Xây dựng hạ tầng chứng chỉ hậu lượng tử với Merkle Tree Certificates (MTCs)

Khi người dùng truy cập một website, hệ thống Web Public Key Infrastructure (Web PKI) đóng vai trò then chốt để đảm bảo kết nối an toàn và xác thực đúng danh tính máy chủ. Tuy nhiên, trước sự phát triển của máy tính lượng tử, ngành công nghiệp an ninh mạng đang đối mặt với áp lực phải nâng cấp lên mật mã hậu lượng tử (PQ – post-quantum) trước năm 2029.

Thách thức về hiệu năng và khả năng mở rộng

Việc áp dụng trực tiếp các thuật toán hậu lượng tử vào chứng chỉ số ở quy mô Internet sẽ gây ra sự suy giảm hiệu năng nghiêm trọng. Các chữ ký hậu lượng tử thường lớn hơn gấp 40 lần so với chữ ký cổ điển, dẫn đến chi phí lưu trữ và xử lý dữ liệu khổng lồ cho các log Certificate Transparency (CT). Điều này đòi hỏi một cách tiếp cận mới, nơi tính minh bạch (transparency) trở thành một thành phần cốt lõi thay vì là một tính năng bổ sung.

Giải pháp Merkle Tree Certificates (MTCs)

MTCs, một dự thảo đặc tả từ nhóm làm việc IETF PLANTS, được thiết kế để tạo ra các chứng chỉ hậu lượng tử nhỏ gọn và hiệu quả. Thay vì ký từng chứng chỉ riêng lẻ, MTCs gom nhóm các chứng chỉ vào một Merkle tree và chỉ ký vào gốc (root) của cây đó. Triết lý cốt lõi ở đây là: “Đừng log những gì bạn đã cấp, hãy cấp bằng cách log”.

Cơ chế này cho phép trình duyệt xác thực chứng chỉ thông qua một bằng chứng bao gồm (inclusion proof) – một chuỗi các mã băm – giúp giảm tải đáng kể cho quá trình TLS handshake.

Vai trò của Cloudflare trong hệ sinh thái mới

Cloudflare đang xây dựng một Certificate Authority (CA) hỗ trợ phát hành MTCs, dự kiến đưa vào Root Store kháng lượng tử của Chrome từ đầu năm 2027. Hệ thống này bao gồm:

• Issuance Log: Nơi ghi lại các yêu cầu cấp chứng chỉ.
• Mirroring Cosigners: Các thực thể độc lập thực hiện ký xác nhận (cosign) để đảm bảo tính minh bạch và nhất quán của log, ngăn chặn việc CA cung cấp các thông tin khác nhau cho các bên khác nhau.
• Landmark Optimization: Một kỹ thuật tối ưu hóa cho phép khách hàng xác thực chứng chỉ thông qua các “landmark” (cột mốc) được cập nhật out-of-band, giúp giảm dung lượng truyền tải xuống dưới 1kB trong quá trình handshake.

Kết quả thực nghiệm

Trong thử nghiệm với Chrome Beta 146, Cloudflare đã phát hành hàng tỷ MTCs. Kết quả cho thấy MTCs hoạt động hiệu quả với tốc độ nhanh hơn 9% so với chuỗi chứng chỉ cổ điển nhờ vào việc lược bỏ các chứng chỉ trung gian. Với những kết quả khả quan này, MTCs được kỳ vọng sẽ trở thành tiêu chuẩn quan trọng giúp Internet chuyển đổi sang kỷ nguyên hậu lượng tử một cách an toàn và hiệu quả.

Nguồn tham khảo: Cloudflare Blog