Cloudflare stvara certifikacijsko tijelo za besplatnu distribuciju TLS certifikata

Tvrtka Cloudflare najavila je osnivanje vlastitog certifikacijskog tijela usmjerenog na pružanje besplatnih TLS certifikata koji koriste kriptoalgoritme otporne na kvantno hakiranje. Istovremeno je najavljena kupnja certifikacijskog tijela GlobalSign, koje će postati osnova za realizaciju predviđenog projekta i omogućiti odmah izdavanje certifikata za koje je osigurana maksimalna pokrivenost uređaja, zahvaljujući prisutnosti GlobalSign na postojećim popisima korijenskih certifikata. Pored toga, tvrtka Cloudflare podnijela je zahtjeve za uključivanje vlastitog korijenskog certifikata u popise korijenskih certifikata koje podržavaju Google, Apple, Microsoft i Mozilla.

Predviđa se da će novo javno certifikacijsko tijelo dopuniti uslugu Let’s Encrypt, čiji udio među certifikacijskim tijelima iznosi 39,2% u broju izdanih certifikata. Oslanjanje gotovo polovice web stranica na jedno certifikacijsko tijelo stvara sustavne rizike u slučaju kvarova u radu Let’s Encrypt zbog nedostatka sličnih besplatnih alternativa. Kao i Let’s Encrypt, usluga Cloudflare bit će potpuno automatizirana i omogućit će upravljanje certifikatima koristeći otvoreni protokol ACME. Da bi dobili certifikat u usluzi Cloudflare, korisnicima Let’s Encrypt bit će dovoljno promijeniti URL u postavkama.

Drugi zadatak novog certifikacijskog tijela je priprema za prijelaz na postkvantnu kriptografiju. U prvom kvartalu 2027. godine, tvrtka Cloudflare planira među prvim implementirati podršku za pojednostavljeni format certifikata MTC (Merkle Tree Certificates) u svom certifikacijskom tijelu, koji je namijenjen korištenju s postkvantnim kriptoalgoritmima, a veličina digitalnog potpisa otprilike je 40 puta veća od veličine tradicionalnih potpisivanja.

Kako bi se smanjila veličina podataka pri svakom TLS povezivanju, u MTC-u se koristi stablo Merkle (Merkle Tree), u kojem svaka grana verificira sve niže grane i čvorove, zahvaljujući zajedničkom (stablo) heširanju. Dok tradicionalni pristup uključuje potpisivanje svakog certifikata pojedinačno od strane certifikacijskog tijela, pri korištenju MTC-a certifikati se kombiniraju i dodaju u log temeljen na Merkleovom stablu, a potpisuje se samo korijenski heš. Ovom shemom, posjedujući konačni heš, može se potvrditi da je određeni certifikat uključen u trenutno potpisano stablo. Kada se poveže s web stranicom, preglednik prima skraćeni MTC certifikat i skup heševa radi matematičkog dokaza o njegovom uključivanju u stablo, što omogućuje klijentu da provjeri autentičnost web stranice na temelju potvrde da se certifikat zaista nalazi u potpisanom stablu.

Certifikacijsko tijelo Cloudflare će podržavati kako tradicionalne, tako i MTC certifikate, što će korisnicima omogućiti glatki prijelaz na novi format. Javno lansiranje projekta očekuje se nakon završetka testiranja nove infrastrukture na internim uslugama Cloudflare-a. Cloudflare se obvezuje osigurati potpunu otvorenost procesa u novom certifikacijskom tijelu, objavljivati reproducibilne verzije softvera koji se koristi za formiranje digitalnih potpisa, provoditi certifikaciju sigurnosnih hardverskih modula (HSM) u kojima se pohranjuju privatni ključevi i pravovremeno otkrivati informacije o problemima i incidentima.

Izvor: opennet.ru