Cloudflare, 양자내성 인증기관을 만든다 — 인증서 하나하나가 아니라 트리에 서명

Cloudflare가 9월 29일 Birthday Week 발표 중 하나로 공개했습니다. 글에 저자명은 없습니다.

문제 — 양자내성 서명은 너무 크다

지금 TLS는 키 교환과 서명 두 곳에 공개키 암호를 씁니다. 키 교환 쪽은 이미 양자내성 알고리즘(하이브리드)으로 많이 넘어갔습니다. 문제는 서명입니다. 양자내성 서명은 기존 서명보다 약 40배 큽니다. 인증서 체인에는 서명이 여러 개 들어가므로(글의 계산으로 "서명 5개와 키 2개") 핸드셰이크가 크게 무거워집니다.

해법 — Merkle Tree Certificates

인증서를 하나씩 서명하는 대신, 여러 인증서를 머클 트리로 묶고 CA는 트리의 루트에만 서명합니다. 각 인증서는 자기가 트리에 포함돼 있다는 짧은 증명만 들고 다닙니다. 투명성 로그(Certificate Transparency)가 발급 과정의 필수 요소로 통합됩니다.

어디까지 왔나

실험	2026년, Cloudflare "무료" 도메인의 50%에서 Chrome Beta 146 사용자 대상, 수십억 건
결과	중앙값 기준 기존 체인 대비 9% 빠름 (랜드마크 상대 인증서 사용 시)
상태	실험이 아니라 실제 CA 발급. Chrome의 양자내성 루트 프로그램에 포함 예정
발급 시작	2027년 초
비용	표준 MTC 발급 무료
기존 인증서	병행. 클라이언트가 지원하면 MTC, 아니면 기존 체인

Let's Encrypt가 쓰는 Boulder 기반 시스템이고, 발급은 ACME 프로토콜로 받게 됩니다.

글에 없는 것

MTC가 기존 X.509 기반 클라이언트 소프트웨어와 어떻게 호환되는지의 구체 스펙, 다른 CA의 채택 계획, 어떤 양자내성 서명 알고리즘을 쓰는지는 글에 없습니다. Chrome 외 브라우저(Firefox, Safari)의 입장도 없습니다.

실무에서 할 일

지금은 없습니다. Cloudflare를 쓰는 사이트는 Cloudflare가 알아서 두 종류를 서빙할 것이고, 아닌 사이트는 자기 CA가 MTC를 지원할 때까지 할 게 없습니다. 알아둘 것은 하나 — 2027년부터 TLS 디버깅을 할 때 "인증서 체인이 왜 이렇게 생겼지"가 두 종류로 나뉜다는 것, 그리고 자체 TLS 클라이언트(임베디드, 자체 HTTP 라이브러리)를 운영한다면 MTC를 못 읽어도 기존 체인으로 폴백되는지 확인할 날이 온다는 것입니다.