InfoQ 中文 · 10/16/2026, 16:08:03
Cloudflare Plans Free Post-Quantum TLS Certificate Authority
Cloudflare plans to launch a free public Certificate Authority using Merkle Tree Certificates to mitigate the large payload size of post-quantum signatures in TLS handshakes. This initiative aims to facilitate a smooth transition to NIST standard algorithms, with public issuance expected by early 2027.
SOURCE COVERAGEFull Original Report
Cloudflare 推出免费量子安全 TLS 证书服务，采用默克尔树证书缓解后量子签名体积膨胀问题，支持平滑过渡至 NIST 标准算法。
默克尔树证书将大幅降低后量子 X.509 证书链传输开销；ML-DSA/Falcon 签名体积过大导致 TLS 握手延迟与 TCP 分段；证书透明度日志在纯后量子模式下将面临存储与验证压力。
适合密码学工程师、TLS 协议开发者、PKI 架构师阅读。
Cloudflare 宣布，计划运营一个免费的公共证书颁发机构（CA），旨在签发量子安全的传输层安全（TLS）证书。该举措旨在解决现代网络基础设施面临的最关键的结构性瓶颈之一，那就是即将到来的从经典公钥加密技术向后量子加密技术的过渡。尽管后量子密钥交换算法已经开始在生产环境中得到积极的部署，但由于抗量子数字签名的有效载荷体积庞大，整个 Web 公钥基础设施（PKI）中的后量子身份验证推进迟缓。通过将标准的 X.509 证书签发机制与新兴的默克尔树证书相结合，该平台旨在为企业工程团队和网站运营商提供向后兼容的低延迟抗量子解决方案，以便可以赶在生产环境信任库到期之前做好准备。
当前的互联网身份验证几乎完全依赖于 RSA 和椭圆曲线密码学等经典非对称密码学原语。在后量子环境中，由美国国家标准与技术研究院（NIST）制定的标准算法（包括 ML-DSA 和 Falcon ）能够抵御基于肖尔算法的密码分析攻击。然而，与经典算法相比，这些后量子签名和公钥所需的数据量要大得多。
将后量子签名算法直接替换到传统的分层 X.509 证书链中，会使加密握手数据的体积增加约四十倍。实际上，在每次进行初始 TLS 连接时交换数千字节的证书链会导致严重的 TCP 分段。在带宽受限的网络上，这会引发数据包丢失，并使握手阶段的往返时间增加。此外，在这些膨胀的签名所带来的巨大负担下，证书透明度日志（用于记录证书颁发机构签发的每份公信证书）将面临严重的运行压力。
为规避这种可扩展性开销，Cloudflare 的新公共证书颁发机构采用了默克尔树证书（Merkle Tree Certificates），这是一种目前正在 IETF PLANTS 工作组内推进的新型身份验证模型。该系统不再使用中间证书颁发机构的独立签名逐一签发每台服务器的证书，而是将证书签发批量整合到一个仅支持追加的默克尔树结构中。
默克尔树证书背后的架构基础是重新定义了证书生成与公开透明度之间的关系。在传统的 Web 公钥基础设施中，证书颁发机构会生成一份 X.509 证书，并以异步方式将其提交至第三方证书透明度日志，以获取签名证书时间戳。而在默克尔树证书模型下，证书签发与日志记录成了一个统一的流程。证书颁发机构通过将条目插入树中来完成日志写入，而证书本身仅包含指向已签名根节点的存在性证明。
由于证书颁发机构仅使用后量子签名对默克尔树的根节点进行签名，所以各个叶节点依赖于轻量化的加密哈希值。服务器无需通过网络传输多个大体积的签名，而只需对外提供自身的叶节点，以及一条大小相对于整棵树的深度呈对数级别的中间哈希认证路径。为了进一步优化传输过程，客户端和浏览器可以缓存已同步的根节点检查点，即“地标（landmark）”。当客户端已经信任一个近期的地标时，服务器只需要传输其叶节点与该地标之间的截断式存在性证明，从而将握手有效载荷的大小降至与传统椭圆曲线连接相当的水平。
Cloudflare 的实现采用混合模式签发证书。边缘端点既会收到传统的 X.509 证书，也会收到配套的默克尔树证书。在 TLS 协商过程中，声明支持默克尔树证书认证的现代客户端将收到基于树的轻量化证明，而旧版客户端则会无缝地回退到标准的 X.509 证书链。
在与谷歌 Chrome 工程团队合作开展的生产环境实验中，Cloudflare 发现，该架构在保持完全可审计透明度的同时，成功地将握手延迟控制在了一个较低的水平上。代表 Cloudflare 详细介绍该计划的 Mari Galicer 强调，将日志记录作为证书签发架构的先决条件，可以防止无法追踪的证书进入流通领域。
对于企业团队而言，向后量子传输安全过渡需要做出架构上的重大取舍。默克尔树证书改变了证书撤销和有效期的工作机制。由于默克尔树的根节点会连续更新，所以证书与短暂的有效期窗口相绑定。这契合业界推动缩短证书生命周期以及采用 ACME 等自动化续期流程的趋势。
Cloudflare 计划向所有网站免费开放标准证书签发服务，并计划于 2027 年初开始面向公众广泛签发，与根证书库的纳入进度保持同步。随着 Chrome 的“抗量子根存储库”等客户端生态系统的日趋成熟，基础设施工程师必须审核自动化证书管理器、验证客户端加密库的兼容性，并为混合验证方案准备好内部边缘拓扑。
原文链接：https://www.infoq.com/news/2026/10/postquatam-certificates/