Cloudflare het die stigting van sy eie sertifikaatowerheid (CA) aangekondig, wat daarop gemik is om gratis TLS-sertifikate te verskaf deur middel van kwantumbestande kriptografiese algoritmes. Dit het ook die verkryging van GlobalSign aangekondig, 'n CA wat as die fondament vir die projek sal dien en die onmiddellike uitreiking van sertifikate met maksimum toesteldekking moontlik sal maak, danksy GlobalSign se teenwoordigheid in bestaande wortelsertifikaatlyste. Verder het Cloudflare aansoek gedoen om sy eie wortelsertifikaat in te sluit in die lyste van wortelsertifikate wat deur Google, Apple, Microsoft en Mozilla onderhou word.
Die nuwe publiek toeganklike sertifikaatverskaffer (CA) sal na verwagting Let's Encrypt aanvul, wat 'n geraamde 39.2%-aandeel van sertifikaatverskaffers volgens uitgereikte sertifikate besit. Om op 'n enkele sertifikaatverskaffer vir byna die helfte van alle webwerwe staat te maak, skep sistemiese risiko's in die geval van Let's Encrypt-mislukkings as gevolg van die gebrek aan soortgelyke gratis alternatiewe. Soos Let's Encrypt, sal Cloudflare ten volle outomaties wees en sertifikaatbestuur moontlik maak met behulp van die oop ACME-protokol. Om 'n sertifikaat van Cloudflare te verkry, sal Let's Encrypt-gebruikers bloot die URL in die instellings moet verander.
Die tweede doelwit van die nuwe CA is om voor te berei vir die oorgang na post-kwantumkriptografie. In die eerste kwartaal van 2027 beplan Cloudflare om onder die eerstes te wees om ondersteuning vir die vereenvoudigde Merkle Tree Certificate (MTC) sertifikaatformaat in sy CA te implementeer. Hierdie formaat is ontwerp vir gebruik met post-kwantumkriptografiese algoritmes, waarvan die digitale handtekeninggrootte ongeveer 40 keer groter is as tradisionele handtekeninge.
Om die datagrootte van elke TLS-verbinding te verminder, gebruik MTC 'n Merkle-boomstruktuur, waarin elke tak alle onderliggende takke en nodusse verifieer deur gedeelde (boomagtige) hashing. Terwyl die CA in 'n tradisionele benadering elke sertifikaat individueel teken, word sertifikate met MTC gekombineer en by 'n logboek gevoeg gebaseer op die Merkle-boom, en slegs die wortelhash word geteken. Met hierdie skema laat die finale hash 'n mens toe om te verifieer dat 'n spesifieke sertifikaat in die tans getekende boom ingesluit is. Wanneer 'n blaaier aan 'n webwerf gekoppel word, ontvang dit 'n verkorte MTC-sertifikaat en 'n stel hashes om die insluiting daarvan in die boom wiskundig te bewys, wat die kliënt toelaat om die webwerf se egtheid te verifieer deur te bevestig dat die sertifikaat inderdaad in die getekende boom is.
Cloudflare se CA sal beide tradisionele en MTC-sertifikate ondersteun, wat gebruikers toelaat om naatloos na die nuwe formaat oor te skakel. Die projek sal na verwagting publiek bekendgestel word na die toetsing van die nuwe infrastruktuur op Cloudflare se interne dienste. Cloudflare verbind hom daartoe om volle deursigtigheid van sy prosesse binne die nuwe CA te verseker, reproduceerbare weergawes van die sagteware wat gebruik word om digitale handtekeninge te genereer, die hardeware-sekuriteitsmodules (HSM's) wat privaat sleutels stoor, te sertifiseer, en inligting oor probleme en voorvalle onmiddellik bekend te maak.
Bron: opennet.ru
