Cloudflare实测源站TLS偏好将重试率降至3.7%

Cloudflare将源站TLS连接中的静态算法假设改为按源站实测，扫描样本的HelloRetryRequest比例由约52%降至3.7%，p90握手延迟缩短超过150毫秒。TLS 1.3要求客户端在首个数据包中选择密钥交换算法，猜错后就必须额外往返一次。

过去系统依据“超过95%的源站支持X25519”默认选择该算法，但约30%的连接并非最优，超过6%的源站更偏好P-256或P-384。自动密钥交换会在生产流量路径之外探测算法支持情况，每天重新扫描，并在支持时优先使用后量子混合算法X25519MLKEM768；目前该功能已覆盖所有区域，新区域默认开启，用户可在控制台按区域设置。

主动探测还发现数千个源站虽支持后量子算法，却从未在被动流量中通过重试请求显露这一能力。X25519MLKEM768的密钥共享长度为1216字节，远大于X25519的32字节，可能造成ClientHello分段；约0.34%的源站曾因此握手失败。自2023年9月起，系统以经典X25519作为安全回退，并通过HelloRetryRequest触发升级。

后量子支持率已从2023年的0.5%升至12.8%。扫描样本中，64%仍使用经典X25519，33%迁移至X25519MLKEM768，3%采用P-384、P-256或P-521等算法。无需重试的后量子TLS 1.3流量占比从0升至99.2%，相关源站流量由每天约250亿次增至450亿次。

“仅限后量子混合模式”和“仅限FIPS算法”属于限制可协商选项，并不会赋予源站新能力；若源站不支持相应算法，TLS 1.3连接可能全部失败，两个选项也无法在没有共同算法时同时启用。原有源站后量子加密API如今请求不再改变区域行为，计划弃用但尚未公布日期，可用BoringSSL的bssl客户端检测443端口协商结果。

部署采用小流量试运行，系统比较失败率、重试率与基线，异常时自动回滚，最坏结果是增加一次往返而非中断连接。收益只作用于新建连接，主要体现在动态请求和缓存未命中场景；不支持后量子算法的源站仍可通过学习其经典算法偏好获得优化。

密钥交换并不能防止量子攻击者伪造经典证书。自2026年年中起，Cloudflare已在经过身份验证的源站拉取和自定义源站信任存储库中支持ML-DSA签名，只有拒绝经典证书时才能实现端到端后量子身份验证。

后续计划包括从按区域偏好转向按源站管理、支持控制台和API按需扫描、自动检测ML-DSA并为严格场景关闭经典回退。该工作面向可能到来的2029年“Q日”及“先采集、后解密”风险；BoringSSL、OpenSSL和rustls已支持后量子能力，企业源站、云负载均衡器和嵌入式TLS终结器仍在按各自节奏升级。