Cloudflare 將簽發幾乎不增加握手負擔的後量子 TLS 憑證

2026 年 9 月，Cloudflare 宣布計畫簽發抗量子 TLS 憑證，成為首批這麼做的憑證機構之一。障礙在於大小：當今 X.509 憑證的抗量子版本會使每次 TLS 握手增加約 40 倍的資料——該公司寫道，「這會破壞我們所知的網際網路」。

出路在於架構上的替換，而非演算法的替換。Merkle Tree Certificates 由 Google 於 2 月發表，並由 Google 與 Cloudflare 進行有限度的試點測試；它運用階層式雜湊，讓憑證機構只需簽署單一「樹頭」，即可代表數百萬張憑證；在多數情況下，瀏覽器只需處理一份「地標」，也就是一份輕量證明，用以證明某張憑證位於樹中的某處。

這項設計將兩套系統合而為一。如今，憑證也必須發布於僅可附加的透明度日誌中——這是對 2011 年 DigiNotar 駭客事件的反應，該事件偽造了 500 張 Google 憑證——但記錄與簽發是分開的。工程師 Mari Galicer 表示，有了 Merkle Tree Certificates，「透明度成為營運的必要條件，而非附加功能」，從而封堵了量子攻擊者可能用來偽造已簽章憑證時間戳的缺口。

為了讓這些憑證在各處都受到信任，Cloudflare 正從 GlobalSign 收購一個既有的根憑證，並將向付費與非付費用戶一視同仁地免費簽發混合式（傳統加後量子）憑證，同時以基於 ACME 的自動續期與頻外簽章遞送（透過瀏覽器更新）作為備援。該公司公開承諾投入這項工作，憑證簽發預計於 2027 年第一季開始。

不要串接抗量子簽章——而是替換鏈本身：一個已簽章的樹頭涵蓋數百萬張憑證，並由一份小型地標證明來驗證。

它解決了使後量子網路憑證看似不可行的體積問題：證明維持在約 40KB 左右，而非膨脹 40 倍。

簽發與透明度記錄相互耦合，因此憑證不可能在未記錄的情況下存在——封堵了量子電腦可能利用的偽造面。

收購一個已受信任的 GlobalSign 根憑證，繞過了新憑證機構通常需要數年才能建立的信任。

免費、混合式、一鍵切換式的推行，目標是普及於數百萬個網站，而非僅限於付費的企業層級。

當必要的升級過於龐大而難以推行時，重新設計必須承載的內容：解決方案並非更強的簽章，而是一種無需傳輸整條鏈即可證明成員資格的資料結構。

Cloudflare 表示，該公司尚未開始簽發憑證，並將在與根憑證計畫及 WebPKI 社群合作的同時，公開分享里程碑；簽發預計於 2027 年第一季開始，作為網站驗證多年期全面改造的一部分。