Quantum-safe TLS چیست و چرا برای امنیت آینده اینترنت اهمیت دارد؟

امروزه بخش بزرگی از ارتباطات اینترنتی با استفاده از TLS محافظت می‌شود. زمانی که آدرس یک وب‌سایت با HTTPS باز می‌شود، TLS وظیفه دارد ارتباط میان کاربر و سرور را رمزنگاری کند، از تغییر داده‌ها در مسیر جلوگیری کند و هویت سرور را برای کاربر تایید کند. این سازوکار سال‌هاست یکی از پایه‌های اصلی امنیت وب محسوب می‌شود.

اما امنیت TLS به الگوریتم‌های رمزنگاری مورد استفاده در آن وابسته است و بعضی از این الگوریتم‌ها در برابر یک کامپیوتر کوانتومی قدرتمند مقاوم نیستند. به همین دلیل، صنعت فناوری در حال آماده شدن برای دوره‌ای است که بخشی از رمزنگاری فعلی اینترنت دیگر قابل اتکا نباشد.

Quantum-safe TLS یا TLS مقاوم در برابر کوانتوم، به مجموعه‌ای از روش‌ها و تغییرات در TLS و زیرساخت کلید عمومی گفته می‌شود که هدف آن حفظ محرمانگی و احراز هویت ارتباطات در برابر مهاجمی است که به یک کامپیوتر کوانتومی قدرتمند دسترسی دارد.

این موضوع صرفا به معنای جایگزین کردن یک الگوریتم رمزنگاری با الگوریتمی جدید نیست. برای رسیدن به TLS واقعا مقاوم در برابر کوانتوم، بخش‌هایی مانند تبادل کلید، امضای دیجیتال، گواهی‌های TLS، زنجیره اعتماد و حتی نحوه ثبت گواهی‌نامه SSL در زیرساخت وب باید به‌روزرسانی شوند. کلودفلر نیز در طرح جدید خود برای صدور گواهی‌های مقاوم در برابر کوانتوم، دقیقا با همین بخش پیچیده ماجرا روبه‌رو است.

کامپیوتر کوانتومی چیست؟

برای درک دلیل نیاز به Quantum-safe TLS، ابتدا باید بدانیم کامپیوتر کوانتومی چه تفاوتی با کامپیوترهای معمولی دارد.

در کامپیوترهای معمولی، کوچک‌ترین واحد اطلاعات بیت است و هر بیت در هر لحظه فقط می‌تواند یکی از دو مقدار صفر یا یک را داشته باشد. کامپیوتر کوانتومی به جای بیت از کیوبیت استفاده می‌کند. کیوبیت نیز می‌تواند صفر یا یک باشد، اما یک تفاوت مهم دارد: پیش از اندازه‌گیری، می‌تواند در ترکیبی از هر دو حالت قرار داشته باشد. به این ویژگی برهم‌نهی گفته می‌شود.

این ویژگی به این معنا نیست که یک کیوبیت هنگام اندازه‌گیری همزمان هم صفر و هم یک نمایش داده می‌شود. هنگام اندازه‌گیری، در نهایت یکی از این دو حالت به دست می‌آید؛ تفاوت در این است که پیش از اندازه‌گیری، وضعیت کیوبیت را نمی‌توان مانند یک بیت معمولی فقط با صفر یا یک توصیف کرد. با کنار هم قرار گرفتن تعداد زیادی کیوبیت، می‌توان از این ویژگی برای انجام محاسباتی استفاده کرد که روش انجام آن‌ها با رایانه‌های معمولی تفاوت دارد.

ویژگی مهم دیگر درهم‌تنیدگی کوانتومی است. در این حالت، وضعیت چند کیوبیت به یکدیگر وابسته می‌شود؛ به طوری که نمی‌توان وضعیت هر کیوبیت را کاملا مستقل از دیگری توصیف کرد. الگوریتم‌های کوانتومی با استفاده از برهم‌نهی، درهم‌تنیدگی و ویژگی‌های دیگری مانند تداخل کوانتومی می‌توانند بعضی مسائل مشخص را به شکل متفاوتی از رایانه‌های معمولی پردازش کنند.

