„Cloudflare“ paskelbė apie savo sertifikatų tarnybos (CA) sukūrimą, kurios tikslas – teikti nemokamus TLS sertifikatus, naudojant kvantiniams algoritmams atsparius kriptografinius algoritmus. Ji taip pat paskelbė apie „GlobalSign“ įsigijimą. Ši CA bus projekto pagrindas ir leis nedelsiant išduoti sertifikatus su maksimalia įrenginių aprėptimi, nes „GlobalSign“ yra esamuose šakninių sertifikatų sąrašuose. Be to, „Cloudflare“ pateikė paraišką įtraukti savo šakninį sertifikatą į „Google“, „Apple“, „Microsoft“ ir „Mozilla“ tvarkomus šakninių sertifikatų sąrašus.
Tikimasi, kad nauja viešai prieinama CA papildys „Let's Encrypt“, kuriai priklauso apie 39.2 % visų išduotų CA. Pasikliovimas vienu CA beveik pusei visų svetainių sukuria sisteminę riziką „Let's Encrypt“ gedimų atveju, nes nėra panašių nemokamų alternatyvų. Kaip ir „Let's Encrypt“, „Cloudflare“ bus visiškai automatizuota ir leis valdyti sertifikatus naudojant atvirąjį ACME protokolą. Norėdami gauti sertifikatą iš „Cloudflare“, „Let's Encrypt“ naudotojams tereikės pakeisti URL nustatymuose.
Antrasis naujosios CA tikslas – pasirengti perėjimui prie postkvantinės kriptografijos. 2027 m. pirmąjį ketvirtį „Cloudflare“ planuoja būti viena pirmųjų, įdiegusių supaprastinto „Merkle Tree“ sertifikato (MTC) formato palaikymą savo CA. Šis formatas skirtas naudoti su postkvantiniais kriptografiniais algoritmais, kurių skaitmeninio parašo dydis yra maždaug 40 kartų didesnis nei tradicinių parašų.
Siekdamas sumažinti kiekvieno TLS ryšio duomenų dydį, MTC naudoja „Merkle Tree“ struktūrą, kurioje kiekviena šaka patikrina visas pagrindines šakas ir mazgus naudodamas bendrą (medžio tipo) maišą. Nors tradiciniu būdu CA kiekvieną sertifikatą pasirašo atskirai, MTC atveju sertifikatai sujungiami ir pridedami prie žurnalo, pagrįsto „Merkle Tree“, ir pasirašoma tik šakninė maiša. Taikant šią schemą, turint galutinę maišą, galima patikrinti, ar konkretus sertifikatas yra įtrauktas į šiuo metu pasirašytą medį. Prisijungdama prie svetainės, naršyklė gauna sutrumpintą MTC sertifikatą ir maišų rinkinį, kad matematiškai įrodytų jo įtraukimą į medį, o tai leidžia klientui patikrinti svetainės autentiškumą, patvirtinant, kad sertifikatas iš tiesų yra pasirašytame medyje.
„Cloudflare“ sertifikatų teikimo institucija (CA) palaikys tiek tradicinius, tiek MTC sertifikatus, leisdama vartotojams sklandžiai pereiti prie naujojo formato. Tikimasi, kad projektas bus viešai paleistas po to, kai bus išbandyta nauja infrastruktūra „Cloudflare“ vidinėse paslaugose. „Cloudflare“ įsipareigoja užtikrinti visišką savo procesų skaidrumą naujojoje CA, publikuoti atkuriamus skaitmeninių parašų generavimo programinės įrangos variantus, patvirtinti aparatinės įrangos saugumo modulius (HSM), kuriuose saugomi privatūs raktai, ir nedelsiant atskleisti informaciją apie problemas ir incidentus.
Šaltinis: opennet.ru
