Cloudflare a activat suportul pentru autentificare post-cuantică în două dintre produsele sale de securitate — Authenticated Origin Pulls și Custom Origin Trust Store — un pas care protejează conexiunile dintre rețeaua Cloudflare și serverele de origine ale clienților împotriva unor atacuri care, deocamdată, nici nu sunt posibile din punct de vedere tehnic, dar ar putea deveni realitate odată cu maturizarea calculatoarelor cuantice.
Ce înseamnă, de fapt, autentificare post-cuantică
Autentificare post-cuantică nu trebuie confundată cu criptarea post-cuantică, disponibilă deja din 2022-2023 la marii furnizori de infrastructură. Criptarea post-cuantică protejează conținutul unei conexiuni împotriva decriptării viitoare. Autentificarea post-cuantică rezolvă o problemă diferită: previne posibilitatea ca un atacator, odată ce va avea acces la un calculator cuantic suficient de puternic, să poată falsifica identitatea unui server sau client folosind algoritmi de semnătură digitală clasici, compromiși de calculul cuantic.
Practic, ai nevoie de ambele — criptare post-cuantică ȘI autentificare post-cuantică — pentru o conexiune cu adevărat protejată pe termen lung. Una fără cealaltă lasă o portiță deschisă.
De ce e nevoie de autentificare post-cuantică chiar acum
Motivul pentru care companii precum Cloudflare implementează autentificare post-cuantică înainte ca amenințarea să fie reală ține de un tip specific de atac numit „harvest-now, decrypt-later” — un atacator interceptează și stochează astăzi trafic criptat, cu intenția de a-l decripta peste ani, când tehnologia cuantică va fi suficient de avansată. Datele cu valoare pe termen lung (informații medicale, financiare, guvernamentale) sunt cele mai expuse acestui tip de risc.
Pe partea de autentificare, riscul e ceva diferit, dar la fel de serios: un atacator „on-path”, aflat undeva pe traseul de rețea, ar putea folosi puterea de calcul cuantic pentru a falsifica credențiale clasice și a se da drept serverul de origine legitim, interceptând sau alterând traficul fără ca nimeni să observe.
Ce produse Cloudflare sunt afectate
Suportul pentru autentificare post-cuantică a fost activat în doi produse cheie. Authenticated Origin Pulls (AOP) permite serverului de origine să verifice că traficul primit vine cu adevărat de la rețeaua Cloudflare, nu de la un impostor — disponibil gratuit la toate nivelurile de abonament. Custom Origin Trust Store (COTS) permite Cloudflare să verifice, la rândul ei, certificatul serverului de origine — disponibil pentru clienții cu Advanced Certificate Manager.
Standardele și algoritmii din spatele autentificării post-cuantice
Din punct de vedere tehnic, autentificare post-cuantică se bazează pe ML-DSA (Module-Lattice-Based Digital Signature Algorithm), standardizat oficial sub FIPS 204. Există trei variante acceptate — ML-DSA-44, ML-DSA-65 și ML-DSA-87 — dar Cloudflare recomandă ML-DSA-44 pentru majoritatea aplicațiilor, ca fiind cel mai performant, oferind în același timp un nivel de securitate solid (categoria 2 NIST). Pentru acordul de cheie (partea de criptare a conexiunii, complementară autentificării), se folosește algoritmul X25519MLKEM768.
Cum configurezi autentificare post-cuantică pe propriul site
Pentru administratorii care vor să activeze autentificare post-cuantică pe propriile servere de origine, procesul implică câțiva pași tehnici: generarea unui certificat ML-DSA cu OpenSSL versiunea 3.5.0 sau mai nouă, încărcarea autorității de certificare (CA) în Custom Origin Trust Store (înlocuind store-ul implicit), încărcarea certificatului de client pentru Authenticated Origin Pulls (la nivel de zonă sau per-hostname), setarea modului SSL/TLS pe „Full (strict)”, și configurarea propriu-zisă a serverului de origine — de exemplu, într-un server NGINX, prin directivele ssl_certificate și ssl_client_certificate.
Un detaliu important: activarea autentificare post-cuantică nu înlocuiește certificatul TLS standard folosit de vizitatorii site-ului, ci adaugă un strat suplimentar de verificare specific conexiunii dintre Cloudflare și serverul de origine. Din perspectiva unui vizitator obișnuit, nimic nu se schimbă vizibil — protecția e complet transparentă, la nivel de infrastructură.
Cronologie: autentificare post-cuantică la Cloudflare
2022-2023 — Cloudflare activează criptarea post-cuantică (schimbul de chei) pentru conexiunile dintre vizitatori și rețeaua sa, primul pas al tranziției.
Iunie 2026 — apare, în changelog, anunțul suportului pentru autentificare post-cuantică la nivel de origine, alături de un incident tehnic legat de validarea certificatelor RSA.
29 iulie 2026 — Cloudflare publică articolul oficial care detaliază funcționarea autentificării post-cuantice pentru Authenticated Origin Pulls și Custom Origin Trust Store.
August 2026 — apare versiunea 1.27 a limbajului Go, prima cu suport nativ pentru ML-DSA, eliminând unul dintre obstacolele tehnice ale adopției pe scară largă.
2029 (țintă) — anul declarat de Cloudflare pentru finalizarea tranziției complete la securitate post-cuantică, atât criptare, cât și autentificare, pe toate produsele sale.
