Cloudflare 计划为后量子网络推出公共证书颁发机构

Cloudflare 宣布计划成为一家公共证书颁发机构，其职能将从分发由其他提供商颁发的证书，扩展到运营支持加密网络流量的部分信任基础设施。

该公司于 9 月 30 日表示，计划中的服务将颁发传统的 Transport Layer Security 证书以及 Merkle Tree Certificates，这是一种旨在使后量子身份验证在互联网规模上具有实用性的提议格式。Cloudflare 目前尚未颁发证书，在该服务投入运行之前，仍需完成几个技术和审批步骤。

Cloudflare 寻求浏览器和设备的信任

证书颁发机构验证对域名的控制权，并颁发浏览器用于验证网站身份并建立加密连接的数字证书。对于一个新的颁发机构来说，核心挑战是使其根证书获得各种浏览器、操作系统和设备的接受。

Cloudflare 表示，它已申请加入由 Chrome、Apple、Microsoft 和 Mozilla 运营的根证书计划。它还签署了一项最终协议，从 GlobalSign 收购公开受信的根证书密钥材料。该交易预计将在两个月内完成，具体取决于惯例成交条件。

既有的根证书旨在让 Cloudflare 颁发的证书能够兼容那些可能不再接收软件更新的旧设备。同时，新的根证书申请旨在满足主要浏览器和操作系统信任计划当前及新兴的政策要求。

Cloudflare 表示，在完成相关的根计划申请和接受流程后，它将开始颁发传统证书。该公司尚未提供传统证书颁发的确定上线日期。

Merkle Tree Certificates 针对后量子规模

计划中的颁发机构还将支持 Merkle Tree Certificates，即 MTCs。该格式正通过 Internet Engineering Task Force 进行开发，旨在减少后量子数字签名产生的开销。

在当前的公钥基础设施模型中，证书颁发机构对单个证书进行签名，并将其提交到公共透明度日志中。在提议的 MTC 方法下，证书被添加到仅限追加的 Merkle 树中，颁发机构对树根进行签名。然后，浏览器可以使用证书已包含在树中的简洁证明来验证证书。

Cloudflare 估计，如果在不进行重新设计的情况下使用现有模型，后量子签名可能会使证书透明度日志中存储的数据量增加约 40 倍。该公司表示，MTCs 将更直接地耦合颁发和透明度，同时减少连接中携带的加密数据量。

Cloudflare 计划在 2027 年第一季度开始颁发生产级 MTCs。它还目标加入 Chrome 的抗量子根计划。这些时间表仍处于计划阶段，而非已完成的部署。

该服务将强调自动化和透明度

Cloudflare 表示，新的颁发机构将使用 Automated Certificate Management Environment 协议作为其主要的颁发方法。ACME 是一种广泛用于自动化证书请求和续订的开放协议，允许运营商在不更换现有管理工具的情况下更改证书提供商。