💱 Автоматический обмен ключами Cloudflare: постквантовые соединения для 45 млрд подключений в день

Cloudflare объявила о запуске Automatic Key Exchange — расширения Automatic SSL/TLS для соединений с origin-серверами. При установке TLS 1.3 клиент в первом же пакете должен «угадать» алгоритм обмена ключами. Если выбор неверный, сервер отвечает HelloRetryRequest, и рукопожатие занимает два сетевых round-trip вместо одного. Раньше Cloudflare для всех origin использовала X25519, но для ~30% соединений это было неоптимально.

Automatic Key Exchange заменяет угадывание измерением: Cloudflare заранее проверяет, какие алгоритмы поддерживает origin, и сразу предлагает предпочтительный. Где возможно, применяется постквантовая гибридная схема X25519MLKEM768. В ходе развёртывания доля HelloRetryRequest упала с ~52% до 3,7%, а p90-задержка соединения сократилась более чем на 150 мс. Сотни тысяч доменов уже получили постквантовые соединения с origin без ручной настройки, и это число растёт ежедневно.

Это шаг к защите от атак harvest-now-decrypt-later: злоумышленники записывают зашифрованный трафик сейчас, чтобы расшифровать его после появления квантового компьютера. Cloudflare стремится сделать интернет квантово-устойчивым к 2029 году (Q-Day). Раньше для постквантовых соединений требовалась ручная настройка, теперь это происходит автоматически.

#Cloudflare #Safety #PostQuantumCryptography #TLS #Infrastructure #QDay