甚麼是默克爾樹證書（MTC）？

量子威脅真實存在。攻擊者現時已經在竊取並儲存加密數據，寄望於未來的量子電腦能夠解密這些數據——這種策略被稱為「先收集、後解密」。因此，後量子密碼學（PQC）已經從研究課題轉變為必須完成的遷移任務。

抗量子演算法能夠解決密碼學層面的問題，但也帶來了實踐層面的挑戰：密鑰和簽名的體積會大幅增加。如果透過現有的公鑰基礎設施（PKI）部署這些演算法，會使每一條安全連線的體積膨脹，推高整個互聯網的頻寬、計算和儲存成本。流動用戶和高延遲網絡受到的影響最為明顯，而老舊 Web 伺服器、負載均衡器等部分系統甚至可能完全無法正常運作。

意識到這些局限性後，包括 Google、Cloudflare 團隊以及 Sectigo 貢獻者在內的全行業密碼學研究人員一直在開發一種新方案。默克爾樹證書（MTC）不會強行將體積較大的後量子簽名塞入並非為此設計的基礎設施中，而是重新思考後量子時代證書的構建與交付方式。

甚麼是默克爾樹證書？

MTC 是一種數碼證書實現新方案，可大幅減少安全連線過程中交換的數據量。證書頒發機構（CA）不會為每張證書單獨簽名、在每次握手中發送完整證書鏈，而是將其簽發的證書批量歸入一種名為默克爾樹的單一結構中。CA 會對整棵樹而非單張證書進行簽名，瀏覽器則透過透明度基礎設施提前獲取可信的樹頭（tree heads）。樹中被簽名的元素是哈希摘要，這些摘要本身就具備抗量子特性。

當瀏覽器連接網站時，網站只需出示一段簡短的證明——僅包含少量哈希值，即可證明其證書屬於瀏覽器已經信任的某棵樹。體積龐大的簽名鏈無需在網絡中傳輸。在後量子場景下，這種差異的影響十分顯著。單個 ML-DSA 簽名的大小約為 2.4 KB，傳統證書鏈會攜帶多個此類簽名以及透明度相關的附加數據，而替代這些內容的默克爾證明通常大小不足 1 KB。

MTC 未來大概率會與我們現時使用的證書共存。可以預見，未來抗量子方案將保持高效、透明的特性，並且與現有 Web 生態兼容。

默克爾樹證書對互聯網的重要性是甚麼？

公鑰基礎設施（PKI）廣泛存在於我們所有的技術堆疊中。雲端應用、AI 驅動的工作負載以及數十億台聯網裝置都依賴快速、穩定的 TLS 握手。如果後量子身份拖慢了這些握手速度，所有用戶都會受到影響。MTC 的價值在於，它透過兩個重要維度消除了這種性能與安全的權衡困境。

1. 默克爾樹證書幫助保持互聯網運行速度

如果在公共網站上強制使用傳統的後量子簽名，握手訊息體的體積會急劇膨脹，導致用戶體驗下降，在流動網絡和高延遲連接場景下尤為明顯。MTC 避開了這一問題：它用一份緊湊的包含證明替換了多個大體積簽名，將額外開銷控制在接近目前用戶體驗的水平。我們可以完全像現在一樣使用互聯網，保持高速、不中斷，同時底層具備抗量子攻擊能力。

2. 默克爾樹證書將透明度融入設計本身

在目前的公開金鑰基礎設施（PKI）體系中，證書透明度（CT）日誌是作為獨立環節附加在證書簽發流程之外的。當日誌記錄失敗時，證書可能在無人察覺的情況下被非法使用，形成安全盲區。

MTC 反轉了這種關係。創建證書的過程本身就是記錄日誌的過程。如果證書不在默克爾樹中，它就根本不存在。這一點至關重要，因為如果沒有全面的可見性，後量子時代的身份認證就無法實現真正的安全，而 MTC 讓兩者密不可分。

我們的願景：Sectigo 與默克爾樹證書

這一變革的發展勢頭真實且可衡量。各大瀏覽器已明確表示，MTC 是面向公共 Web 落地後量子證書的首選路徑，目前已針對真實互聯網流量開展可行性實驗。Sectigo 認為，MTC 是實現後量子身份認證最具前景的路徑，能夠保留企業目前依賴的性能與可擴展性。

與此同時，我們持續關注更廣泛的後量子生態發展，涵蓋 ML-DSA 等 NIST 標準化算法、不斷演進的 IETF 規範、瀏覽器路線圖決策以及企業落地需求。MTC 的全部應用場景仍在逐步明晰，但目前可以確定的是，隨着標準走向成熟，企業需要可見性、自動化能力和密碼敏捷性以完成適配。無論底層證書架構最終形態如何，Sectigo 將始終致力於協助客戶為這一未來做好準備。