Cloudflare 宣佈計劃成為一家公共證書頒發機構，將其角色從分發由其他提供商簽發的證書，擴展至運營支撐加密網絡流量的部分信任基礎設施。

該公司於 9 月 30 日表示，計劃中的服務將簽發傳統的傳輸層安全（TLS）證書以及默克爾樹證書。後者是一種擬議格式，旨在使後量子身份驗證在互聯網規模上具備可行性。Cloudflare 目前尚未開始簽發證書，在該服務投入運營之前，仍有若干技術和審批步驟需要完成。

Cloudflare 尋求瀏覽器和設備信任

證書頒發機構負責驗證域名的控制權，並簽發數字證書，供瀏覽器用於驗證網站身份並建立加密連接。對於一家新的證書頒發機構而言，核心挑戰在於使其根證書被各類瀏覽器、操作系統和設備所接受。

Cloudflare 表示，已申請加入由 Chrome、Apple、Microsoft 和 Mozilla 運營的根證書計劃。此外，該公司還簽署了一項最終協議，將從 GlobalSign 收購公開受信任的根證書密鑰材料。該交易預計將在兩個月內完成，前提是滿足慣例性的交割條件。

這一既有的根證書旨在使 Cloudflare 簽發的證書能夠兼容那些可能不再接收軟件更新的舊設備。與此同時，新的根證書申請旨在符合主要瀏覽器和操作系統信任計劃的當前及新興政策要求。

Cloudflare 表示，在完成相關的根證書計劃申請和接納流程後，將開始簽發傳統證書。該公司並未提供傳統證書籤發的確切啓動日期。

默克爾樹證書瞄準後量子規模

計劃中的證書頒發機構還將支持默克爾樹證書（MTCs）。該格式正由互聯網工程任務組（IETF）開發，旨在降低後量子數字簽名帶來的開銷。

在當前的公鑰基礎設施模型中，證書頒發機構會對單個證書進行簽名，並將其提交至公共透明度日誌。而在擬議的 MTC 方法下，證書會被添加到一個僅追加的默克爾樹中，頒發機構則對樹根進行簽名。隨後，瀏覽器可以使用緊湊的證明來驗證證書是否已被包含在該樹中。

Cloudflare 估計，如果不重新設計現有模型而直接使用，後量子簽名可能會使存儲在證書透明度日誌中的數據量增加約 40 倍。該公司表示，MTC 將更直接地將證書籤發與透明度機制結合，同時減少連接中攜帶的密碼學數據量。

Cloudflare 計劃於 2027 年第一季度開始簽發生產環境的 MTC。該公司還目標入選 Chrome 的抗量子根證書計劃。這些時間表目前仍屬計劃範疇，而非已完成的部署。

該服務將強調自動化和透明度

Cloudflare 表示，新的證書頒發機構將採用自動證書管理環境（ACME）協議作為其主要簽發方式。ACME 是一種開放協議，廣泛用於自動化證書申請和續期，使運營商能夠在不更換現有管理工具的情況下切換證書提供商。

該公司還計劃要求訂閲者支持 ACME 續期信息功能，該功能已標準化為 RFC 9773。該機制允許證書頒發機構在發生安全事件或大規模吊銷事件時，發出信號指示何時應替換證書。

Cloudflare 表示，其打算發佈證書籤名軟件的可復現構建版本，為持有其密鑰的硬件安全模塊提供證明，並維護一個涵蓋簽發健康狀況和安全事件的公共儀表板。該公司將在更廣泛可用之前，先在內部使用該服務。

更廣泛的後量子工作持續推進

此次證書頒發機構的公告是 Cloudflare 更廣泛的後量子更新計劃的一部分。該公司還推出了針對互聯網協議安全（IPsec）連接的降級保護功能、展示網絡流量是否使用後量子保護的可視化工具，以及旨在識別舊版密碼代碼的軟件。

Cloudflare 設定了到 2029 年完成後量子準備工作的目標。其公共證書頒發機構計劃、GlobalSign 交易、根證書計劃申請以及 2027 年 MTC 目標均屬於前瞻性規劃，取決於技術發展、第三方接受程度以及交割條件的滿足情況。

新加坡密碼解決方案公司 pQCee 籌集 390 萬美元種子輪融資，以在全球範圍內擴展量子安全加密技術