摩根士丹利：大摩——网络安全网络：量子安全——后量子时代的加密技术变革

摘要

摩根士丹利（2026年8月17日）指出，后量子密码迁移虽是多年进程，但“先窃取、后解密”（Harvest-Now-Decrypt-Later）风险与漫长的替换周期正把相关投资提前；软件/北美行业观点为 Attractive（未来12-18个月跑赢基准）。 网络厂商处于关键控制点，需求集中在加密资产盘点、量子安全连接与后量子流量检测，且多数场景只是软件升级、防护并不需要新防火墙，反而可能延长防火墙更新周期。 报告以 Exhibit 1 六大能力矩阵评估九家公司：PANW 被视为定位最佳，六大迁移能力全部为 Direct，付费应用 Quantum-Safe Security、PAN-OS 12.1 后量子流量检测与密码转换、以及经 CyberArk/Venafi 延伸的证书自动化构成最清晰变现路径。 CSCO 领跑第二梯队；FTNT、ZS、CHKP 交付能力较窄，收益偏向留存、搭售与设备更新。 Zscaler 将后量子检测内置于 ZIA 而非独立售卖，Check Point R82/R82.10 提供量子安全密钥交换与后量子 Web 会话检测。 CrowdStrike 依靠 Keyfactor AgileSec 走伙伴路线，SailPoint 尚无直接后量子路线图，Okta 则规划两阶段混合密钥交换路线。 报告强调加密技术变革将在未来数年带来网络安全领域更广泛的升级，并配套硬件量子安全姊妹篇（Building Defenses for Q-Day and Beyond）。

主要观点

• 后量子安全迁移是多年进程，但先窃取后解密（Harvest-Now-Decrypt-Later）风险和较长准备周期正把投资时点提前。

• 网络厂商处于关键控制点，驱动加密资产盘点、量子安全连接和流量检测三大需求。

• 目前尚不存在具备密码学相关性的量子计算机，但迁移时钟已经启动——对手现在即可收集长期加密数据留待未来解密；足够强大的量子计算机可破解 RSA 与椭圆曲线密码等主流公钥体系。

• 防护并不需要新的防火墙，后量子迁移反而可能延长防火墙更新周期；多数场景只是软件升级。

• PANW 定位最佳：平台最广、跨网络与身份的付费产品最清晰；CSCO 领跑第二梯队，FTNT、ZS、CHKP 交付能力较窄，收益偏向留存、搭售和更新。

• Exhibit 1 六大能力矩阵中，PANW（加密盘点、量子安全连接、后量子流量检测、密码敏捷/旧系统桥接、机器身份/证书生命周期）全部为 Direct，评估基于2026年8月公开披露的现有及已宣布能力。

• PANW 已售卖付费应用 Quantum-Safe Security，生成算法、密钥和证书的加密清单并给出修复建议；PAN-OS 12.1 可检测后量子流量并用密码转换衔接新旧加密应用。

• 通过 CyberArk 和 Venafi，PANW 在证书与后量子迁移上的敞口最直接，Next-Generation Trust Security 将平台延伸至证书自动化与机器身份。

• Zscaler 将后量子检测内置于 Zscaler Internet Access（可解密检测混合后量子加密流量后重新加密），近期收益主要来自更强留存、大型企业订单差异化和 Zero Trust Exchange 采用扩大；直接变现可能后置。

• Check Point R82 支持站到站私网连接的量子安全密钥交换，新推出的 R82.10 增加对选定后量子 Web 会话的检测，以保住防火墙可见性；但未披露增量量子定价或收入。

• CrowdStrike 走伙伴路线：Keyfactor AgileSec 经 CrowdStrike Marketplace 部署于 Falcon 覆盖面做加密盘点，经济利益未披露，近期价值更可能来自 Falcon 平台粘性而非独立量子收入。

• Okta 规划两阶段路线：先在边缘与联邦层落地混合密钥交换，再在 Okta Integration Network 与管理工具中支持后量子密码；身份厂商在发现非人类身份、替换长期凭证、重签证书上的重要性将上升。

