運作方式
部署單一代理程式。看見您擁有的一切。準備好時即可升級。
01
部署
單一執行檔。Linux 上 eBPF 內聯模式可零拷貝擷取；Linux、macOS、Windows 上代理模式可運作於任何主機。無需網路變更、無需端點變更、無需 SDK。
02
盤點
每個 TLS 交握皆被解析並分類。加密套件、版本、金鑰交換、憑證、SNI — 秒級可見於儀表板。依應用程式、環境或合規範圍標記流量。
03
橋接
在儀表板上切換一個設定。代理程式重新協商:一端傳統、另一端後量子。兩端完全無感於自己並非直接通訊。一次遷移一個區段,依您的進度進行。
為什麼此刻重要
PQC 遷移是網路上每個 TLS 端點的強制性轉變。多數組織無法同步移動。
01
混合環境無法同步遷移
您的客戶端執行舊的 TLS 堆疊。您的來源執行新的 — 或相反。沒有橋接,每次升級都需要每個端點同步移動。PQC 將此問題擴大至整個生態系。
02
先攔截、後解密
攻擊者今天截獲加密流量,準備明日用量子電腦解密。您看不見的每個連線都無法保護,每多一天使用傳統密碼,被截獲的資料就多一天。
03
期限近在眼前
CNSA 2.0 要求 2030 年前採用 ML-KEM。M-23-02 與 NSM-10 現已要求密碼盤點。台灣數位部與金管會亦發布相關指引。多數基礎設施仍無法回答「我們正在使用什麼密碼?」
15
已測試的 Linux 發行版
2
傳輸模式 (eBPF 內聯 + 代理)
0
端點無需任何變更
TLS Lane
為加密可視性與後量子遷移打造的單一執行檔 TLS Splice 代理程式。
- 看見每個 TLS 交握 — 加密套件、版本、金鑰交換、憑證、SNI
- 透過儀表板從被動監控切換為主動 Splice,無需重新部署
- 依 SNI 套用政策 — Splice、監控、放行或封鎖,由儀表板推送
- eBPF 內聯模式零拷貝擷取;代理模式可運作於任何主機
- 升級的交握採 X25519+ML-KEM-768 混合 (FIPS 203) 協商,並支援必要回退與純 ML-KEM 模式
- 保留身分的 mTLS — 在邊緣驗證用戶端憑證,並將該身分傳遞至源伺服器
- 透過 syslog (RFC 5424) 將交握事件轉送至你的 SIEM
- 每日 PQC 就緒度評分,依應用程式與區段呈現趨勢
- 領域標記:合規範圍、環境、稽核軌跡歸屬
- 自動代理程式更新,透過 HTTPS 並以 SHA-256 驗證
開源:ticketconnect
TLS Lane 站在路徑之中,而 ticketconnect 站在行程之旁 — 一種站在路徑之外的開源做法,為無法自行協商後量子金鑰的老舊 TLS 用戶端補上那份金鑰,而且完全不用動它。
- 把一份 TLS 1.3 恢復用工作階段安裝進一個未經修改的 OpenSSL 用戶端 — 不改程式碼、映像檔或部署
- 一支 eBPF uprobe 偵測連線;
ptrace只用公開的 OpenSSL API 完成安裝 — 絕不碰私有結構偏移量,因此記憶體破壞這整類臭蟲根本無從發生 - 站在資料路徑之外 — 沒有 proxy、沒有 sidecar;用戶端自己的下一條連線便以 PQC 為根的 PSK(X25519MLKEM768)恢復
- 失敗即關閉,且不做無聲降級 — 未命中就退回一般 TLS 並發出事件
- 在真實的 Kubernetes 叢集上驗證過:未經修改的用戶端連續 111 次恢復,並在線路上得到證實
- 一個雙容器、最小權限的 DaemonSet。採 MIT 授權,是一個誠實、實驗性的 v1
為驅動遷移的法規而建構
您的稽核人員會詢問這些 — TLS Lane 是您指向的答案。
CNSA 2.0
NSA 商用國家安全演算法套件 — 2030 年前須採用 ML-KEM
M-23-02
OMB 備忘錄,要求聯邦機構盤點密碼系統
NSM-10
國家安全備忘錄,推動抗量子密碼學
FIPS 203
NIST 批准的 ML-KEM 標準 (原 Kyber) — TLS Lane 協商的金鑰封裝機制
數位部
台灣數位發展部 — 政府機關 PQC 遷移指引
金管會
台灣金融監督管理委員會 — 金融機構密碼標準