Cloudflare, Merkle Tree Certificates 기반 양자 내성 CA 출시

Cloudflare가 **Merkle Tree Certificates(MTCs)**를 지원하는 새로운 인증 기관(CA)을 출시했다. 이 아키텍처는 양자 내성(PQ) 암호화를 효율적으로 확장하기 위해 설계되었으며, 기존 인증서 구조에 PQ 서명을 단순히 교체할 때 발생하는 성능 저하 문제를 해결한다. Cloudflare는 투명성을 부가 기능이 아닌 기본 속성으로 취급하며, 2027년 초까지 Chrome의 Quantum-resistant Root Store에 포함되는 것을 목표로 한다.

양자 내성 확장 문제

현재 Web PKI는 중대한 과제에 직면해 있다. PQ 서명은 기존 서명보다 약 40배 크다. 인터넷 규모에서 이는 인증서 투명성(CT) 로그가 저장해야 할 데이터를 40배로 증가시켜 클라이언트, CA, 모니터 모두에게 용납할 수 없는 오버헤드를 발생시킨다. 여러 서명과 키를 요구하는 기존 인증서 체인은 이 부하를 효율적으로 처리할 수 없다.

Merkle Tree Certificates의 작동 방식

IETF PLANTS 워킹 그룹의 초안 사양인 MTC는 인증서를 추가 전용 Merkle 트리로 배치한다. 각 인증서를 개별적으로 서명하는 대신 CA는 트리의 루트를 서명한다. 클라이언트는 서명된 트리 헤드에 대한 간결한 **포함 증명(inclusion proof)**을 통해 인증서를 검증한다. 이 설계는 발급과 로깅을 결합하여 투명성을 운영의 필수 조건으로 만든다.

MTC는 두 가지 형태로 제공된다:

• Standalone: 공동 서명된 트리 헤드와 포함 증명을 포함한다. 최신 업데이트가 없는 클라이언트를 위한 폴백으로 사용된다.
• Landmark-relative: PQ 서명 없이 간결한 포함 증명을 사용하며, 트리 메타데이터의 대역 외(out-of-band) 배포에 의존한다. 효율성을 위한 주요 모드이다.

Chrome과의 실험 결과

Cloudflare는 'bootstrap CA'를 운영하여 Chrome Beta 146 사용자의 **50%**에게 MTC를 발급했다. 이 실험은 수십억 개의 MTC를 제공했으며, landmark-relative 인증서가 매우 효율적임을 입증했다:

• 핸드셰이크 시 공개 키 하나, 서명 하나, 간결한 포함 증명만 전송된다.
• 중앙값 성능은 기존 서명 체인보다 9% 더 빠르다.
• CT 로그는 공개 키의 해시만 전송하면 되므로 인증서 폭발을 방지한다.

구현 및 향후 전망

Cloudflare의 CA 인프라는 Let's Encrypt를 구동하는 소프트웨어인 Boulder의 포크가 될 것이며, 상류(upstream) MTC 지원이 통합된다. 시스템은 Cloudflare의 오픈소스 Rust 기반 투명성 로그인 Azul을 사용하고 c2sp tlog 미러 프로토콜을 구현한다. 복원력을 보장하기 위해 CA는 미러링된 공동 서명자(cosigners)를 운영하며, 자체 발급된 인증서에 대해 최소 하나의 독립적인 공동 서명을 요구하여 Chrome의 초안 정책을 준수한다. Cloudflare는 표준 MTC 발급을 무료로 제공하며 Chrome 루트 스토어에 대한 엄격한 평가를 받을 예정이다.