البته کامپیوتر کوانتومی برای همه کارها سریع‌تر از کامپیوتر معمولی نیست. مزیت آن فقط در مسائل خاصی ظاهر می‌شود و یکی از همین مسائل، برخی مشکلات ریاضی مورد استفاده در رمزنگاری کلید عمومی است؛ موضوعی که آن را به تهدیدی برای بخشی از امنیت فعلی اینترنت تبدیل می‌کند.

مهم‌ترین نمونه در این زمینه الگوریتم شور (Shor's Algorithm) است. این الگوریتم در صورت اجرا روی یک کامپیوتر کوانتومی قدرتمند، می‌تواند برخی مسائل ریاضی مانند تجزیه اعداد صحیح و محاسبه لگاریتم گسسته را بسیار سریع‌تر از روش‌های شناخته‌شده کلاسیک حل کند.

بخش مهمی از رمزنگاری کلید عمومی اینترنت بر سخت بودن همین مسائل تکیه دارد. RSA و الگوریتم‌های مبتنی بر منحنی بیضوی مانند ECDSA و ECDH از جمله فناوری‌هایی هستند که در صورت ظهور یک کامپیوتر کوانتومی رمزنگار از نظر عملی آسیب‌پذیر خواهند شد.

NIST نیز به همین دلیل مجموعه‌ای از استانداردهای رمزنگاری پساکوانتومی را توسعه داده است. در سال ۲۰۲۴ سه استاندارد اصلی شامل ML-KEM برای برقراری کلید مشترک و ML-DSA و SLH-DSA برای امضای دیجیتال نهایی شدند.

TLS دقیقا از چه چیزی محافظت می‌کند؟

برای درک Quantum-safe TLS باید بین چند وظیفه متفاوت TLS تفاوت بگذاریم.

TLS به طور کلی سه هدف مهم دارد:

• محرمانگی: فردی که ارتباط را شنود می‌کند نتواند محتوای آن را بخواند.
• یکپارچگی: داده در مسیر انتقال بدون شناسایی تغییر نکند.
• احراز هویت: کاربر بتواند مطمئن شود به سرور واقعی متصل شده است.

برای رسیدن به این اهداف، TLS از چند نوع الگوریتم استفاده می‌کند. یک بخش برای رمزنگاری داده‌های ارتباطی، بخش دیگری برای توافق بر سر کلید و بخش دیگری برای امضای دیجیتال و احراز هویت استفاده می‌شود.

در TLS 1.3، الگوریتم‌هایی مانند X25519 در فرایند توافق بر سر کلید نقش دارند و گواهی سرور نیز معمولا با الگوریتم‌هایی مانند RSA یا ECDSA امضا شده است. الگوریتم‌های متقارن مورد استفاده برای رمزنگاری داده‌ها، مانند AES و ChaCha20، وضعیت متفاوتی دارند و تهدید کوانتومی برای آن‌ها به اندازه تهدید موجود برای رمزنگاری کلید عمومی نیست. بنابراین مهاجرت به سمت TLS مقاوم در برابر کوانتوم بیش از هر چیز روی تبادل کلید و احراز هویت متمرکز است.

کامپیوتر کوانتومی چگونه TLS فعلی را تهدید می‌کند؟

دو تهدید اصلی را باید از یکدیگر جدا کرد.

شکستن تبادل کلید

در TLS، کلاینت و سرور باید بدون ارسال مستقیم یک کلید محرمانه، روی یک کلید مشترک به توافق برسند. یکی از روش‌های رایج امروزی برای این کار X25519 است.

امنیت چنین روش‌هایی به دشواری حل برخی مسائل ریاضی وابسته است. یک کامپیوتر کوانتومی مناسب می‌تواند با استفاده از الگوریتم شور این نوع مسائل را تهدید کند.

