背景
根據 InfoQ 的報導，Cloudflare 宣布將營運一個免費的公開憑證機構（Certificate Authority, CA），專門用來簽發具備量子安全特性的 Transport Layer Security（TLS）憑證。這項計畫鎖定的是現代網路基礎設施中一個長期被忽略的結構性瓶頸：整個 Web Public Key Infrastructure（Web PKI，也就是支撐 HTTPS 信任體系的公開金鑰基礎設施）終將需要從古典公開金鑰密碼學遷移到後量子演算法，而「身分驗證」這一環的進度遠遠落後於「金鑰交換」。
目前網際網路的身分驗證幾乎完全依賴 RSA 與橢圓曲線密碼學（Elliptic-Curve Cryptography）這類古典非對稱演算法。這些演算法的安全性建立在傳統電腦難以有效分解大數或解離散對數問題的前提上，但 Shor's algorithm（秀爾演算法）在足夠強大的量子電腦上能有效破解這些數學難題。美國國家標準暨技術研究院（NIST）已經標準化了 ML-DSA 與 Falcon 等後量子簽章演算法，理論上可以抵擋這類攻擊。然而，後量子簽章與公鑰所需的資料量遠大於古典演算法，這正是問題的核心。
核心問題：後量子簽章的體積代價
如果直接把後量子簽章演算法塞進傳統階層式的 X.509 憑證鏈中，TLS 握手階段需要傳輸的密碼學資料量會膨脹約四十倍。X.509 是目前網際網路憑證的標準格式，一條憑證鏈通常包含伺服器憑證、中繼憑證與根憑證的簽章。當每一層簽章都變成數 KB 的後量子簽章時，每次建立新連線都要交換數 KB 的憑證鏈，會造成嚴重的 TCP 分段、在受限網路上引發封包遺失，並在握手階段增加額外的往返時間（round-trip time），直接拖累連線延遲。
壓力不只落在握手本身。Certificate Transparency（憑證透明度，CT）日誌是記錄所有公開信任憑證的公開稽核機制，目的是防止憑證機構暗中簽發惡意憑證。在後量子簽章的龐大體積下，CT 日誌的儲存與營運也會承受嚴重負擔。換言之，單純「換掉演算法」的做法在工程上幾乎不可行，需要重新思考憑證的簽發與驗證模型。
Merkle Tree Certificates 的運作方式
Cloudflare 採用的解法是 Merkle Tree Certificates（梅克爾樹憑證），這是一套正在 IETF PLANTS 工作小組中推進的替代性驗證模型。Merkle tree 是一種以密碼學雜湊值層層聚合的樹狀結構，只要對根節點簽章，就能透過所謂的 inclusion proof（包含證明）驗證任一葉節點確實存在於樹中，而證明本身的長度只隨樹深呈對數成長。
這個架構重新定義了憑證簽發與公開透明之間的關係。在傳統 Web PKI 中，憑證機構先產生 X.509 憑證，再非同步地提交給第三方 CT 日誌以取得 Signed Certificate Timestamps；簽發與記錄是兩個分離的步驟。在 Merkle Tree Certificate 模型中，兩者合而為一：憑證機構把每一筆簽發記錄插入一棵僅能附加（append-only）的樹中，憑證本身就是一個指向已簽章樹根（tree head）的包含證明。憑證機構只需要用後量子簽章簽署樹根一次，個別葉節點則依賴體積很小的雜湊值。伺服器不再需要傳送多個沉重簽章，只要附上自己的葉節點與一條由中間雜湊值組成的驗證路徑即可。
為了進一步壓縮傳輸量，系統引入了 landmark（地標）的概念：客戶端與瀏覽器可以快取已同步的樹根檢查點。當客戶端已經信任某個近期的 landmark 時，伺服器只需傳送從葉節點到該 landmark 之間的截斷版包含證明，使握手資料量降至與傳統橢圓曲線連線相當的水準。
混合簽發與實測結果
Cloudflare 的實作採用混合式簽發：邊緣端點同時取得傳統 X.509 憑證與一份 Merkle Tree Certificate。在 TLS 協商過程中，支援 Merkle Tree Certificate 驗證的現代客戶端會收到精簡的樹狀證明，不支援的舊客戶端則無縫回退到標準 X.509 憑證鏈，因此不會破壞向下相容性。
根據 Cloudflare 與 Google Chrome 工程團隊合作進行的生產環境實驗，這個架構在維持低握手延遲的同時，仍保有完整可稽核的透明度。代表 Cloudflare 說明此計畫的 Mari Galicer 特別指出，把記錄行為變成簽發的架構性前提，可以防止未受追蹤的憑證流入市面，這比傳統「先簽發、後補登」的模式在安全性上更嚴謹。
影響與限制
對企業工程團隊而言，遷移到後量子傳輸安全涉及明顯的架構取捨。Merkle Tree Certificates 改變了憑證撤銷與有效期的運作方式：由於樹根以連續節奏更新，憑證被綁定在短暫的有效窗口內。這與業界推動縮短憑證壽命、搭配 ACME 這類自動化續約管線的趨勢一致，但也意味著依賴長效憑證或手動更新流程的環境需要調整。
Cloudflare 計畫免費開放標準簽發給所有網站，公開簽發的目標時間點是 2027 年初，以便與根信任儲存區（root store）的收錄時程配合。隨著 Chrome 的 Quantum-resistant Root Store 等客戶端生態系逐漸成熟，基礎設施工程師需要稽核自動化憑證管理工具、確認客戶端密碼學函式庫的相容性，並為混合驗證方案調整內部邊緣拓撲。需要注意的是，Merble Tree Certificates 仍在 IETF 標準化過程中，其最終規格、各根儲存區的接受速度，以及舊生態系的遷移節奏，都會影響實際落地的時程與方式。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。