Hỗ trợ xác thực hậu lượng tử cho kết nối TLS hai chiều từ Cloudflare tới máy chủ gốc
"Cloudflare announced support for post-quantum authentication on its Authenticated Origin Pulls and Custom Origin Trust Store products, enabling mutually authenticated TLS between Cloudflare and customer origin servers using ML-DSA signatures. The update supports ML-DSA-44, ML-DSA-65, and ML-DSA-87, with ML-DSA-44 recommended, and includes guidance to avoid downgrade attacks by removing trust in quantum-vulnerable authentication mechanisms."
Tính năng giúp tăng mức phòng vệ cho kênh Cloudflare-to-origin trước các rủi ro giả mạo do post-quantum authentication. Điểm then chốt gồm: ML-DSA cho mTLS hai chiều, hỗ trợ nhiều tham số ML-DSA-44/65/87, và khuyến nghị loại bỏ downgrade với cơ chế xác thực lượng tử-vulnerable.
Giảm rủi ro gián đoạn do nâng cấp mật mã trong tương lai và hỗ trợ lộ trình chuyển đổi hậu lượng tử cho kết nối giữa dịch vụ biên và máy chủ gốc. Tuy nhiên, việc triển khai đòi hỏi thay đổi cấu hình (ví dụ Full (strict) SSL mode) và quản trị chứng chỉ/khóa theo định dạng FIPS 204 seed-only, có thể tăng công sức vận hành ban đầu.
Cloudflare vừa công bố hỗ trợ post-quantum authentication cho hai sản phẩm Authenticated Origin Pulls (AOP) và Custom Origin Trust Store (COTS). Tính năng này cho phép thiết lập mutually authenticated TLS (mTLS) giữa Cloudflare và máy chủ gốc bằng chữ ký ML-DSA (Module-Lattice-Based Digital Signature Algorithm), nhằm giảm rủi ro giả mạo khi kẻ tấn công có khả năng khai thác máy tính lượng tử.
Cụ thể, hệ thống hỗ trợ các tham số ML-DSA-44, ML-DSA-65 và ML-DSA-87, trong đó ML-DSA-44 được khuyến nghị do hiệu năng tốt và đạt mức an toàn NIST category 2. Với COTS, khách hàng có thể thay bộ tin cậy mặc định bằng CA do mình quản lý và tải lên CA hậu lượng tử để Cloudflare tin chuỗi chứng chỉ của máy chủ gốc. Với AOP, khách hàng có thể cấu hình chứng chỉ/khóa riêng ML-DSA để Cloudflare trình diện khi kết nối tới origin.
Bài viết nhấn mạnh yêu cầu tránh downgrade attacks: bên xác minh cần loại bỏ niềm tin vào các cơ chế xác thực dễ tổn thương lượng tử. Hướng dẫn cũng nêu điều kiện cấu hình như dùng Full (strict) SSL mode, và yêu cầu định dạng khóa FIPS 204 seed-only khi tải lên qua API.