思科全栈PQC交换机：以硬件信任锚锁定量子安全控制点
内容摘要
核心要点
思科在Cisco Live Amsterdam 2026宣布C9000 Smart Switches支持全栈PQC。核心创新在于将Trust Anchor模块（TAm）嵌入FPGA硬件，建立从微加载器到IOS XE操作系统的量子抗性链式信任。传输层方面，IOS XE引入基于格的ML-KEM算法（NIST标准），应用于MACsec（L2）和IPsec（L3），以及SSH和TLS。思科声称覆盖“从硅片到应用”的完整保护，并符合CNSA 2.0合规要求。然而，原文完全未提供任何性能基准测试结果，例如启用PQC后MACsec的吞吐量下降、TLS握手延迟增加或功耗变化，也未说明ML-KEM在现有硬件上的计算开销。思科强调这是“未来就绪”的第一步，但暗示现有Catalyst 9000系列无法通过软件升级获得全栈PQC，必须迁移至C9000。
重要性说明
思科此举表面是安全升级，实质是控制点转移与生态锁定：通过专有TAm硬件和IOS XE的PQC集成，将设备信任锚从开放签名链（如UEFI Secure Boot）转移到思科独有FPGA模块，剥夺了客户使用第三方安全启动方案的可能性。这直接合围Arista和Juniper等依赖软件PQC或开放硬件信任的竞争对手。
隐性陷阱包括：PQC算法（ML-KEM）的计算开销显著高于ECC，尤其在MACsec缺乏硬件加速时，尾部延迟可能飙升。思科刻意隐瞒吞吐量下降数据，企业若部署于RoCEv2等低延迟AI/高性能计算网络，可能遭遇严重的拥塞控制瓶颈。此外，全栈PQC强制要求C9000系列，现有Catalyst 9000用户无法通过软件升级获得同等保护，造成资产折旧陷阱，迫使客户提前换代。
PRO 决策建议
【厂商】竞争对手（如Arista、Juniper）应立即发布基于软件PQC的开放基准测试，展示在现有硬件（如Arista 7800R3）上启用ML-KEM后的实际吞吐量与延迟数据，戳破思科“硬件必要论”的泡沫。同时推广Linux内核PQC支持（如OpenSSL 3.4集成），强调无需专有硬件即可实现量子安全，降低客户锁定风险。
【企业】CIO与架构师应要求思科提供C9000在启用全栈PQC后的详细性能测试报告，包括MACsec PQC下的线速吞吐量、TLS握手延迟、功耗增量，以及对RoCEv2流量的影响。同时评估现有Catalyst 9000的量子就绪替代路径（如边缘使用软件PQC隧道），避免被强制硬件升级。建议在采购合同中加入性能达标条款，并保留Arista等替代供应商的测试资格。
【投资者】看穿思科此举是安全合规驱动的硬件换代策略，短期提振C9000销量，但长期面临性能瓶颈和开放标准PQC（如Linux内核、OQS项目）的竞争。Arista等对手若以更低TCO提供软件PQC方案，可能侵蚀思科园区网份额。关注NIST后续PQC标准化对硬件加速的影响。
觉得这篇分析有用？
每周收到3-5条AI基础设施关键信号 →
💬 评论 (0)