在網路傳輸的安全性中，TLS（傳輸層安全性協定）負責在客戶端與伺服器之間建立加密連線。對於像 Cloudflare 這樣的 CDN 服務商而言，其邊緣節點與後端來源伺服器（Origin Server）之間的 TLS 握手效率直接影響到使用者的連線延遲。然而，由於全球來源伺服器的設定各異，如何選擇最適合的加密演算法一直是效能優化的難點。
根據 InfoQ 報導，Cloudflare 近期推出了名為「自動金鑰交換」（Automatic Key Exchange）的機制，旨在消除 TLS 1.3 握手過程中的冗餘往返，將掃描來源伺服器的握手重試率從 52% 大幅降低至 3.7%，並在 p90 延遲中減少了超過 150 毫秒。
背景與技術挑戰
在 TLS 1.3 協定中，為了追求極速連線，客戶端在發送第一個封包（ClientHello）時，必須直接提交一個金鑰協定演算法（Key Agreement Algorithm）的建議。如果客戶端猜對了伺服器支援且偏好的演算法，握手可以在一次往返（Round Trip）內完成；但如果猜錯，伺服器會回傳一個 HelloRetryRequest 請求，要求客戶端重新發送正確的建議，這會導致連線成本增加一次往返。
長期以來，Cloudflare 對所有來源伺服器採取統一的靜態假設，優先使用 X25519 演算法。雖然 X25519 的普及率超過 95%，但實際測量發現，仍有約 30% 的連線並非最優化，其中超過 6% 的伺服器實際上更偏好 P-256 或 P-384 等傳統曲線演算法。這意味著大量連線因為這種「靜態假設」而被迫承受額外的往返延遲。
自動金鑰交換的運作方式
為了打破靜態假設，Cloudflare 引入了自動金鑰交換機制。該功能透過主動探測（Probing）來學習每個來源伺服器支援並偏好的演算法，隨後在正式連線時優先使用該伺服器的最佳選擇。
這種探測過程是在生產流量路徑之外獨立運行的，系統會逐一測試不同的金鑰協定群組，並每天重新掃描一次，以追蹤負載平衡器或 TLS 函式庫更新後的設定變更。此外，若伺服器支援後量子加密（Post-Quantum Cryptography, PQC）的混合演算法 X25519MLKEM768，Cloudflare 會優先選擇此選項，以應對未來量子電腦可能帶來的解密威脅。
後量子加密的實務限制與突破
後量子加密的導入面臨一個物理限制：X25519MLKEM768 的金鑰共享大小為 1,216 位元組，遠高於 X25519 的 32 位元組。這導致 ClientHello 封包會超過單個網路封包的大小而被拆分。然而，部分舊型的中間設備（Middleboxes）或伺服器無法處理被拆分的 TCP 封包，導致約 0.34% 的伺服器在接收到後量子金鑰時會直接導致握手失敗。
為了確保穩定性，Cloudflare 自 2023 年 9 月起採取保守策略：雖然宣稱支援後量子加密，但優先發送傳統 X25519，要求伺服器透過 HelloRetryRequest 主動請求升級。這導致幾乎所有支援後量子加密的伺服器都必須承受第二次往返。
透過新的自動金鑰交換機制，Cloudflare 能夠預先得知伺服器是否能處理大封包，從而直接發送後量子金鑰。結果顯示，後量子來源伺服器的握手不需重試的比例從 0% 飆升至 99.2%。在已掃描的伺服器中，33% 成功遷移至 X25519MLKEM768，64% 維持在 X25519，其餘 3% 則遷移至其他傳統曲線。
影響、風險與未來限制
儘管效能顯著提升，但此機制仍有部分限制與風險。首先，延遲的改善僅適用於新建立的連線，對於使用 Keep-alive 持續連線的請求沒有影響，其收益主要集中在動態請求或 CDN 快取失效（Cache Miss）需重新握手的場景。
其次，Cloudflare 引入了「合規性要求」（Compliance requirements）設定，允許使用者強制僅使用後量子混合演算法或 FIPS 合規演算法。這是一個潛在風險點：如果強制要求後量子加密，但來源伺服器並不支援 X25519MLKEM768，則雙方將沒有共同支援的演算法，導致所有 TLS 1.3 連線直接失敗。
此外，金鑰交換僅能防止「現在攔截，未來解密」（Harvest-now, decrypt-later）的攻擊，無法防止擁有量子電腦的攻擊者偽造傳統憑證來冒充伺服器。為此，Cloudflare 已在 Authenticated Origin Pulls 等功能中支援 ML-DSA 後量子簽章，以實現端到端的後量子認證。
展望未來，Cloudflare 計畫將偏好設定的粒度從「區域（Zone）」細化到「單個來源（Per-origin）」，並提供手動觸發掃描的 API，讓管理員在升級 TLS 堆疊後能立即生效。這些努力皆是為了迎接 2029 年所謂的「Q-Day」（預計傳統加密可能被量子電腦破解的年份），確保網路基礎設施在效能與安全性之間取得平衡。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。