Cloudflare 要做免费公共 CA：用“默克尔树证书”把后量子 TLS 的握手体积压回原点

整个互联网的身份验证，正被一个尴尬问题卡住：抗量子签名的体积太大了。

一分钟速览

• Cloudflare 宣布计划运营免费公共证书颁发机构，签发后量子安全的 TLS 证书。
• 难点：抗量子签名体积庞大，直接替换会让握手数据膨胀约 40 倍。
• 方案：用默克尔树证书把签发与日志合二为一，只对树根做后量子签名。
• 计划 2027 年初开始面向公众广泛签发，并与 Chrome 团队做过生产验证。

为什么后量子证书这么难落地

后量子密钥交换算法已经在生产环境中铺开，但“身份验证”这一环迟迟推进缓慢。原因是抗量子数字签名的体积远大于经典算法：如果把 NIST 标准化的 ML-DSA、Falcon 等签名直接塞进传统的分层 X.509 证书链，每次 TLS 握手交换的证书数据会膨胀约 40 倍。后果很具体——TCP 分段、数据包丢失、握手往返时间上升；同时，需要记录每一份公信证书的证书透明度日志，也会被这些膨胀的签名压得喘不过气。

Cloudflare 的解法

Cloudflare 给出的答案是把标准 X.509 签发机制与正在 IETF 推进的默克尔树证书（Merkle Tree Certificates）结合起来。核心变化在于：不再由中间 CA 为每一台服务器单独签名，而是把证书签发批量整合进一棵只允许追加的默克尔树。CA 只用后量子签名对树根签名，单个证书则退化为轻量的密码学哈希。服务器对外提供的，是自己的叶节点，加上一条大小与树深呈对数关系的中间哈希认证路径。

进一步优化在于“地标”（landmark）机制：浏览器可以缓存已同步的根节点检查点，当客户端信任一个较新的地标时，服务器只需传输叶节点与地标之间的截断存在性证明，握手载荷就能降到与经典椭圆曲线连接相当的水平。

几个关键技术点

• 签发与日志合一：证书签发即完成日志写入，防止无法追踪的证书流通。
• 混合模式签发：边缘节点同时拿到传统 X.509 证书与默克尔树证书，旧客户端无缝回退。
• 证书与短有效期绑定：树根持续更新，契合缩短证书生命周期、ACME 自动续期的趋势。
• 与 Chrome 工程团队的生产环境实验显示，握手延迟保持在较低水平。

企业该怎么准备

Cloudflare 计划向所有网站免费开放标准证书签发，并于 2027 年初开始面向公众广泛签发，节奏与根证书库的纳入进度同步。对基础设施团队来说，向后量子 TLS 过渡已经不只是“换个算法”的问题，而是一次架构级取舍：需要审核自动化证书管理器、验证客户端密码库的兼容性，并为“传统 X.509 + 默克尔树证书”的混合验证方案准备好内部边缘拓扑。越早把这件事排进日程，越不容易被信任库到期的时间点追着跑。