Cloudflare tự động chọn cơ chế trao đổi khóa cho kết nối TLS 1.3 tới origin
"Cloudflare introduced Automatic Key Exchange for TLS 1.3 origin connections, replacing a static X25519 first-guess with per-origin measurement to select the best supported key agreement algorithm on the first try. The rollout reduces HelloRetryRequests from about 52% to 3.7%, cuts p90 handshake latency by more than 150 ms, and increases automatic post-quantum origin connections using X25519MLKEM768 without manual configuration."
Giảm phụ thuộc vào cấu hình thủ công, tăng khả năng dùng post-quantum key exchange; đồng thời hạn chế rủi ro harvest-now, decrypt-later và cải thiện độ an toàn dài hạn của kết nối origin.
Cải thiện độ trễ bắt tay và giảm số lần retry, giúp kết nối ổn định hơn; tuy nhiên cần kiểm tra tương thích với hệ thống cũ và middlebox để tránh gián đoạn dịch vụ.
Cloudflare cho biết đã triển khai Automatic Key Exchange cho các kết nối TLS 1.3 tới origin server, thay thế cách đoán cố định bằng việc đo lường theo từng origin để chọn thuật toán trao đổi khóa phù hợp ngay từ lần đầu. Trước đây, hệ thống thường gửi trước X25519; nếu origin không chấp nhận, kết nối phải dùng HelloRetryRequest (HRR) và tốn thêm một vòng mạng.
Theo số liệu công bố, tỷ lệ HelloRetryRequest đã giảm từ khoảng 52% xuống 3,7%, đồng thời độ trễ bắt tay ở mức p90 giảm hơn 150 ms. Cloudflare cũng cho biết hàng trăm nghìn tên miền đã có kết nối origin post-quantum bằng X25519MLKEM768 mà không cần cấu hình thủ công.
Về mặt kỹ thuật, thay đổi này giúp ưu tiên thuật toán được origin hỗ trợ tốt nhất, đồng thời giảm rủi ro khi triển khai post-quantum cryptography trong môi trường thực tế. Cloudflare nhấn mạnh mục tiêu là tự động hóa để tránh phụ thuộc vào thao tác thủ công từ quản trị viên website.
Khuyến nghị cho đội vận hành là kiểm tra khả năng tương thích của TLS 1.3, theo dõi tỷ lệ HRR và xác nhận các thiết bị trung gian hoặc origin cũ không gặp lỗi khi dùng ClientHello lớn hơn do keyshare hậu lượng tử.