Cloudflare 计划推出支持后量子安全的公共证书颁发机构

内部简报

• Cloudflare 宣布计划建立一个公共证书颁发机构 (CA)，该机构将发行传统的 TLS 证书和后量子默克尔树证书 (MTCs)。
• 该公司计划从 GlobalSign 收购受公众信任的根 CA 密钥材料，并已申请加入 Chrome、Apple、Microsoft 和 Mozilla 根证书计划。
• Cloudflare 预计将在浏览器根证书计划流程结束后开始发行经典证书，生产型 MTC 的发行计划于 2027 年 Q1 开始。

新闻稿 — Cloudflare, Inc. (NYSE: NET)，领先的连接云公司，今天宣布其有意成为公共证书颁发机构 (CA)，这是一项开放服务，用于发行网站加密流量并向访问者证明其身份所需的数字证书。新的 CA 将同时支持传统加密和下一代后量子默克尔树证书 (MTCs)，为每个网站提供一条随着计算能力进步而保持受保护的路径——无需新工具或重新构建。此外，Cloudflare 已同意从 GlobalSign 收购成熟的、受公众信任的根 CA 密钥材料，这将为全球 Web PKI 生态系统提供普遍性。

每个安全的网站都依赖证书颁发机构来验证其身份并启用加密连接。如今，这种信任集中在少数几家占主导地位的发行机构中，如果其中任何一家失败或遭到破坏，就会产生系统性风险。与此同时，大多数证书基础设施是在量子计算成为实际担忧之前构建的。能够破解当今加密的量子计算机预计将在几年内出现，而互联网的大部分尚未为这一转变做好准备。

“十二年前，Cloudflare 为数百万个网站提供了免费且自动的加密。今天，我们正在迈出下一步，为整个互联网建立一个开放、透明且可靠的证书颁发机构，”Cloudflare 首席执行官兼联合创始人 Matthew Prince 表示。“在量子计算机破解网络安全之前对其进行升级，是互联网历史上最大的协作挑战之一。通过平衡对旧设备的支持与全新的后量子技术，我们正在提供一个永久的安全网——这样无论未来发生什么，互联网对于所有设备都能保持快速、可靠和安全。”

为了确保证书能在不再接收软件更新的旧智能手机、操作系统和设备上运行，Cloudflare 计划收购一个成熟的根证书。根证书是告知浏览器和设备是否信任某个 CA 的凭据。收购根证书意味着使用 Cloudflare 发行的证书的网站将立即得到识别，包括在传统硬件上。Cloudflare 还根据各方建立的公开流程，申请加入 Chrome、Apple、Microsoft 和 Mozilla 的根证书计划。收购的根证书和待处理的根证书计划申请旨在使 Cloudflare 发行的证书尽快在网络上获得广泛认可。基于与 Chrome 成功进行的实验，Cloudflare 还将开始发行围绕内置透明度设计的生产型 MTC，为后量子安全铺平道路，同时不牺牲网络速度或性能，这一切都来自一个新的、单一的 CA。