Cloudflare သည် အခမဲ့ TLS လက်မှတ်များ ဖြန့်ဝေရန်အတွက် လက်မှတ်အာဏာပိုင်တစ်ခု ဖန်တီးနေပါသည်။

Cloudflare သည် ကွမ်တမ်ခံနိုင်ရည်ရှိသော ကုဒ်ဝှက်စနစ် အယ်လဂိုရီသမ်များကို အသုံးပြု၍ အခမဲ့ TLS လက်မှတ်များ ပေးအပ်ရန် ရည်ရွယ်သည့် ၎င်း၏ကိုယ်ပိုင် လက်မှတ်အာဏာပိုင် (CA) ကို ဖန်တီးကြောင်း ကြေညာခဲ့သည်။ GlobalSign သည် လက်ရှိ root certificate စာရင်းများတွင် ရှိနေခြင်းကြောင့် စီမံကိန်းအတွက် အခြေခံအဖြစ် ဆောင်ရွက်ပေးပြီး အမြင့်ဆုံး device coverage ဖြင့် လက်မှတ်များကို ချက်ချင်းထုတ်ပေးနိုင်စေမည့် CA တစ်ခုဖြစ်သည့် GlobalSign ကို ဝယ်ယူမည်ဟုလည်း ကြေညာခဲ့သည်။ ထို့အပြင် Cloudflare သည် Google၊ Apple၊ Microsoft နှင့် Mozilla တို့မှ ထိန်းသိမ်းထားသော root certificate စာရင်းများတွင် ၎င်း၏ကိုယ်ပိုင် root certificate ကို ထည့်သွင်းရန် လျှောက်ထားခဲ့သည်။

အများသူငှာ အသုံးပြုနိုင်သော CA အသစ်သည် ထုတ်ပေးထားသော လက်မှတ်များအရ CA များ၏ ၃၉.၂% ခန့်ကို ပိုင်ဆိုင်ထားသော Let's Encrypt နှင့် လိုက်ဖက်ညီစေရန် မျှော်လင့်ရသည်။ အလားတူ အခမဲ့ရွေးချယ်စရာများ မရှိခြင်းကြောင့် Let's Encrypt ပျက်ကွက်မှုများ ဖြစ်ပွားပါက ဝဘ်ဆိုက်အားလုံး၏ ထက်ဝက်နီးပါးအတွက် CA တစ်ခုတည်းကို မှီခိုနေရခြင်းသည် စနစ်တကျအန္တရာယ်များကို ဖြစ်ပေါ်စေပါသည်။ Let's Encrypt ကဲ့သို့ပင် Cloudflare သည် အပြည့်အဝ အလိုအလျောက်လုပ်ဆောင်မည်ဖြစ်ပြီး open ACME protocol ကို အသုံးပြု၍ လက်မှတ်စီမံခန့်ခွဲမှုကို ခွင့်ပြုမည်ဖြစ်သည်။ Cloudflare မှ လက်မှတ်ရယူရန် Let's Encrypt အသုံးပြုသူများသည် setting တွင် URL ကို ပြောင်းလဲရန်သာ လိုအပ်ပါသည်။

CA အသစ်ရဲ့ ဒုတိယရည်မှန်းချက်ကတော့ post-quantum cryptography ကို ကူးပြောင်းဖို့အတွက် ပြင်ဆင်ဖို့ပါ။ ၂၀၂၇ ခုနှစ် ပထမသုံးလပတ်မှာ Cloudflare ဟာ သူ့ရဲ့ CA မှာ ရိုးရှင်းတဲ့ Merkle Tree Certificate (MTC) certificate format ကို ပံ့ပိုးပေးမယ့် ပထမဆုံးကုမ္ပဏီတွေထဲက တစ်ခုဖြစ်ဖို့ စီစဉ်ထားပါတယ်။ ဒီ format ကို post-quantum cryptographic algorithms တွေနဲ့ အသုံးပြုရန် ဒီဇိုင်းထုတ်ထားပြီး၊ ဒီ digital signature size ဟာ ရိုးရာ signature တွေထက် ၄၀ ဆခန့် ပိုကြီးပါတယ်။

