Cloudflare 談後量子時代的網路隱私：Privacy Pass 與 MOLE 的下一步

發生了什麼事

Cloudflare 在 2026 年 11 月 6 日發表文章指出，Privacy Pass 是網站營運者（如 Cloudflare）用來保護應用程式免受濫用的協定。其中一種做法是「速率限制」，也就是限制個別用戶端，避免單一用戶端耗用網站過多資源。

Cloudflare 表示，傳統的防濫用做法通常會讓使用者付出代價：要嘛得通過 CAPTCHA 等驗證，要嘛得登入帳號或被辨識身分。Privacy Pass 的設計是讓用戶端取得多個「代幣」（token，可以想成數位通行證），兌換後即可存取網站。每個代幣都無法連結回當初領取它的人，因此使用者不必在使用順暢與隱私之間取捨。

Cloudflare 稱已有 10 年部署經驗，例如用在 iCloud Private Relay 等隱私代理服務，並正與其他單位合作開發下一代技術。目標包括管理可能耗用過多資源的 AI 代理流量，以及讓更多類型的用戶端更容易參與。

量子電腦對 Privacy Pass 的影響

根據 Cloudflare，Privacy Pass 仍依賴 RSA 與橢圓曲線等傳統密碼學。一旦出現足以破解這類密碼學的量子電腦，量子攻擊者就能隨意偽造代幣，繞過速率限制等防護機制。能抵抗量子電腦攻擊的密碼學稱為「後量子密碼學」。

不過 Cloudflare 也說，Privacy Pass 具有「無條件隱私性」：無論攻擊者是否擁有量子電腦，都無法把某次代幣兌換和當初的發放連結起來。Cloudflare 並表示，正在開發的新功能也會維持相同的保證。

MOLE 是什麼

Cloudflare 稱這項新技術目前名為 MOLE（Moderation Of unLinkable Endorsements，意思是「不可連結背書的審核」）。在 MOLE 裡，「背書」由錨點（anchor，可信任的發行者）發放，再由審核者（moderator）兌換。用戶端只要證明自己拿到的背書來自受信任錨點名單中的某一個，不必透露是哪一個。

Cloudflare 表示，MOLE 刻意隱藏發行者身分，讓系統無法依發行者差別對待代幣。這樣可以確保不同類型的用戶端受到平等對待，也讓更多用戶端更容易加入。

後量子方案與成本估算

Cloudflare 指出，後量子方案的主要挑戰是資料體積。以數位簽章為例，後量子簽章 ML-DSA-44 為 2,420 位元組，傳統的 ECDSA-P256 簽章僅 64 位元組，而且短期內難有可以直接替換的方案。

文章介紹了 Baum 等人在 USENIX Security 2026 發表的 PoMFRIT。它是一種「盲簽章」，也就是發行者在看不到內容的情況下替用戶端簽名，事後無法把簽名對回當初的發放。PoMFRIT 的盲簽章為 6.7KB，發放只需數百位元組。Cloudflare 說，若改用名為 UOV（Unbalanced Oil and Vinegar）的簽章方案，簽章可降至 4.3KB，但公開金鑰會變大。UOV 屬於「多變量密碼學」，其安全性建立在求解多變數二次方程組的難度上，一般認為連量子電腦也難以破解。

Cloudflare 表示，在其實作中每項操作只需數毫秒。以 PoMFRIT 取代 RSA 盲簽章所增加的負擔，大致相當於以 ML-DSA 取代 ECDSA。

限制與待完成事項

• Cloudflare 說，針對多變量密碼學的攻擊研究（密碼分析）仍相對不成熟，參數可能還會調整，成本也可能增加。
• Cloudflare 仍需提出安全證明，證明只要 UOV 安全，這些協定就安全。
• 減少雜湊運算次數的優化依賴較強的 one-more-UOV 假設，Cloudflare 稱這個假設可能過於樂觀。若假設被攻破，影響的是代幣能否被偽造，而不是用戶端隱私。
• Cloudflare 提到，加州大學聖地牙哥分校與 INRIA 的研究人員曾反覆讓 Privacy Pass 發行者代為簽章，藉此偽造 1024 位元 RSA 簽章。Privacy Pass 使用 2048 位元 RSA，搭配其他防禦，提供不錯的安全餘裕。
• Cloudflare 表示，傳統盲簽章或許便宜到每次請求都能兌換一次；後量子版本則需要設法讓一次兌換可以用在多次請求上。

查看同分類最新消息

• 科技新聞