Cloudflare拟建公共CA签发量子安全TLS证书

Cloudflare计划运营一个免费的公共证书颁发机构（CA），为网站和企业签发量子安全TLS证书。该服务希望推动互联网从RSA、椭圆曲线等经典公钥密码体系，逐步过渡到能够抵御量子计算攻击的后量子密码体系，并在现有信任体系到期前完成部署准备。

美国国家标准与技术研究院（NIST）制定的ML-DSA、Falcon等算法可应对基于肖尔算法的攻击，但其公钥和签名尺寸明显大于传统算法。若直接替换传统分层X.509证书链，TLS握手数据量可能增加约40倍，数千字节的证书链容易引发TCP分段、丢包和额外往返延迟，带宽受限网络受到的影响尤其明显。证书透明度日志也会因存储和验证大体积签名而承受更大压力。

为降低这一开销，Cloudflare计划采用正在IETF PLANTS工作组推进的默克尔树证书。证书签发和透明度记录被合并到一棵只允许追加的默克尔树中，CA不再为每台服务器分别生成完整签名，而是对树根进行后量子签名。服务器只需发送叶节点和认证路径，路径规模随树深度对数增长；客户端还可以缓存近期可信的“地标”根节点，进一步缩短证明内容，使握手负载接近传统椭圆曲线连接。

该方案将采用混合签发方式：边缘节点同时获得标准X.509证书和默克尔树证书。支持新认证机制的浏览器或客户端会使用轻量化树证明，不兼容的旧客户端则自动回退到传统证书链。在与谷歌Chrome工程团队开展的生产环境测试中，Cloudflare表示该架构在保持完整可审计透明度的同时，将握手延迟控制在较低水平。相关负责人Mari Galicer称，把日志记录纳入签发流程，有助于阻止无法追踪的证书流入网络。

默克尔树证书也会改变撤销和有效期管理方式。由于树根持续更新，证书需要绑定较短的有效期窗口，这与缩短证书生命周期及通过ACME自动续期的行业趋势一致。企业还需检查自动化证书管理器、客户端加密库和内部边缘拓扑对混合验证的支持情况。

Cloudflare计划向所有网站免费提供标准证书签发服务，并预计在2027年初开始面向公众广泛签发，时间表将与根证书库的收录进度协调。随着Chrome“抗量子根存储库”等客户端基础设施逐步成熟，网站运营者和基础设施团队需要提前验证部署兼容性。