SM3和SHA-256都是256位输出的哈希函数，结构相似但设计理念不同。SHA-256由NSA设计，强调操作简洁和扩散；而SM3由王小云团队设计，采用更复杂的消息扩展和压缩函数，追求更强的非线性混合。两者在安全性上表现良好，选择时应考虑合规性和生态系统支持。

Cloudflare will operate a free public Certificate Authority to issue quantum-safe Transport Layer Security certificates. This initiative addresses challenges in migrating from classical public key...

Cloudflare has replaced its static X25519 guess for origin TLS handshakes with per-origin measurement. HelloRetryRequests on scanned origins fell from roughly 52% to 3.7%, removing over 150 ms...

Percona技术博客近期内容：MySQL的OpenID Connect身份验证功能已完全开源；在Percona Server for MongoDB中轮换即将过期的X.509证书，并尽量减少服务中断。

Kubernetes 1.37 推出 Pod Certificates 和 Cluster Trust Bundles，内置 X.509 证书签发，用于 TLS/mTLS，解决服务账户 JWT 的 bearer token 安全问题。该机制通过非对称签名实现持有证明，架构灵活，支持多种证书类型，但需安装第三方签名器（如 Tinycert）试用。

本文介绍Envoy Gateway v1.9.0的TLS与SDS机制。核心内容：Gateway listener终止客户端TLS，BackendTLSPolicy管理到后端的上游TLS，两者使用不同证书。v1.9破坏性变更包括：SDS URL必须带unix://前缀，系统CA改为共享system_ca_certificates secret，旧EnvoyPatchPolicy匹配的secret/cluster名失效。升级前需检查patch配置，避免静默失配。

本文介绍HAProxy中SSL/TLS的两种处理路径：终结（在HAProxy内完成握手）与透传（仅转发字节，上游处理）。握手CPU消耗落在接收连接的线程上，会话缓存（tune.ssl.cachesize）影响全握手频率。证书选择与ALPN在握手期决定，与HTTP层ACL无关。容量规划需考虑缓存预分配内存，区分全握手与会话恢复的成本差异。

本文介绍Istio中DestinationRule如何配置Envoy Cluster：它不创建服务，仅对匹配的host追加配置；TrafficPolicy四组件（连接池、异常检测、负载均衡、TLS）按序映射到Cluster字段；subset只生成Cluster，需VirtualService配合路由；四层合并规则中，subset继承顶层，port级不继承而回落Envoy默认值；TLS模式管客户端出站，与PeerAuthentication对应。

本文介绍Envoy数据面代理的线程模型与配置分发机制。Main线程负责xDS解析和编排，不处理高并发流量；Worker线程通过独立Dispatcher处理绑定到本线程的连接，实现shared-nothing并行。配置更新通过Thread Local Storage快照分发，热路径读取配置无需全局锁，但存在新旧快照并存的短暂窗口，不保证全进程瞬时一致。

The backup node and DR server don’t need to share SSH keys. Here’s how pgBackRest’s native TLS transport provides certificate-authenticated restores and strict security isolation, making it the...