Cloudflare、ハンドシェイクの負荷をほとんど増やさないポスト量子TLS証明書を発行へ

2026年9月、Cloudflareはポスト量子耐性TLS証明書を発行する計画を発表し、そうする最初の認証局の一つとなった。障害はサイズだった。現在のX.509証明書のポスト量子耐性版は、すべてのTLSハンドシェイクに約40倍のデータを追加することになり、「それは我々が知るインターネットを壊すだろう」と同社は書いた。

打開策はアルゴリズムの差し替えではなく、アーキテクチャの置き換えだ。2月にGoogleが発表し、GoogleとCloudflareが限定的なパイロットで試験したMerkle Tree Certificatesは、階層的なハッシュを用いることで、認証局が数百万の証明書を表せる単一の「ツリーヘッド」にのみ署名する。ほとんどの場合、ブラウザは証明書がツリーのどこかにあることを示す軽量な証明である「ランドマーク」を扱う。

この設計は2つのシステムを1つに折り込む。現在、証明書は追記専用の透明性ログにも公開されなければならない。これは2011年のDigiNotarハッキングで500枚の偽造Google証明書が作られたことへの反応だが、ログ記録は発行とは別だ。Merkle Tree Certificatesでは、「透明性がアドオンではなく運用の要件になる」とエンジニアのMari Galicerは言い、量子攻撃者が署名済み証明書タイムスタンプを偽造するために悪用しうる隙間を塞ぐ。

証明書をどこでも信頼されるようにするため、CloudflareはGlobalSignから確立済みのルートを取得し、有料・無料の利用者を問わず無料のハイブリッド（従来型＋ポスト量子）証明書を発行する。ACMEベースの自動更新と、フォールバックとしての帯域外署名配信（ブラウザ更新経由）を備える。同社はこの取り組みを公に約束し、証明書の発行は2027年第1四半期に始まる見込みだ。

ポスト量子耐性署名を連鎖させるのではなく、チェーン自体を置き換える。1つの署名済みツリーヘッドが数百万の証明書をカバーし、小さなランドマーク証明で検証される。

ポスト量子ウェブ証明書を実現不可能に見せていたサイズ問題を解決する。証明は40倍の膨張ではなく、約40KBにとどまる。

発行と透明性ログ記録が結合されるため、証明書はログ記録なしには存在できず、量子コンピュータが悪用しうる偽造の余地を塞ぐ。

すでに信頼されているGlobalSignのルートを取得することで、新しい認証局が通常必要とする何年にもわたる信頼構築を回避する。

無料でハイブリッド、スイッチを切り替えるだけの展開は、プレミアムな企業向け階層ではなく、数百万のウェブサイトにわたる遍在を目指す。

必要なアップグレードが大きすぎて出荷できないときは、運ぶ必要のあるものを再設計する。修正はより強力な署名ではなく、チェーン全体を送信せずにメンバーシップを証明するデータ構造だった。

Cloudflareはまだ証明書を発行しておらず、ルートプログラムやWebPKIコミュニティと協力しながら節目を公に共有すると述べた。発行は、ウェブサイト認証の複数年にわたる見直しの一環として、2027年第1四半期に始まる見込みだった。