Cloudflare je najavio stvaranje vlastitog certifikacijskog tijela (CA), s ciljem pružanja besplatnih TLS certifikata korištenjem kvantno otpornih kriptografskih algoritama. Također je najavljena akvizicija GlobalSign-a, CA-a koji će poslužiti kao osnova za projekat i omogućiti trenutno izdavanje certifikata s maksimalnom pokrivenošću uređaja, zahvaljujući GlobalSign-ovom prisustvu na postojećim listama root certifikata. Nadalje, Cloudflare je podnio zahtjev za uključivanje vlastitog root certifikata na liste root certifikata koje održavaju Google, Apple, Microsoft i Mozilla.
Očekuje se da će novi javno dostupni CA dopuniti Let's Encrypt, koji drži procijenjenih 39.2% udjela CA-ova po izdatim certifikatima. Oslanjanje na jedan CA za gotovo polovinu svih web stranica stvara sistemske rizike u slučaju kvarova Let's Encrypt-a zbog nedostatka sličnih besplatnih alternativa. Poput Let's Encrypt-a, Cloudflare će biti potpuno automatiziran i omogućit će upravljanje certifikatima korištenjem otvorenog ACME protokola. Da bi dobili certifikat od Cloudflare-a, korisnici Let's Encrypt-a će jednostavno trebati promijeniti URL u postavkama.
Drugi cilj novog CA je priprema za prelazak na postkvantnu kriptografiju. U prvom kvartalu 2027. godine, Cloudflare planira biti među prvima koji će implementirati podršku za pojednostavljeni format certifikata Merkle Tree Certificate (MTC) u svom CA. Ovaj format je dizajniran za upotrebu s postkvantnim kriptografskim algoritmima, čija je veličina digitalnog potpisa približno 40 puta veća od tradicionalnih potpisa.
Da bi se smanjila veličina podataka svake TLS veze, MTC koristi strukturu Merkle stabla, u kojoj svaka grana provjerava sve temeljne grane i čvorove putem dijeljenog (stablastog) heširanja. Dok u tradicionalnom pristupu CA potpisuje svaki certifikat pojedinačno, kod MTC-a se certifikati kombiniraju i dodaju u dnevnik na osnovu Merkle stabla, a potpisuje se samo korijensko heširanje. S ovom shemom, posjedovanje konačnog heša omogućava provjeru da li je određeni certifikat uključen u trenutno potpisano stablo. Prilikom povezivanja na web stranicu, preglednik prima skraćeni MTC certifikat i skup heševa kako bi matematički dokazao njegovo uključivanje u stablo, omogućavajući klijentu da provjeri autentičnost web stranice potvrđujući da se certifikat zaista nalazi u potpisanom stablu.
Cloudflareov CA će podržavati i tradicionalne i MTC certifikate, omogućavajući korisnicima nesmetan prelazak na novi format. Očekuje se da će projekat biti javno pokrenut nakon testiranja nove infrastrukture na Cloudflareovim internim servisima. Cloudflare se obavezuje da će osigurati potpunu transparentnost svojih procesa unutar novog CA, objavljivati reproducibilne verzije softvera koji se koristi za generiranje digitalnih potpisa, atestirati hardverske sigurnosne module (HSM) koji pohranjuju privatne ključeve i blagovremeno otkrivati informacije o problemima i incidentima.
izvor: opennet.ru