در نتیجه، مهاجمی که امروز بتواند ترافیک رمزنگاری‌شده را ضبط کند، ممکن است در آینده و پس از در دسترس قرار گرفتن یک کامپیوتر کوانتومی قدرتمند، امکان استخراج اطلاعات آن را داشته باشد.

این سناریو با عنوان Harvest Now, Decrypt Later شناخته می‌شود؛ یعنی مهاجم داده‌های رمزنگاری‌شده امروز را ذخیره می‌کند تا در آینده آن‌ها را رمزگشایی کند.

برای اطلاعاتی که باید سال‌ها محرمانه باقی بمانند، این تهدید اهمیت ویژه‌ای دارد. کلودفلر نیز بخش قابل توجهی از مهاجرت فعلی خود به رمزنگاری پساکوانتومی را با همین تهدید مرتبط می‌داند.

جعل هویت سرور

تهدید دوم به احراز هویت مربوط می‌شود.

وقتی مرورگر به یک وب‌سایت از طریق HTTPS متصل می‌شود، صرفا رمزنگاری ارتباط کافی نیست. مرورگر باید مطمئن شود کلید عمومی دریافت‌شده واقعا متعلق به همان دامنه است.

این کار با استفاده از گواهی‌های دیجیتال انجام می‌شود. گواهی TLS شامل اطلاعاتی مانند نام دامنه و کلید عمومی است و توسط یک مرجع صدور گواهی یا CA امضا می‌شود.

اگر الگوریتم امضای دیجیتال مورد استفاده در این ساختار توسط یک کامپیوتر کوانتومی قابل شکستن باشد، مهاجم در آینده می‌تواند در شرایطی امکان جعل گواهی و در نتیجه جعل هویت یک وب‌سایت را پیدا کند.

به همین دلیل، داشتن تبادل کلید مقاوم در برابر کوانتوم به تنهایی کافی نیست. برای داشتن یک TLS کاملا مقاوم در برابر کوانتوم، بخش احراز هویت نیز باید به‌روزرسانی شود. کلودفلر نیز در مستندات خود بین «رمزنگاری پساکوانتومی» برای محافظت در برابر حملاتی مانند Harvest Now, Decrypt Later و «احراز هویت پساکوانتومی» تفاوت قائل می‌شود.

رمزنگاری پساکوانتومی چیست؟

Post-Quantum Cryptography یا PQC به الگوریتم‌های رمزنگاری‌ای گفته می‌شود که روی کامپیوترهای معمولی اجرا می‌شوند، اما برای مقاومت در برابر حملات یک کامپیوتر کوانتومی طراحی شده‌اند.

نکته مهم این است که PQC با «رمزنگاری کوانتومی» یکی نیست.

برای استفاده از PQC لازم نیست سرور یا مرورگر یک کامپیوتر کوانتومی داشته باشد. این الگوریتم‌ها برای سخت‌افزارهای معمولی طراحی شده‌اند و هدفشان این است که مسائل ریاضی مورد استفاده در رمزنگاری را به مسائلی تبدیل کنند که حتی یک مهاجم کوانتومی نیز نتواند به شکل عملی آن‌ها را حل کند.

یکی از استانداردهای مهم NIST در این زمینه ML-KEM است که برای برقراری کلید مشترک طراحی شده است. در بخش امضای دیجیتال نیز ML-DSA و SLH-DSA استاندارد شده‌اند.

کلودفلر در حال حاضر از ML-KEM در ارتباطات TLS 1.3 خود استفاده می‌کند و برای برخی ارتباطات نیز ML-DSA را به کار گرفته است. بنابراین مهاجرت به سمت Quantum-safe TLS صرفا یک پروژه آینده نیست و بخشی از این فرایند همین حالا در حال اجرا است.

