Cloudflare hỗ trợ Merkle Tree Certificates cho hạ tầng Web PKI hậu lượng tử
"The article describes the move toward Merkle Tree Certificates (MTCs) as a post-quantum replacement path for Web PKI, motivated by the large size and scaling cost of PQ signatures. It announces that Cloudflare is becoming a certificate authority supporting MTC issuance, with early 2027 targeted for Chrome’s Quantum-resistant Root Store, enabling compact inclusion proofs and built-in transparency to reduce certificate logging overhead and downgrade risk."
Tác động chính là cải thiện khả năng xác thực hậu lượng tử và giảm rủi ro downgrade; đồng thời tăng tính minh bạch trong phát hành chứng chỉ.
Ảnh hưởng đến hạ tầng PKI, vận hành TLS và chi phí log/monitoring; các tổ chức cần chuẩn bị cho mở rộng quy mô và thay đổi quy trình cấp phát.
Bài viết mô tả hướng chuyển đổi của Web PKI sang Merkle Tree Certificates (MTCs) như một phương án thay thế hậu lượng tử, nhằm giảm chi phí mở rộng của chữ ký PQ vốn có kích thước lớn. Theo nội dung công bố, Cloudflare sẽ trở thành certificate authority (CA) hỗ trợ phát hành MTC, với mục tiêu tích hợp vào Chrome’s Quantum-resistant Root Store vào đầu năm 2027.
MTCs được thiết kế để gộp chứng chỉ vào một Merkle tree dạng append-only, cho phép CA ký trên tree root thay vì ký từng chứng chỉ riêng lẻ. Trình duyệt hoặc client có thể xác minh bằng inclusion proof ngắn gọn, thay vì xử lý nhiều lớp chữ ký và dữ liệu như mô hình hiện tại. Cách tiếp cận này cũng đưa transparency thành thuộc tính mặc định của quy trình phát hành, thay vì là lớp bổ sung.
Bài viết nhấn mạnh rằng mô hình certificate transparency (CT) hiện tại có nguy cơ gặp vấn đề mở rộng khi PQ signatures có thể làm tăng dung lượng lưu trữ của log lên khoảng 40x. Khuyến nghị kỹ thuật là các tổ chức nên theo dõi CT logs chặt chẽ, chuẩn bị cho khả năng downgrade sang chứng chỉ cũ, và đánh giá lộ trình chuyển sang post-quantum authentication cho máy chủ TLS.