Cloudflare는 Automatic SSL/TLS 서비스를 확장하며 Automatic Key Exchange 기능을 발표했다. 이 기능은 실제 연결에 앞서 고객 원본 서버의 기능을 학습한 다음, 첫 번째 시도부터 적절한 키 교환 알고리즘을 선택한다. 원본 서버와 네트워크 경로가 사용할 수 있는 경우, 이 기능은 양자 컴퓨팅에 내성을 갖춘 하이브리드 알고리즘인 X25519MLKEM768을 우선한다.
이 기능은 사용자가 플랫폼에 연결하는 통신이 아니라 Cloudflare 인프라와 원본 서버 사이에서 생성되는 두 번째 연결을 대상으로 한다. TLS 1.3에서는 클라이언트가 첫 번째 메시지에 키 교환 알고리즘을 보내야 하므로, Cloudflare는 X25519라는 고정 추측을 사용해야 했다. 서버가 다른 알고리즘을 선호하면 HelloRetryRequest를 보내고 핸드셰이크가 처음부터 다시 시작되며, 이로 인해 네트워크 지연 시간이 한 번 더 추가된다.
추측에서 측정으로
Cloudflare는 프로덕션 트래픽 경로 외부에서 일련의 가벼운 TLS 핸드셰이크를 수행하며, 각 테스트에서 X25519, P-256, P-384, P-521 또는 X25519MLKEM768 중 하나의 알고리즘을 제시한다. 결과를 사용해 각 원본 서버가 지원하는 기능을 파악하고, 하위 도메인은 독립적으로 평가하며 각각의 실제 트래픽 규모에 따라 결과에 가중치를 적용한다.
그런 다음 플랫폼은 포스트퀀텀 하이브리드 알고리즘을 시작으로 하고 원본 서버가 허용하는 더 빠른 고전 알고리즘으로 돌아가는 순서에 따라 사용 가능한 옵션 중 가장 높은 옵션을 선택한다. Cloudflare는 원본 트래픽의 작은 일부에 변경 사항을 점진적으로 적용하고 실패율과 HelloRetryRequest 요청을 모니터링한 다음, 성능이 기준선을 초과해 저하되면 설정을 되돌린다. 또한 로드 밸런서, TLS 라이브러리 또는 서버 설정의 변경 사항을 반영하기 위해 원본 서버를 매일 다시 검사한다.
발표된 성능 및 보안 영향
Cloudflare는 측정 대상 원본 서버에서 HelloRetryRequest 요청 비율이 약 52%에서 3.7%로 감소했으며, 90번째 백분위수에서 핸드셰이크 시간이 150밀리초 넘게 줄었다고 밝혔다. 이 효과는 동적 요청이나 CDN 캐시 미스처럼 원본 서버와 새 연결이 필요한 요청에서 특히 두드러진다. 반면 keep-alive를 통한 기존 연결에는 새로운 핸드셰이크가 필요하지 않다.
회사에 따르면 조사 대상 그룹에서 포스트퀀텀 TLS 1.3 연결의 99.2%가 한 번의 왕복으로 완료됐다. 또한 포스트퀀텀 키 교환을 사용하는 원본 서버의 트래픽 규모는 하루 약 250억 연결에서 450억 연결로 증가했으며, 수십만 개 도메인이 수동 개입 없이 이 보호 기능을 적용받았다. Cloudflare는 초기 배치에서 100만 개가 넘는 도메인 중 33%에 X25519MLKEM768이 선택됐고, 64%는 X25519를 유지했으며, 3%는 다른 고전 알고리즘을 사용했다고 밝혔다.
고객에게 실질적으로 달라지는 점
이 기능은 TLS 1.3을 지원하는 원본 서버를 사용하는 신규 및 기존 도메인에 기본적으로 활성화되며, Cloudflare 대시보드의 SSL/TLS, 이어서 Origin connection & post-quantum encryption에서 제어할 수 있다. 원본 서버가 X25519MLKEM768을 지원하지 않으면 이 기능이 해당 기능을 자동으로 추가하지는 않는다. 하지만 호환되는 고전 알고리즘을 선택해 불필요한 핸드셰이크 재시도를 피할 수 있다.
Cloudflare는 규정 준수를 위해 두 가지 설정도 제공한다. 협상을 포스트퀀텀 하이브리드 교환으로 제한하거나, FIPS와 호환되는 알고리즘으로 제한하는 방식이다. 그러나 지원하지 않는 원본 서버에서 포스트퀀텀 교환을 활성화하면 모든 TLS 1.3 연결이 실패할 수 있으므로, 회사는 사전 확인 없이 이 옵션을 사용하지 말라고 경고한다. Cloudflare Radar는 방화벽, 미들박스 및 조각화된 메시지와 관련된 문제를 포함해 서버와 네트워크 경로가 이러한 연결을 처리할 수 있는지 검사하는 기능을 제공한다.
이 발표가 중요한 이유
이번 변경은 직접적인 성능 개선과 함께 웹사이트 운영자에게 알고리즘을 수동으로 지정하도록 요구하지 않고 포스트퀀텀 암호화 도입을 확대하려는 시도를 결합한다. 그러나 원본 서버나 로드 밸런서를 업그레이드하는 작업을 대신할 수는 없다. 플랫폼은 지원되지 않는 알고리즘을 협상할 수 없기 때문이다. 또한 포스트퀀텀 키 교환은 암호화된 데이터를 기록한 뒤 나중에 해독하는 시나리오로부터 보호하지만, 원본 서버의 신원 사칭이나 인증 수준 하락 위험을 단독으로 해결하지는 않는다. Cloudflare는 다음 단계로 ML-DSA 인증서 지원 여부를 검사하고, 엄격한 포스트퀀텀 보호 기능을 사용할 수 있을 때 고전 인증서로 되돌아가는 것을 방지하는 작업을 포함한다고 밝혔다.