عبارت Quantum-safe TLS بیشتر به نسخه‌ای از زیرساخت TLS اشاره دارد که اجزای آسیب‌پذیر آن در برابر کامپیوتر کوانتومی با روش‌های مقاوم در برابر کوانتوم جایگزین یا تکمیل شده‌اند.

بنابراین Quantum-safe TLS را نباید صرفا یک قابلیت جدید برای چند وب‌سایت خاص در نظر گرفت. این فناوری بخشی از روند طولانی‌مدت مهاجرت اینترنت از رمزنگاری کلاسیک به رمزنگاری مقاوم در برابر کوانتوم است.

TLS ترکیبی چیست؟

مهاجرت کامل به الگوریتم‌های جدید یک مشکل مهم دارد: هنوز همه مرورگرها، سیستم‌عامل‌ها، کتابخانه‌های رمزنگاری و سرورها از PQC پشتیبانی نمی‌کنند.

یکی از راه‌حل‌های عملی استفاده از Hybrid Cryptography یا رمزنگاری ترکیبی است.

در این روش، الگوریتم کلاسیک و الگوریتم پساکوانتومی در کنار یکدیگر استفاده می‌شوند. برای مثال، کلودفلر از ترکیب X25519 و ML-KEM برای توافق بر سر کلید استفاده می‌کند.

مزیت این روش آن است که در صورت وجود مشکل یا ضعف غیرمنتظره در یکی از الگوریتم‌ها، لایه دیگر همچنان بخشی از امنیت ارتباط را حفظ می‌کند. همچنین می‌توان بدون کنار گذاشتن کامل زیرساخت موجود، مهاجرت به سمت الگوریتم‌های جدید را به تدریج انجام داد.

کلودفلر ترکیب X25519MLKEM768 را برای این منظور در TLS 1.3 پشتیبانی می‌کند. البته برای ایجاد امنیت کامل، طرف مقابل ارتباط نیز باید از الگوریتم مربوطه پشتیبانی کند.

چرا نمی‌توان فقط الگوریتم گواهی TLS را عوض کرد؟

در نگاه اول، راه‌حل ساده به نظر می‌رسد: RSA و ECDSA را با یک الگوریتم پساکوانتومی مانند ML-DSA جایگزین کنیم و تمام.

مشکل اندازه داده‌ها است.

الگوریتم‌های پساکوانتومی معمولا کلیدهای عمومی، امضاها و داده‌های بیشتری نسبت به معادل‌های کلاسیک خود تولید می‌کنند. در نتیجه اگر گواهی‌های فعلی وب را مستقیما با نسخه‌های بزرگ‌تر جایگزین کنیم، اندازه زنجیره گواهی TLS می‌تواند به شکل قابل توجهی افزایش پیدا کند.

این موضوع در مقیاس یک وب‌سایت شاید چندان مهم به نظر نرسد، اما وقتی میلیاردها اتصال TLS در سراسر اینترنت برقرار می‌شود، چند کیلوبایت اضافه در هر اتصال می‌تواند به افزایش مصرف پهنای باند و زمان برقراری ارتباط منجر شود.

کلودفلر در توضیح معماری جدید خود اشاره کرده است که جایگزینی مستقیم امضاهای فعلی با امضاهای پساکوانتومی می‌تواند حجم داده مورد نیاز در TLS Handshake را به شکل غیرعملی افزایش دهد. یک پژوهش مستقل در سال ۲۰۲۶ نیز افزایش چندبرابری اندازه زنجیره گواهی‌ها را در برخی طرح‌های پساکوانتومی بررسی کرده است.

پس مسئله فقط «الگوریتم امن‌تر» نیست؛ الگوریتم جدید باید در مقیاس اینترنت نیز قابل استفاده باشد.

Merkle Tree چیست؟

اینجاست که ساختار Merkle Tree اهمیت پیدا می‌کند.

Merkle Tree یک ساختار داده درختی است که از توابع هش برای اثبات عضویت یک داده در مجموعه‌ای بزرگ استفاده می‌کند.

