Cloudflare har annonceret oprettelsen af sit eget certifikatcenter, der har til formål at tilbyde gratis TLS-certifikater, der bruger kryptografiske algoritmer, som er modstandsdygtige over for kvantecomputere. Samtidig blev opkøbet af certifikatcentret GlobalSign annonceret, som vil fungere som grundlaget for gennemførelsen af det planlagte projekt og straks gøre det muligt at udstede certifikater, der har maksimal dækning af enheder, takket være GlobalSigns tilstedeværelse på de eksisterende lister over rodcertifikater. Desuden har Cloudflare ansøgt om inkludering af sit eget rodcertifikat på listerne over rodcertifikater, der understøttes af Google, Apple, Microsoft og Mozilla.
Det forventes, at det nye offentlige certifikatcenter vil supplere Let’s Encrypt-servicen, hvis andel blandt certifikatcentre vurderes til 39,2% i forhold til antallet af udstedte certifikater. Afhængigheden af næsten halvdelen af webstederne på ét certifikatcenter skaber systemrisici i tilfælde af driftsforstyrrelser i Let’s Encrypt på grund af mangel på lignende gratis alternativer. Ligesom Let’s Encrypt vil Cloudflares service være fuldt automatiseret og gøre det muligt at administrere certifikater ved hjælp af den åbne protokol ACME. For at opnå et certifikat i Cloudflare-servicen skal Let’s Encrypt-brugere blot ændre URL'en i indstillingerne.
Det andet mål for det nye certifikatcenter er at forberede overgangen til postkvantumkryptografi. I første kvartal af 2027 planlægger Cloudflare at være blandt de første til at implementere understøttelsen af den forenklede certifikatform MTC (Merkle Tree Certificates) i sit certifikatcenter, designet til at blive brugt med postkvante kryptografiske algoritmer, hvor størrelsen af den digitale signatur er cirka 40 gange større end størrelsen af traditionelle signaturer.
For reducing data size during each TLS connection, MTC utilizes a tree structure known as the "Merkle Tree," where each branch verifies all underlying branches and nodes through joint (tree-like) hashing. While traditionally a certificate authority signs each certificate individually, MTC combines certificates and adds them to the log based on the Merkle tree, with only the root hash being signed. With this scheme, having the final hash allows one to verify that a specific certificate is included in the current signed tree. When connecting to a website, the browser receives a condensed MTC certificate and a set of hashes for mathematical proof of its inclusion in the tree, enabling clients to verify the site's authenticity based on the confirmation that the certificate is indeed within the signed tree.
The Cloudflare Certificate Authority will support both traditional and MTC certificates, allowing users to smoothly transition to the new format. A public launch of the project is expected after the testing of the new infrastructure on Cloudflare's internal services is completed. Cloudflare commits to ensuring full transparency in the processes of the new certificate authority, publishing reproducible builds of the software used for generating digital signatures, conducting assessments of the hardware security modules (HSMs) that store private keys, and promptly disclosing information about problems and incidents.
Kilde: opennet.ru
