微软敦促企业在进行大规模迁移前测试后量子证书

原创

ZM
ZM

暗镜

2026年10月16日 06:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

微软敦促企业在进行大规模基础架构迁移之前，先测试证书依赖关系，为后量子时代身份验证做好准备。

其后量子密码传输层安全试点计划于 2026 年 8 月 27 日启动，为经批准的证书颁发机构提供了一个受控环境，以评估抗量子证书层次结构，并发现互操作性、性能和操作障碍。该倡议旨在解决量子就绪规划中的一个缺口：保护加密流量并不会自动实现身份验证的现代化。证书是应用程序、设备、网络设备和公钥基础设施之间信任的基础。

迁移这些关系不仅仅是替换加密算法；组织必须验证证书的颁发、验证、存储、续订和分发在互联系统中继续正常工作。后量子时代的讨论大多围绕着“先收获后解密”展开，攻击者保留加密信息以备将来解密。

身份验证带来了另一项挑战，因为数字签名既能确立身份，又能检测未经授权的更改。NIST 的 FIPS 204 标准定义了基于模块格的数字签名算法（ML-DSA），该算法旨在抵御涉及大规模量子计算机的攻击。

微软表示，其试点项目在其实验性TLS证书层级结构中使用了ML-DSA-87。然而，算法标准化本身并不能证明企业已做好充分准备。

更大的证书和证书链可能会暴露握手处理、证书解析、存储容量、流量检查和应用程序集成方面的假设。

因此，测试必须检查完整的信任路径和操作工作流程，而不仅仅是确认是否可以生成证书。传统基础设施加剧了这一挑战。嵌入式设备、运营技术、定制应用程序、硬件安全模块和安全设备可能更换周期长或加密功能固定。企业需要了解使用证书的系统，而不仅仅是颁发证书的证书颁发机构。

微软的“可信根证书计划”公告列出了七个参与的根证书运营商：ComSign、DigiCert、HARICA、IdenTrust Services、Sectigo、上海电子证书颁发机构和SSL.com。该试点项目旨在评估TLS 服务器身份验证的互操作性、兼容性和生态系统准备情况。区分实验和部署至关重要。试点证书不具备公共信任度，绝不能用于保护生产环境或面向公众的网站。

微软还指出，根证书不会进入通用证书颁发机构数据库或证书透明度日志。它们的目的是识别采用障碍，而不是建立生产环境中的信任关系。平台兼容性问题已经凸显了这些障碍。微软警告称，不支持的 Windows 系统在处理引导根时可能会遇到certutil -verifyCTL故障和错误。NTE_BAD_ALGID