Cloudflare loob tasuta TLS-sertifikaatide väljastamiseks tõenduskeskuse.

Cloudflare kuulutas välja oma usalduskeskuse loomise, mille eesmärk on pakkuda tasuta TLS-sertifikaate, kasutades kvantkompuuterite rünnakutele vastupidavaid krüptoalgoritme. Samuti kuulutati välja GlobalSigni usalduskeskuse omandamine, mis saab aluseks kavandatud projekti elluviimiseks ning võimaldab kohe väljastada sertifikaate, millel on maksimaalne seadmete kattuvus, tänu GlobalSigni olemasolule olemasolevates juurerakenduste loetelu. Lisaks on Cloudflare esitanud taotlusi oma juurerakenduse lisamiseks Google'i, Apple'i, Microsofti ja Mozilla toetatavate juurerakenduste loetellu.

Eeldatakse, et uus avalik usalduskeskus täiendab Let’s Encrypt teenust, mille osa usalduskeskuste seas on hinnanguliselt 39,2% välja antud sertifikaadist. Peaaegu poole veebisaitidest sõltumine ühest usalduskeskusest loob süsteemseid riske, kui Let’s Encrypti teenus ebaõnnestub, kuna ei ole sarnaseid tasuta alternatiive. Nagu Let’s Encrypt, on Cloudflare teenus täielikult automatiseeritud ja võimaldab sertifikaate hallata, kasutades avatud protokolli ACME. Sertifikaadi saamiseks Cloudflare teenusest piisab Let’s Encrypti kasutajatelt vaid URL-i muutmisest seadistustes.

Uue usalduskeskuse teine ​​ülesanne on valmistuda üleminekuks postkvantse krüptograafia peale. 2027. aasta esimeses kvartalis plaanib Cloudflare olla üks esimesi, kes rakendab oma usalduskeskuses MTC (Merkle Tree Certificates) lihtsustatud sertifikaatide vormingu toetust, mis on mõeldud postkvantsete krüptoalgoritmidega kasutamiseks, mille digitaalsete allkirjade suurus on umbes 40 korda suurem kui traditsiooniliste allkirjade suurus.

Andmete suuruse vähendamiseks igas TLS-ühenduses kasutatakse MTC-s Merkle'i puu struktuuri, kus iga haru kinnitab kõiki alumisi harusid ja sõlmi tänu ühisele (puu) hashimisele. Kui traditsioonilises lähenemises allkirjastab sertifitseerimiskeskus iga sertifikaadi eraldi, siis MTC kasutamisel liidetakse sertifikaadid ja lisatakse Merkle'i puu alusel logisse, allkirjastades vaid juure hash. Sellise skeemi puhul, omades lõplikku hash'i, on võimalik veenduda, et konkreetne sertifikaat on kaasatud praegusse allkirjastatud puusse. Veebisaidile ühendudes saab brauser lühendatud MTC-sertifikaadi ja hulga hash'e matemaatilise tõenduse jaoks selle kaasamise kohta puusse, mis võimaldab kliendil kontrollida saidi autentsust, tuginedes kinnitusele, et sertifikaat on tõepoolest allkirjastatud puus.

Cloudflare'i sertifitseerimiskeskus toetab nii traditsioonilisi kui ka MTC-sertifikaate, mis võimaldab kasutajatel sujuvalt uuele formaadile üle minna. Projekti avalik käivitus on oodata pärast uue infrastruktuuri testimise lõpetamist Cloudflare'i sise teenustes. Cloudflare kohustub tagama täieliku läbipaistvuse uue sertifitseerimiskeskuse protsessides, avaldama reprodutseeritavad tarkvarakogumid, mida kasutatakse digitaalsete allkirjade genereerimiseks, läbi viima riistvara turvaseadmestike (HSM) sertifitseerimist, kus hoitakse privaatseid võtmeid, ja kiiresti avaldama teavet probleemide ja intsidentide kohta.

Allikas: opennet.ru