论述逻辑

• 起点：现代密码依赖对称加密与公钥密码两类，足够强大的量子计算机可破解 RSA、椭圆曲线等公钥体系，动摇认证、密钥交换与数字签名根基。

• 矛盾：密码学相关量子计算机尚不存在，但对手可现在收集长期加密数据待未来解密，且全网替换脆弱密码需数年——迁移时钟已经启动。

• 推论一：先窃取后解密风险叠加长准备周期，把多年迁移的投资需求提前；多数应对只是软件升级。

• 推论二：网络厂商位于流量与策略的关键控制点，需求自然集中在加密发现、量子安全连接与后量子流量检测。

• 评估方法：按六大迁移能力对九家公司做公开披露能力分级（Direct/Partial/Limited/None，衡量主题产品敞口而非客户采用、收入贡献或评级），得出 PANW 最广、CSCO 次广、FTNT/ZS/CHKP 较窄的格局。

• 变现分层：PANW 已有付费应用和平台扩展；Zscaler、Check Point 内置于现有订阅；CrowdStrike 依赖 Keyfactor 伙伴——未单独售卖者收益体现为留存、搭售、平台粘性与潜在付费升级。

• 落点：防护不需新防火墙、反而延长更新周期；本篇聚焦防火墙厂商，但加密技术变革将在未来数年带动网络安全更广泛的一批升级。

关键展望

• Fortinet 监控点：客户启用情况、支持的 FortiGate 代际、开启完整检测下的真实吞吐；若出现量子驱动的设备更新或扩展到更广加密发现与证书管理，将形成更可见的收入机会（其近期收益偏向订阅与更新而非独立量子产品）。

• Zscaler 未披露客户采用、单独定价和后量子检测的算力成本；关注协议广度、私有应用支持、真实时延，以及能否从网络会话可见性扩展为完整的企业加密清单；直接变现可能经高级就绪报告、合规工具或 Z-Flex 打包实现。

• Check Point 管理层尚未披露客户采用、兼容网关代际、定价与性能数据；更大机会取决于政府与受监管客户进入生产迁移后更广的远程访问、Web 流量与数字签名支持。

• CrowdStrike 关注部署量、Marketplace 经济性、客户需求及发现结果是否流入原生 Falcon 修复流程；若推出署名的一方加密盘点或密码敏捷路线图，其角色将显著提升。

• SailPoint 尚未宣布直接的后量子密码路线图，收益偏间接；关注客户采用、产品搭售及与证书生命周期、PKI、加密发现厂商的集成。

• 行业层面：软件/北美行业观点为 Attractive（分析师预期未来12-18个月覆盖行业表现优于基准）；摩根士丹利将在后续报告中探讨网络安全领域的其他变化，并同日发布硬件量子安全姊妹篇。

推荐标的

• PANW（Palo Alto Networks）：报告首选定位——Exhibit 1 六大能力全为 Direct，已售卖付费应用 Quantum-Safe Security，PAN-OS 12.1 支持后量子流量检测与密码转换，并经 CyberArk/Venafi 直接触达证书与后量子迁移；本报告可见文本未列示其评级。

• CSCO（思科）：第二梯队之首、拥有最广的次级路线图（量子安全连接、密码敏捷/旧系统桥接为 Direct，其余为 Partial）；可见文本未列示评级。

• FTNT（Fortinet）与 ZS（Zscaler）：交付能力较窄（ZS 的机器身份/证书生命周期为 None），收益偏向留存、搭售与更新；Zscaler 后量子检测内置于 ZIA，直接变现可能后置；可见文本未列示评级。

• CHKP（Check Point Software）：覆盖评级 Equal-weight（E，2023年10月16日起），2026年8月14日价格 $131.72；R82/R82.10 提供量子安全密钥交换与后量子 Web 会话检测，迁移角色相对较窄。

• NTSK（Netskope）、OKTA（Okta）、SAIL（SailPoint）、CRWD（CrowdStrike）：公开披露的后量子能力多为 Partial/Limited，或依赖伙伴交付（CRWD 经 Keyfactor AgileSec；SAIL 无直接路线图），主题敞口间接；可见文本未列示评级。