A Cloudflare bejelentette a saját hitelesítő központjának létrehozását, amely ingyenes TLS-tanúsítványok biztosítására összpontosít, kvantumszámítógépekkel szemben ellenálló kriptográfiai algoritmusokkal. Ezzel egyidejűleg bejelentették a GlobalSign hitelesítő központ megvásárlását, amely alapját képezi a tervezett projekt megvalósításának, és lehetővé teszi az azonnali tanúsítványkiadást, amely maximális eszközborítottsággal rendelkezik, köszönhetően a GlobalSign jelenlétének a meglévő gyökértanúsítványok listáiban. Ezen kívül a Cloudflare pályázatot nyújtott be a saját gyökértanúsítványának a Google, az Apple, a Microsoft és a Mozilla által támogatott gyökértanúsítványok listájába való felvételére.
Becslések szerint az új nyilvános hitelesítő központ kiegészíti a Let’s Encrypt szolgáltatást, amely 39,2%-os részesedéssel bír a hitelesítő központok között a kiadott tanúsítványok számát tekintve. Számos weboldal, amely egyetlen hitelesítő központra támaszkodik, rendszerkockázatokat teremt a Let’s Encrypt működési zavarai esetén, mivel nincs hasonló ingyenes alternatíva. A Cloudflare szolgáltatása, akárcsak a Let’s Encrypt, teljesen automatizált lesz, és lehetővé teszi a tanúsítványok kezelését az ACME nyílt protokollon keresztül. A Cloudflare szolgáltatásában a Let’s Encrypt felhasználóinak elegendő lesz megváltoztatniuk az URL-t a beállításokban a tanúsítvány megszerzéséhez.
Az új hitelesítő központ második feladata a poszt-kvantum kriptográfiára való áttérés előkészítése. A Cloudflare 2027 első negyedévében tervezi, hogy az elsők között valósítja meg a saját hitelesítő központjában az MTC (Merkle Tree Certificates) egyszerűsített tanúsítványformátum támogatását, amely poszt-kvantum kriptográfiai algoritmusokkal való használatra lett kifejlesztve, digitális aláírásának mérete körülbelül 40-szer nagyobb a hagyományos aláírások méreténél.
A TLS connection in MTC utilizes a tree structure known as a 'Merkle Tree' to reduce data size, where each branch verifies all underlying branches and nodes through joint (tree-like) hashing. While a traditional approach requires the certificate authority to sign each certificate individually, MTC allows certificates to be combined and added to a log based on the Merkle Tree, with only the root hash being signed. This way, having the final hash ensures that a specific certificate is included in the current signed tree. When connecting to a site, the browser receives a shortened MTC certificate and a set of hashes for mathematical proof of its inclusion in the tree, enabling the client to verify the site's authenticity based on confirmation that the certificate is indeed in the signed tree.
The Cloudflare certificate authority will support both traditional and MTC certificates, allowing users to transition smoothly to the new format. The public launch of the project is expected after the new infrastructure undergoes testing on Cloudflare's internal services. Cloudflare is committed to ensuring full transparency in the processes of the new certificate authority, publishing reproducible software builds used for generating digital signatures, certifying the hardware security modules (HSM) that store private keys, and promptly disclosing information about issues and incidents.
Forrás: opennet.ru
