源站现已支持后量子认证
内容提要
Cloudflare宣布其Authenticated Origin Pulls和Custom Origin Trust Store现已支持后量子认证，通过ML-DSA签名保护客户源服务器连接。用户可配置完全后量子安全的mTLS，防止量子计算机攻击。文章提供配置指南，并提及工程细节及2029年全面后量子安全目标。
延伸解读
为何先落地源站连接
文章指出，Cloudflare 与源站之间的连接由 Cloudflare 充当客户端，且已有客户信任关系，因此可以绕开公网 WebPKI 的约束，采用自定义 PKI 和 ML-DSA 签名，提前实现后量子认证。相比之下，访客到 Cloudflare 的连接需要依赖 Merkle Tree Certificates（MTC）等公网标准，预计 2027 年才有初步部署。这种架构差异使得源站连接成为后量子认证的先行场景。
配置要点与降级风险
要启用完全后量子安全的 mTLS，需同时配置 Custom Origin Trust Store（COTS）和 Authenticated Origin Pulls（AOP），并确保 SSL 模式为 Full (strict)。文章特别提醒，若验证方仍信任量子易受攻击的认证机制，攻击者可能利用降级攻击伪造经典凭据。因此，上传的 CA 应仅包含 ML-DSA 证书，避免保留 RSA 或 ECDSA 信任链，否则后量子保护可能被绕过。
工程实现与潜在兼容性问题
实现过程中，控制面服务因 Go 标准库暂不支持 ML-DSA，需借助 Cloudflare 的 CIRCL 库打补丁；数据面则因 Pingora Origin 长期未更新 BoringSSL，升级后触发了 KeyUsage 校验规则，导致部分客户证书被误判为无效，引发 2026 年 6 月 10 日的事故。这提醒用户，启用后量子认证前应检查现有证书是否符合规范，并关注 TLS 库更新带来的行为变化。
Q&A
Cloudflare 的 Authenticated Origin Pulls 和 Custom Origin Trust Store 现在支持哪种后量子签名算法？
Cloudflare 的 Authenticated Origin Pulls 和 Custom Origin Trust Store 现在支持 ML-DSA（Module-Lattice-Based Digital Signature Algorithm）签名，用于保护 Cloudflare 与客户源服务器之间的连接。
如何配置完全后量子安全的 mTLS 连接？
要配置完全后量子安全的 mTLS 连接，需要同时使用 Custom Origin Trust Store (COTS) 和 Authenticated Origin Pulls (AOP)。COTS 允许上传 ML-DSA CA 以信任源服务器证书，AOP 允许上传 ML-DSA 客户端证书和私钥。此外，需要将 SSL/TLS 模式设置为 Full (strict)，并确保源服务器配置为验证客户端证书。具体步骤包括生成 ML-DSA 证书链、上传 CA 和客户端证书、启用 AOP、设置 SSL 模式，并在源服务器（如 NGINX）上配置相应的证书和验证选项。
为什么 Cloudflare 要部署后量子认证？
Cloudflare 部署后量子认证是为了防止量子计算机攻击。虽然之前主要关注后量子加密以抵御“先收集后解密”攻击，但量子计算和密码分析的突破使得攻击者可能很快利用量子计算机破解经典凭据并进行冒充攻击，因此需要后量子认证来保护连接免受此类威胁。
Cloudflare 到源服务器的连接与访客到 Cloudflare 的连接在后量子认证方面有何不同？
Cloudflare 到源服务器的连接中，Cloudflare 是客户端，可以控制连接池等技术，摊销连接建立的开销，因此可以直接使用 ML-DSA 签名，而不必依赖 WebPKI 的约束和时间线。此外，由于 Cloudflare 与客户之间存在预先的信任关系，可以使用自定义 PKI，无需中间证书和证书透明度。而访客到 Cloudflare 的连接需要与 Google 等合作开发 Merkle Tree Certificates (MTC)，计划在 2027 年部署。
如何避免后量子认证中的降级攻击？
要避免降级攻击，验证方必须移除对量子脆弱认证机制的信任。对于 Custom Origin Trust Store 和 Authenticated Origin Pulls，用户应只上传后量子 CA 和证书，并确保配置中不包含任何经典证书信任。具体细节可参考官方配置指南。
Cloudflare 在实现后量子认证时遇到了哪些工程挑战？
工程挑战包括：控制平面服务使用 Go 编写，但 Go 标准库不支持 ML-DSA，因此需要在 CIRCL 库中实现支持；数据平面服务 Pingora Origin 长时间未更新 BoringSSL，更新后引入了 KeyUsage 规则强制执行，导致部分客户证书被判定无效，引发了 2026 年 6 月 10 日的事件，最终通过回滚和补丁解决。
Cloudflare 计划何时实现全面后量子安全？
Cloudflare 的目标是在 2029 年实现全面后量子安全，并已制定了多个里程碑。此次支持后量子认证是第一个里程碑。
