Cloudflare je najavio stvaranje vlastitog tijela za izdavanje certifikata (CA), s ciljem pružanja besplatnih TLS certifikata korištenjem kvantno otpornih kriptografskih algoritama. Također je najavio akviziciju GlobalSigna, CA-a koji će poslužiti kao temelj projekta i omogućiti trenutno izdavanje certifikata s maksimalnom pokrivenošću uređaja, zahvaljujući GlobalSignovoj prisutnosti na postojećim popisima korijenskih certifikata. Nadalje, Cloudflare je podnio zahtjev za uključivanje vlastitog korijenskog certifikata na popise korijenskih certifikata koje održavaju Google, Apple, Microsoft i Mozilla.
Očekuje se da će novi javno dostupni CA nadopuniti Let's Encrypt, koji drži procijenjenih 39.2% udjela CA-ova po izdanim certifikatima. Oslanjanje na jedan CA za gotovo polovicu svih web stranica stvara sistemske rizike u slučaju kvarova Let's Encrypta zbog nedostatka sličnih besplatnih alternativa. Poput Let's Encrypta, Cloudflare će biti potpuno automatiziran i omogućit će upravljanje certifikatima pomoću otvorenog ACME protokola. Da bi dobili certifikat od Cloudflarea, korisnici Let's Encrypta jednostavno će trebati promijeniti URL u postavkama.
Drugi cilj novog CA je priprema za prijelaz na postkvantnu kriptografiju. U prvom kvartalu 2027. Cloudflare planira biti među prvima koji će implementirati podršku za pojednostavljeni format certifikata Merkle Tree Certificate (MTC) u svom CA. Ovaj format je dizajniran za korištenje s postkvantnim kriptografskim algoritmima, čija je veličina digitalnog potpisa približno 40 puta veća od tradicionalnih potpisa.
Kako bi se smanjila veličina podataka svake TLS veze, MTC koristi strukturu Merkle stabla, u kojoj svaka grana provjerava sve temeljne grane i čvorove putem dijeljenog (stablastog) hashiranja. Dok u tradicionalnom pristupu CA potpisuje svaki certifikat pojedinačno, s MTC-om se certifikati kombiniraju i dodaju u zapisnik na temelju Merkle stabla, a potpisuje se samo korijensko hashiranje. S ovom shemom, konačno hashiranje omogućuje provjeru je li određeni certifikat uključen u trenutno potpisano stablo. Prilikom povezivanja s web-stranicom, preglednik prima skraćeni MTC certifikat i skup hashova kako bi matematički dokazao njegovo uključivanje u stablo, omogućujući klijentu da provjeri autentičnost web-stranice potvrđujući da se certifikat doista nalazi u potpisanom stablu.
Cloudflareov CA podržavat će i tradicionalne i MTC certifikate, omogućujući korisnicima nesmetan prijelaz na novi format. Očekuje se da će projekt biti javno pokrenut nakon testiranja nove infrastrukture na Cloudflareovim internim uslugama. Cloudflare se obvezuje osigurati potpunu transparentnost svojih procesa unutar novog CA-a, objavljivati reproducibilne verzije softvera koji se koristi za generiranje digitalnih potpisa, atestirati hardverske sigurnosne module (HSM) koji pohranjuju privatne ključeve i pravovremeno otkrivati informacije o problemima i incidentima.
Izvor: opennet.ru