فرض کنیم یک مرجع صدور گواهی میلیون‌ها گواهی مختلف صادر کرده است. در روش معمول، برای اثبات اعتبار هر گواهی باید زنجیره‌ای از امضاها بررسی شود.

در یک Merkle Tree، گواهی‌ها در برگ‌های درخت قرار می‌گیرند و با ترکیب هش آن‌ها، در نهایت یک مقدار به نام Root یا ریشه به دست می‌آید.

CA می‌تواند به جای امضای تک‌تک گواهی‌ها، ریشه درخت را امضا کند.

حالا برای اثبات اینکه یک گواهی واقعا در این مجموعه قرار دارد، لازم نیست کل درخت یا تمام گواهی‌های دیگر ارسال شود. کافی است مجموعه کوچکی از هش‌ها ارائه شود تا مرورگر بتواند مسیر آن گواهی تا ریشه را بررسی کند.

این مجموعه را می‌توان یک Inclusion Proof یا اثبات عضویت در نظر گرفت.

به همین دلیل Merkle Tree می‌تواند مشکل بزرگ بودن امضاهای پساکوانتومی را تا حد زیادی کاهش دهد.

Merkle Tree Certificates چیست؟

Merkle Tree Certificates یا MTC روشی برای استفاده از همین ساختار در زیرساخت گواهی‌های TLS است.

در معماری سنتی، ابتدا گواهی صادر می‌شود و سپس برای شفافیت، گواهی در Certificate Transparency Log ثبت می‌شود.

در معماری MTC، صدور گواهی و ثبت آن در ساختار شفافیت به یک فرایند واحد تبدیل می‌شوند. مرجع صدور گواهی مجموعه گواهی‌ها را در یک درخت Merkle قرار می‌دهد و به جای امضای جداگانه تعداد بسیار زیادی گواهی، Tree Head مربوط به ساختار را امضا می‌کند.

مرورگر هنگام دریافت گواهی، می‌تواند با استفاده از اثبات عضویت بررسی کند که گواهی واقعا بخشی از درخت مورد تایید بوده است.

به این ترتیب، به جای ارسال حجم بزرگی از اطلاعات مربوط به امضاهای متعدد، می‌توان از مجموعه‌ای بسیار کوچک‌تر از هش‌ها برای اثبات عضویت استفاده کرد. کلودفلر معماری MTC را یکی از مسیرهای اصلی برای پیاده‌سازی احراز هویت پساکوانتومی در WebPKI می‌داند.

WebPKI چرا باید تغییر کند؟

TLS به تنهایی یک پروتکل نیست که بتوان با تغییر چند خط کد آن را برای عصر کوانتومی آماده کرد.

گواهی‌های TLS بخشی از Web Public Key Infrastructure یا WebPKI هستند. این زیرساخت مجموعه‌ای از CAها، گواهی‌های ریشه، گواهی‌های میانی، گواهی‌های وب‌سایت‌ها، مرورگرها، سیستم‌عامل‌ها، Certificate Transparency Logها و مجموعه‌ای از قوانین و فرایندهای اعتماد است.

مرورگر هنگام اتصال به یک وب‌سایت باید بتواند زنجیره اعتماد را از گواهی سایت تا یک Root CA مورد اعتماد خود بررسی کند.

بنابراین اگر الگوریتم‌های امضای دیجیتال تغییر کنند، تنها سرور وب نیاز به تغییر ندارد. CAها، مرورگرها، سیستم‌عامل‌ها، کتابخانه‌های TLS و سازوکارهای ثبت و بررسی گواهی‌ها نیز باید با معماری جدید سازگار شوند.

به همین دلیل مهاجرت WebPKI به رمزنگاری پساکوانتومی یکی از پیچیده‌ترین بخش‌های مهاجرت به سمت اینترنت مقاوم در برابر کوانتوم است.

