Společnost Cloudflare oznámila vytvoření vlastního certifikačního úřadu, který se zaměří na poskytování bezplatných TLS certifikátů využívajících kryptografické algoritmy odolné vůči útokům na kvantových počítačích. Zároveň bylo oznámeno o koupi certifikačního úřadu GlobalSign, který se stane základem pro realizaci plánovaného projektu a umožní okamžité vydávání certifikátů, pro které je zajištěn maximální dosah zařízení díky přítomnosti GlobalSign v existujících seznamu kořenových certifikátů. Kromě toho společnost Cloudflare podala žádosti o zahrnutí vlastního kořenového certifikátu do seznamu kořenových certifikátů podporovaných společnostmi Google, Apple, Microsoft a Mozilla.
Očekává se, že nový veřejný certifikační úřad doplní službu Let’s Encrypt, jejíž podíl mezi certifikačními úřady je odhadován na 39,2 % z počtu vydaných certifikátů. Závislost téměř poloviny webových stránek na jednom certifikačním úřadu vytváří systémová rizika v případě výpadků v provozu služby Let’s Encrypt kvůli absenci podobných bezplatných alternativ. Jako Let’s Encrypt bude služba Cloudflare plně automatizována a umožní spravovat certifikáty pomocí otevřeného protokolu ACME. Pro získání certifikátu ve službě Cloudflare bude uživatelům služby Let’s Encrypt stačit změnit URL v nastavení.
Druhým úkolem nového certifikačního úřadu je příprava na přechod na postkvantovou kryptografii. V 1. čtvrtletí 2027 plánuje společnost Cloudflare jako jedna z prvních implementovat ve svém certifikačním úřadu podporu zjednodušeného formátu certifikátů MTC (Merkle Tree Certificates), určeného pro použití s postkvantovými kryptografickými algoritmy, jejichž velikost digitálního podpisu je přibližně 40krát větší než velikost tradičních podpisů.
Pro zmenšení velikosti dat při každém TLS připojení se v MTC používá stromová struktura "Merkleho strom" (Merkle Tree), ve které každá větev ověřuje všechny podřízené větve a uzly díky společnému (stromovému) hashování. Zatímco při tradičním přístupu certifikační autorita podepisuje každý certifikát individuálně, při využití MTC se certifikáty spojují a přidávají do logu na základě Merkleho stromu a podpisuje se pouze kořenový hash. Při takovém schématu, s konečným hashem, lze ověřit, že konkrétní certifikát je zahrnut v aktuálně podepsaném stromu. Při připojení k webu prohlížeč obdrží zkrácený MTC certifikát a sadu hashů pro matematický důkaz jeho zahrnutí do stromu, což klientovi umožňuje ověřit pravost webu na základě potvrzení, že certifikát se skutečně nachází v podepsaném stromu.
Certifikační autorita Cloudflare bude podporovat jak tradiční, tak MTC certifikáty, což uživatelům umožní plynule přejít na nový formát. Veřejné spuštění projektu se očekává po dokončení testování nové infrastruktury na interních službách Cloudflare. Cloudflare se zavazuje zajistit plnou otevřenost procesů v nové certifikační autoritě, publikovat reprodukovatelné verze softwaru používaného k vytváření digitálních podpisů, provádět certifikaci bezpečnostních hardwarových modulů (HSM), v nichž jsou ukládány soukromé klíče, a okamžitě zveřejňovat informace o problémech a incidentech.
Zdroj: opennet.ru