Provocări tehnice pentru autentificare post-cuantică
Implementarea nu a fost lipsită de obstacole. Limbajul de programare Go, folosit intern de multe echipe de infrastructură, nu a avut suport nativ pentru ML-DSA până la versiunea 1.27, lansată abia în august 2026. Biblioteca BoringSSL, folosită pe scară largă pentru criptografie, a necesitat o actualizare majoră, prima de acest fel după patru ani.
A existat și un incident notabil în iunie 2026: o validare KeyUsage prea strictă, introdusă odată cu noile funcții, a afectat temporar certificatele RSA care nu respectau strict specificațiile — o problemă rezolvată ulterior de echipa Cloudflare.
Context 2029: autentificare post-cuantică pe termen lung
Cloudflare a declarat public că țintește anul 2029 pentru o tranziție completă la securitate post-cuantică, atât pentru criptare, cât și pentru autentificare post-cuantică, pe toate produsele sale. Mișcarea se aliniază unui trend mai larg din industrie — furnizori mari de cloud și infrastructură, dar și organisme de standardizare precum NIST, împing activ adoptarea criptografiei rezistente la atacuri cuantice, chiar dacă un calculator cuantic capabil să spargă criptografia actuală rămâne, cel puțin deocamdată, un scenariu teoretic.
Nu doar Cloudflare mișcă în această direcție. Marii furnizori de browsere și sisteme de operare au început deja să adauge suport pentru schimbul de chei post-cuantic în ultimii ani, iar autentificare post-cuantică e considerată următoarea piesă lipsă din puzzle — fără ea, doar jumătate din conexiune e cu adevărat protejată pe termen lung.
Glosar rapid: termeni legați de autentificare post-cuantică
Harvest-now, decrypt-later — strategie de atac în care traficul criptat e interceptat și stocat azi, pentru a fi decriptat în viitor, când tehnologia va permite asta.
ML-DSA — algoritm de semnătură digitală bazat pe rețele modulare (lattice-based), standardizat de NIST sub FIPS 204, folosit pentru autentificare post-cuantică.
Atacator on-path — un atacator poziționat undeva pe traseul de rețea dintre client și server, capabil să intercepteze sau să altereze traficul.
Ce înseamnă asta pentru administratorii de site-uri și hosting
Pentru majoritatea site-urilor mici și mijlocii, autentificare post-cuantică nu e încă o urgență operațională — amenințarea calculatoarelor cuantice capabile să spargă criptografia actuală rămâne, realist, la câțiva ani distanță. Dar pentru site-urile care gestionează date sensibile pe termen lung (medicale, financiare, juridice), pregătirea din timp contează, tocmai din cauza riscului „harvest-now, decrypt-later” — datele interceptate azi pot fi decriptate peste ani.
Un prim pas practic, chiar dacă nu implementezi imediat autentificare post-cuantică, e să verifici dacă providerul tău de hosting sau CDN are un plan public de tranziție către criptografie post-cuantică. Faptul că un jucător mare precum Cloudflare oferă deja această opțiune gratuit (cel puțin pentru AOP) arată că tehnologia a ajuns la un nivel de maturitate practică, nu doar teoretică.
Întrebări frecvente despre autentificare post-cuantică
Am nevoie de autentificare post-cuantică pe site-ul meu chiar acum?
Pentru majoritatea site-urilor, nu e o urgență imediată. Riscul real apare pentru date cu valoare pe termen lung, care ar putea fi interceptate azi și decriptate peste ani, pe măsură ce calculatoarele cuantice avansează.
Care e diferența dintre criptare post-cuantică și autentificare post-cuantică?
Criptarea post-cuantică protejează conținutul unei conexiuni de decriptare viitoare. Autentificare post-cuantică previne falsificarea identității unui server sau client folosind puterea de calcul cuantic. Ai nevoie de ambele pentru protecție completă.
Costă ceva activarea autentificării post-cuantice la Cloudflare?
Authenticated Origin Pulls, componenta de bază, e disponibilă gratuit la toate planurile Cloudflare. Custom Origin Trust Store necesită abonamentul Advanced Certificate Manager.
Când va deveni obligatorie autentificarea post-cuantică?
Nu există încă un termen obligatoriu la nivel de industrie, dar Cloudflare țintește anul 2029 pentru o tranziție completă pe toate produsele proprii, iar alți furnizori mari urmează planuri similare.
Ce ar trebui să întrebi propriul provider de hosting despre autentificare post-cuantică?
Merită să afli dacă providerul are un plan public de tranziție, dacă suportă deja algoritmi precum ML-DSA pentru autentificare sau X25519MLKEM768 pentru schimbul de chei, și dacă activarea acestor opțiuni presupune costuri suplimentare sau e inclusă în planul existent. Un răspuns clar și documentat e, de obicei, un semn bun.
Concluzie
Activarea autentificării post-cuantice de către Cloudflare marchează un pas concret către un internet pregătit pentru era calculatoarelor cuantice — nu pentru că amenințarea e iminentă, ci pentru că infrastructura critică are nevoie de ani buni pentru o tranziție completă și sigură. Pentru administratorii de site-uri, nu e (încă) o urgență, dar e un semnal clar că merită urmărit planul propriului provider de hosting sau CDN în privința securității post-cuantice.
Sursă: Cloudflare Blog – Post-quantum authentication to origins is now supported.
Vezi și celelalte știri din domeniul rețea și infrastructură de pe site.