کلودفلر برای Quantum-safe TLS چه کاری انجام می‌دهد؟

Cloudflare در سپتامبر ۲۰۲۶ اعلام کرد که قصد دارد به یک Certificate Authority تبدیل شود و صدور Merkle Tree Certificate را نیز در این زیرساخت پشتیبانی کند.

هدف این است که گواهی‌های معمولی و گواهی‌های MTC در یک زیرساخت صدور گواهی در کنار یکدیگر قرار بگیرند تا مهاجرت به احراز هویت پساکوانتومی بدون نیاز به بازطراحی کامل وب‌سایت‌ها امکان‌پذیر شود.

طبق اعلام کلودفلر، این گواهی‌ها قرار است بدون هزینه اضافه در اختیار کاربران قرار بگیرند و این شرکت هدف‌گذاری کرده است که صدور MTC را برای استفاده در مرورگر Chrome در اوایل سال ۲۰۲۷ آماده کند. کلودفلر در نقشه راه گسترده‌تر خود نیز رسیدن به امنیت کامل پساکوانتومی در کل مجموعه محصولاتش را تا سال ۲۰۲۹ هدف‌گذاری کرده است.

نکته مهم این است که این پروژه هنوز به معنی آن نیست که همه وب‌سایت‌ها همین امروز دارای گواهی Quantum-safe هستند. بخش مهمی از کار به پشتیبانی مرورگرها، سیستم‌عامل‌ها، برنامه‌ها و زیرساخت WebPKI وابسته است.

در واقع، کلودفلر پیش از این نیز بخش دیگری از مسیر را طی کرده است. در ارتباط کاربر با شبکه کلودفلر، TLS 1.3 از توافق کلید ترکیبی X25519MLKEM768 پشتیبانی می‌کند، اما پشتیبانی از امضای پساکوانتومی در همین مسیر هنوز به MTC وابسته است.

آیا HTTPS فعلی در برابر کامپیوتر کوانتومی ناامن است؟

نه به این معنا که هر ارتباط HTTPS امروزی را بتوان با یک کامپیوتر کوانتومی شکست.

کامپیوتر کوانتومی مورد نیاز برای شکستن عملی الگوریتم‌های کلید عمومی فعلی هنوز در دسترس نیست. تهدید اصلی مربوط به زمانی است که یک کامپیوتر کوانتومی با توان محاسباتی کافی ساخته شود.

اما مهاجرت رمزنگاری یک فرایند بسیار طولانی است. بسیاری از داده‌هایی که امروز منتقل می‌شوند ممکن است برای سال‌ها یا حتی دهه‌ها ارزش محرمانگی داشته باشند. بنابراین منتظر ماندن تا زمان ساخت چنین کامپیوتری می‌تواند بسیار دیر باشد.

همین موضوع دلیل اصلی مفهوم Harvest Now, Decrypt Later است. مهاجم لازم نیست امروز بتواند داده را رمزگشایی کند؛ کافی است بتواند آن را ذخیره کند و بعدا از توان محاسباتی آینده استفاده کند.

از طرف دیگر، مهاجرت فقط به تغییر الگوریتم در سرور محدود نمی‌شود. مرورگرها، سیستم‌عامل‌ها، کتابخانه‌های رمزنگاری، تجهیزات شبکه و زیرساخت صدور گواهی هم باید آماده باشند.

به همین دلیل NIST (سازمان استاندارد جهانی تکنولوژی) نیز پس از نهایی شدن استانداردهای اصلی PQC در سال ۲۰۲۴، سازمان‌ها را به آغاز فرایند مهاجرت تشویق کرده است.

آیا Quantum-safe TLS همان TLS جدید است؟

خیر.

Quantum-safe TLS را بهتر است یک مسیر مهاجرت امنیتی بدانیم، نه نسخه‌ای مستقل از TLS که به سادگی جای TLS 1.3 را بگیرد.

