fibemate.net
(Nginx Reverse Proxy)
TLS 1.3 . HSTS . OCSP Stapling
+--------------------------------------------------+
| |
[Path A: TLS Hybrid] [Path C-2: App Hybrid] [Static Assets]
X25519MLKEM768 SM2+ML-KEM-768 www/ (HTML/JS/CSS)
via oqs-provider via TLS Exporter :80 / :443
| | |
Active 2026-07-17 Active 2026-07-06 Always On
+--------------------------------------------------+
|
+-----------+-----------+
| |
[Stable: Node.js] [Experimental: Rust]
:3001 (PM2) :8080 (Cargo)
v2.21-pq PRODUCTION v0.2-e2ee
X25519MLKEM768 NamedGroup 通过 oqs-provider + systemd override 激活（2026-07-17）。
nginx 原生 NamedGroup 接入已于 2026-07-10 评估不可行（浏览器 TLS 栈不受 JS/WASM 控制 + nginx 无混合协商回调 API），搁置部分为 nginx 原生接入，非 Path A 整体。
SM2 + ML-KEM-768 应用层 KEX（IANA #4590），通过 TLS Exporter + HTTP POST 实现。
E2E 5/5 验证通过，p95=78.5ms。reg-server :3080 (WS) / :3081 (HTTP)。
| 层级 | 技术 | 状态 |
|---|---|---|
| 传输层 | TLS 1.3 · HSTS · Let's Encrypt | Active |
| Path A 混合 KEX | X25519MLKEM768 (oqs-provider) | Active 2026-07-17 |
| Path C-2 混合 KEX | SM2+ML-KEM-768 (IANA #4590) | Active 2026-07-06 |
| 密钥交换 | ML-KEM-768 Hybrid X3DH | Active |
| PQC KEM | ML-KEM-768 (FIPS 203) · SLH-DSA (FIPS 205) | Implemented |
| 国密算法 | SM2/SM3/SM4 | Implemented |
| 侧信道防护 | SM2 TVLA N=10,000 (20/20 PASS) | Verified |
| FPGA 加速 | NTT 256/256 · WNS +0.204ns | v5 Verified |
| 纵深防御 | LookingGlass v2.2 L1-L9 | Research (off by default) |
| 形式化验证 | TLA+ Path C-2 K3 Strong (7/7 invariants) | Verified |
| 时间戳存证 | 76 RFC 3161 TSR (lg-001~071 + lg-074~078) | Granted |
| 特性 | Node.js 生产版 | Rust 实验版 |
|---|---|---|
| 状态 | 稳定运行 | 开发中 |
| 版本 | v2.21-pq | v0.2-e2ee |
| 端口 | 3001 (PM2) | 8080 (Cargo) |
| E2EE | PQ + X3DH + Double Ratchet | PQ + X3DH + Double Ratchet |
| ZK / Bulletproofs | 已集成 | 待迁移 |
| WebSocket | 完整支持 | 已打通 |
| 性能 | 基准 (3,236 rps ML-KEM) | 预期提升 3-5x |
| 代码量 | ~3,100 行 main.js | 模块化架构 |
| 访问方式 | 默认 | 需手动切换 |
Path C-2 并行链路：Browser → TLS Exporter → SM2+ML-KEM-768 KEX → reg-server :3080
| 组件 | 详情 | 状态 |
|---|---|---|
| Nginx | Reverse Proxy + TLS 1.3 Termination | Running |
| oqs-provider | liboqs 0.12.0 + oqs-provider 0.12.0-dev | Active (systemd override) |
| Node.js | v2.21-pq (PM2 managed, :3001) | Stable |
| reg-server | :3080 (WS) / :3081 (HTTP) | Running |
| Rust Backend | v0.2-e2ee (:8080, experimental) | Dev |
| SSL Cert | Let's Encrypt ECDSA + certbot auto-renewal | Valid |
| Server | Aliyun ECS (8.156.77.68) | Online |
76 份 RFC 3161 时间戳（DigiCert + FreeTSA 双源）
序列：lg-001~071 + lg-074~078
全量 Manifest：timestamp-manifest.json (v3, 126 条)