TLS ချိတ်ဆက်မှုတစ်ခုစီ၏ ဒေတာအရွယ်အစားကို လျှော့ချရန်အတွက် MTC သည် Merkle Tree ဖွဲ့စည်းပုံကို အသုံးပြုပြီး ၎င်းတွင် branch တစ်ခုစီသည် shared (tree-like) hashing မှတစ်ဆင့် underlying branch များနှင့် node အားလုံးကို အတည်ပြုသည်။ ရိုးရာနည်းလမ်းတွင် CA သည် certificate တစ်ခုစီကို MTC ဖြင့် သီးခြားစီ လက်မှတ်ရေးထိုးပြီး certificate များကို ပေါင်းစပ်ကာ Merkle Tree ကိုအခြေခံသည့် log တစ်ခုသို့ ထည့်သွင်းကာ root hash ကိုသာ လက်မှတ်ရေးထိုးသည်။ ဤစနစ်ဖြင့် နောက်ဆုံး hash ရှိခြင်းဖြင့် လက်ရှိလက်မှတ်ရေးထိုးထားသော tree တွင် သတ်မှတ်ထားသော certificate တစ်ခု ပါဝင်ကြောင်း အတည်ပြုနိုင်သည်။ ဝက်ဘ်ဆိုက်တစ်ခုသို့ ချိတ်ဆက်သောအခါ browser သည် tree တွင် ၎င်း၏ပါဝင်မှုကို သင်္ချာနည်းဖြင့် သက်သေပြရန် တိုတောင်းသော MTC certificate နှင့် hash အစုံကို ရရှိပြီး client သည် certificate သည် လက်မှတ်ရေးထိုးထားသော tree တွင် အမှန်တကယ်ရှိကြောင်း အတည်ပြုခြင်းဖြင့် ဝက်ဘ်ဆိုက်၏ စစ်မှန်မှုကို အတည်ပြုနိုင်သည်။

Cloudflare ရဲ့ CA ဟာ ရိုးရာလက်မှတ်နဲ့ MTC လက်မှတ်နှစ်မျိုးလုံးကို ပံ့ပိုးပေးမှာဖြစ်လို့ အသုံးပြုသူတွေဟာ ပုံစံအသစ်ကို ချောမွေ့စွာ ကူးပြောင်းနိုင်မှာဖြစ်ပါတယ်။ Cloudflare ရဲ့ အတွင်းပိုင်းဝန်ဆောင်မှုတွေမှာ အခြေခံအဆောက်အအုံအသစ်ကို စမ်းသပ်ပြီးနောက် ဒီပရောဂျက်ကို အများပြည်သူသိအောင် စတင်နိုင်ဖို့ မျှော်လင့်ရပါတယ်။ Cloudflare ဟာ သူ့ရဲ့ CA အသစ်အတွင်း လုပ်ငန်းစဉ်တွေရဲ့ ပွင့်လင်းမြင်သာမှုအပြည့်အဝရှိစေဖို့၊ ဒစ်ဂျစ်တယ်လက်မှတ်တွေထုတ်ပေးဖို့အသုံးပြုတဲ့ ဆော့ဖ်ဝဲရဲ့ ပြန်လည်ထုတ်လုပ်နိုင်တဲ့ တည်ဆောက်မှုတွေကို ထုတ်ဝေဖို့၊ သီးသန့်သော့တွေကို သိမ်းဆည်းထားတဲ့ ဟာ့ဒ်ဝဲလုံခြုံရေးမော်ဂျူး (HSM) တွေကို အတည်ပြုဖို့နဲ့ ပြဿနာတွေနဲ့ ဖြစ်ရပ်တွေအကြောင်း အချက်အလက်တွေကို ချက်ချင်းထုတ်ဖော်ဖို့ ကတိပြုထားပါတယ်။

source: opennet.ru