效安全强度减半，这也是后量子指南建议使用更大密钥的原因（AES-256 取代 AES-128，SHA-384/512 取代 SHA-256）。

这两种算法都与随机数生成器最初如何产生不可预测性毫无关系。无论攻击者是否拥有量子计算机，弱随机数生成器终归是弱的。一个强健的物理熵源，无论最终有什么样的计算机试图攻破建立在其之上的密码学，都会一直保持强健。

2. 后量子算法需要更多随机数，而不是更少

基于格的方案，包括用于密钥交换的 ML-KEM（Kyber）和用于签名的 ML-DSA（Dilithium），通过拒绝采样和离散高斯采样，从大型多项式环上的概率分布中取样，每次生成密钥或签名所消耗的随机字节，远远超过 RSA 或 ECDSA 曾经的需求。像 SLH-DSA（SPHINCS+）这样基于哈希的签名方案，会生成海量的一次性密钥对，完全依赖于一条真正新鲜、不可预测的字节流。在这些方案下，存在偏差或可预测的随机数生成器绝非纸上谈兵：这与当年 ECDSA nonce 重用导致灾难性后果属于同一类错误，只是如今面对的是拥有更多随机数、也就有更多出错空间的算法。

3. 等等，射频和宇宙噪声不也是量子的吗？

从最底层来看，确实如此。无线电波本质上是光子，而热噪声（约翰逊-奈奎斯特噪声）归根结底来自电子的量子力学运动。只要深挖得够深，几乎一切物理现象都是“量子的”。但这并不是这里真正重要的区别。

专用的量子随机数生成器硬件隔离出单次量子测量：一个光子撞上分束器的这一侧或那一侧，或是一次真空涨落读数，其结果由玻恩规则本身保证是随机的，这是来自量子力学的一种形式化保证，与周围系统有多复杂无关。相比之下，Galactropy 是从宏观、高维度的热噪声与射频环境中获取不可预测性：数十亿电子的组合混沌运动，加上普通 SDR 硬件采样到的环境射频谱。两者都是真实的物理现象，在实践中也都不可预测；只是前者附带一份具体的、经过认证的量子随机性保证。这才是关于你的熵源真正值得了解的区别，而不是物理过程中某处是否“涉及”量子力学，因为它总是涉及。

4. 今天可验证，Q 日之后依然可验证

Galactropy 的审计记录目前使用 Ed25519 签名，这种签名本身并不具备后量子安全性，就像今天保护互联网的大多数签名一样。当后量子签名迁移覆盖到这类基础设施时，审计链也会随之迁移。不变的是数据源本身：无论量子计算发展到多远，物理射频噪声始终保持不可预测。这与“这条特定记录上的签名如今恰好是经典签名”是两回事，而前者才是对熵值本身真正重要的属性。

5. 它到底能在哪些地方派上用场

在后量子迁移过程中，混入一条独立、可验证的熵值流真正值得的几个具体场景：

一个最简示例：在生成密钥之前，拉取熵值并混入池中：

curl -s "https://galactropy.com/raw?bytes=4096" >> /dev/urandom

然后照常运行你的后量子密钥生成流程。liboqs、OpenSSL 的 oqs-provider 或你使用的任何库，都会自动从已经增强过的熵值池中取值。