Bài viết này do AI tạo ra, có thể mắc sai sót.
Cloudflare đã bổ sung xác thực hậu lượng tử cho hai thành phần bảo vệ đường kết nối từ Cloudflare về origin: Authenticated Origin Pulls (AOP) và Custom Origin Trust Store (COTS). Tính năng dùng chữ ký ML-DSA, cho phép xây dựng mTLS có khả năng chống rủi ro máy tính lượng tử trên đường Cloudflare-to-origin.
Một website qua Cloudflare thường có hai kết nối: trình duyệt đến Cloudflare, rồi Cloudflare đến origin. Các cải tiến lần này tập trung vào chặng thứ hai, nơi Cloudflare đóng vai trò TLS client kết nối đến server của khách hàng.
Cloudflare đã có hỗ trợ mã hóa hậu lượng tử cho hai chặng này từ các mốc trước. Phần còn thiếu là xác thực: khi máy tính lượng tử đủ năng lực bẻ khóa credential cổ điển, kẻ tấn công có thể giả mạo danh tính dù nội dung kết nối được mã hóa.
Custom Origin Trust Store cho phép thay trust store mặc định bằng các CA do khách hàng kiểm soát. Tính năng mới cho phép upload CA ML-DSA; Cloudflare sẽ tin chứng chỉ origin nối chuỗi tới CA đó khi kết nối về origin. COTS yêu cầu Advanced Certificate Manager và zone ở chế độ Full (strict).
Authenticated Origin Pulls hướng ngược lại: Cloudflare trình client certificate để origin biết request thực sự đến từ Cloudflare, tạo mTLS. Với cập nhật này, cấu hình per-zone và per-hostname có thể dùng certificate và private key ML-DSA. Cấu hình global chưa có trong đợt đầu.
Đây là phần dễ cấu hình sai nhất. Nếu bên xác minh vẫn chấp nhận authentication quantum-vulnerable, kẻ đứng giữa có thể ép kết nối quay về cơ chế yếu hơn. Để có đường kết nối hậu lượng tử thực sự, trust policy phải loại bỏ cơ chế cổ điển phù hợp với mô hình PKI đang dùng, không chỉ thêm certificate mới.
Với hệ thống chưa thể nâng cấp origin legacy, Cloudflare Tunnel có thể là lối đi chuyển tiếp: tunnel đã bảo vệ đường truyền bằng mã hóa hậu lượng tử, còn xác thực hậu lượng tử vẫn đang được hoàn thiện trong hướng triển khai này.
Đây là tin quan trọng cho quản trị viên web và hạ tầng vì origin connection thường bị bỏ quên khi nói về TLS hậu lượng tử. Browser-to-edge có thể đã được nâng cấp, nhưng dữ liệu vẫn đi qua chặng edge-to-origin; nếu chặng này dựa vào credential cổ điển trong thời gian dài, nguy cơ “thu thập hôm nay, giải mã/giả mạo sau này” chưa được giải quyết trọn vẹn.
Tuy vậy, đây không phải nút bật an toàn cho mọi zone. COTS thay trust store, AOP tác động xác thực client, và cơ chế chống downgrade có thể làm origin không nhận traffic nếu rollout thiếu thử nghiệm. Nên bắt đầu bằng một hostname thử nghiệm, kiểm tra version OpenSSL/nginx, log TLS và quy trình rollback trước khi áp dụng rộng.
Về dài hạn, ML-DSA ở đường Cloudflare-to-origin cho thấy migration hậu lượng tử đang đi từ thử nghiệm ở browser tới những thành phần vận hành cụ thể: CA nội bộ, mTLS, trust store và chính sách TLS. Đội mạng nên lập inventory certificate, CA và endpoint mTLS ngay từ bây giờ để tránh nâng cấp vội khi yêu cầu chuyển đổi trở nên gấp hơn.
Thông báo kỹ thuật của Cloudflare về post-quantum authentication to origins, tháng 8/2026.