TLS 1.3 همچنان پروتکل اصلی ارتباط است، اما الگوریتم‌ها و سازوکارهای رمزنگاری مورد استفاده در آن می‌توانند تغییر کنند. در یک پیاده‌سازی پساکوانتومی، ممکن است تبادل کلید با یک روش ترکیبی مانند X25519 و ML-KEM انجام شود و احراز هویت نیز با سازوکاری مانند MTC و الگوریتم‌های امضای مقاوم در برابر کوانتوم انجام شود.

بنابراین عبارت Quantum-safe TLS بیشتر به نسخه‌ای از زیرساخت TLS اشاره دارد که اجزای آسیب‌پذیر آن در برابر کامپیوتر کوانتومی با روش‌های مقاوم در برابر کوانتوم جایگزین یا تکمیل شده‌اند.

مسیر اینترنت به سمت TLS مقاوم در برابر کوانتوم

مهاجرت به رمزنگاری پساکوانتومی احتمالا یک تغییر ناگهانی نخواهد بود.

در مرحله نخست، الگوریتم‌های پساکوانتومی در کنار الگوریتم‌های کلاسیک قرار می‌گیرند تا سازگاری با زیرساخت فعلی حفظ شود. این مرحله همین حالا در بخشی از ارتباطات TLS در حال انجام است.

مرحله بعدی، مقاوم کردن احراز هویت و گواهی‌های TLS است. این بخش دشوارتر است، چون باید با WebPKI، CAها، مرورگرها و Certificate Transparency هماهنگ شود.

Merkle Tree Certificates یکی از راهکارهای مهم برای حل همین مشکل است؛ زیرا تلاش می‌کند امنیت پساکوانتومی را بدون تحمیل حجم بسیار بزرگ امضاهای جدید به هر اتصال TLS وارد زیرساخت وب کند.

در نهایت، با گسترده‌تر شدن پشتیبانی مرورگرها و سیستم‌عامل‌ها، وابستگی به الگوریتم‌های آسیب‌پذیر کلاسیک نیز کاهش پیدا خواهد کرد.

این فرایند به همین دلیل بیشتر از آنکه یک ارتقای ساده برای وب‌سرورها باشد، یک تغییر معماری در بخش بزرگی از زیرساخت امنیت اینترنت است.

چرا Quantum-safe TLS اهمیت دارد؟

رمزنگاری اینترنت برای همیشه ثابت نمی‌ماند. الگوریتم‌هایی که امروز امن محسوب می‌شوند، ممکن است با پیشرفت توان محاسباتی یا کشف روش‌های ریاضی جدید دیگر برای محافظت از اطلاعات حساس مناسب نباشند.

کامپیوترهای کوانتومی هنوز توانایی شکستن عملی رمزنگاری کلید عمومی مورد استفاده در اینترنت را ندارند، اما ساخت زیرساخت مقاوم در برابر چنین تهدیدی به زمان نیاز دارد. استانداردهای PQC مانند ML-KEM، ML-DSA و SLH-DSA اکنون وجود دارند و پروژه‌هایی مانند MTC نیز برای حل مشکلات عملی استفاده از این الگوریتم‌ها در مقیاس اینترنت در حال توسعه هستند.

بنابراین Quantum-safe TLS را نباید صرفا یک قابلیت جدید برای چند وب‌سایت خاص در نظر گرفت. این فناوری بخشی از روند طولانی‌مدت مهاجرت اینترنت از رمزنگاری کلاسیک به رمزنگاری مقاوم در برابر کوانتوم است.

کلودفلر با توسعه Merkle Tree Certificates تلاش می‌کند یکی از دشوارترین قسمت‌های این مهاجرت، یعنی احراز هویت وب‌سایت‌ها و ساختار WebPKI، را در مقیاس اینترنت عملی کند. اگر این معماری به شکل گسترده در مرورگرها، CAها و زیرساخت وب پذیرفته شود، گواهی‌های TLS می‌توانند بدون افزایش شدید حجم داده‌های Handshake، وارد دوره پساکوانتومی شوند.