Cloudflare 将签发几乎不增加握手负担的后量子 TLS 证书

2026 年 9 月，Cloudflare 宣布计划签发抗量子 TLS 证书，成为首批这样做的证书颁发机构之一。障碍在于体积：当今 X.509 证书的抗量子版本会让每次 TLS 握手的数据量增加约 40 倍——该公司写道，“这会摧毁我们熟知的互联网”。

出路在于架构层面的替换，而非算法替换。Merkle 树证书由 Google 于 2 月公布，并由 Google 和 Cloudflare 进行了有限试点测试；它利用分层哈希，使证书颁发机构只需签署一个“树头”，即可代表数百万张证书；在大多数情况下，浏览器处理的是一个“地标”，即一份轻量证明，表明某张证书位于树中的某个位置。

该设计将两套系统合二为一。如今，证书还必须发布在仅追加的透明度日志中——这是对 2011 年 DigiNotar 遭黑客攻击、伪造了 500 张 Google 证书事件的回应——但日志记录与签发是分离的。工程师 Mari Galicer 表示，借助 Merkle 树证书，“透明度成为运行的必要条件，而非附加项”，从而堵上了量子攻击者可能利用来伪造签名证书时间戳的缺口。

为了让这些证书在各处都受信任，Cloudflare 正在从 GlobalSign 收购一个既有的根证书，并将向付费和非付费用户同样免费签发经典加后量子的混合证书，同时提供基于 ACME 的自动续期和带外签名分发（通过浏览器更新）作为后备方案。该公司公开承诺开展这项工作，证书签发预计于 2027 年第一季度开始。

不要串联抗量子签名——而是替换整条链本身：一个已签名的树头覆盖数百万张证书，并由一份小型地标证明来验证。

它解决了使后量子 Web 证书看似不可行的体积问题：证明保持在约 40KB 左右，而非膨胀 40 倍。

签发与透明度日志记录相互耦合，因此证书不可能在未记录的情况下存在——堵上了量子计算机可能利用的伪造面。

收购一个已被信任的 GlobalSign 根证书，绕过了新证书颁发机构通常需要数年才能建立的信任。

免费、混合、一键切换式的推广面向数百万网站的普及，而非高端企业层级。

当一项必需的升级因体积过大而无法交付时，应重新设计需要承载的内容：解决办法不是更强的签名，而是一种无需传输整条链即可证明成员资格的数据结构。

Cloudflare 表示，它尚未开始签发证书，并将在与根计划和 WebPKI 社区合作的同时公开分享里程碑；作为对网站认证多年期全面改造的一部分，签发预计于 2027 年第一季度开始。