Cloudflare annonserte opprettelsen av sin egen sertifikatmyndighet (CA), med sikte på å tilby gratis TLS-sertifikater ved hjelp av kvanteresistente kryptografiske algoritmer. De annonserte også oppkjøpet av GlobalSign, en CA som vil tjene som grunnlag for prosjektet og muliggjøre umiddelbar utstedelse av sertifikater med maksimal enhetsdekning, takket være GlobalSigns tilstedeværelse i eksisterende rotsertifikatlister. Videre har Cloudflare søkt om å få sitt eget rotsertifikat inkludert i listene over rotsertifikater som vedlikeholdes av Google, Apple, Microsoft og Mozilla.
Den nye offentlig tilgjengelige sertifikatutstederen forventes å utfylle Let's Encrypt, som har en anslått andel på 39.2 % av sertifikatutstedere etter utstedte sertifikater. Å være avhengig av én enkelt sertifikatutsteder for nesten halvparten av alle nettsteder skaper systemiske risikoer i tilfelle Let's Encrypt-feil på grunn av mangelen på lignende gratis alternativer. I likhet med Let's Encrypt vil Cloudflare være helautomatisert og tillate sertifikatadministrasjon ved hjelp av den åpne ACME-protokollen. For å få et sertifikat fra Cloudflare, trenger Let's Encrypt-brukere ganske enkelt å endre URL-en i innstillingene.
Det andre målet med den nye CA-en er å forberede overgangen til postkvantekryptografi. I første kvartal 2027 planlegger Cloudflare å være blant de første til å implementere støtte for det forenklede Merkle Tree Certificate (MTC)-sertifikatformatet i sin CA. Dette formatet er utviklet for bruk med postkvantekryptografiske algoritmer, hvis digitale signaturstørrelse er omtrent 40 ganger større enn tradisjonelle signaturer.
For å redusere datastørrelsen til hver TLS-tilkobling bruker MTC en Merkle-trestruktur, der hver gren verifiserer alle underliggende grener og noder gjennom delt (trelignende) hashing. Mens CA i en tradisjonell tilnærming signerer hvert sertifikat individuelt, kombineres sertifikater med MTC og legges til i en logg basert på Merkle-treet, og bare rot-hashen signeres. Med denne ordningen lar den endelige hashen en bekrefte at et spesifikt sertifikat er inkludert i det signerte treet. Når man kobler til et nettsted, mottar nettleseren et forkortet MTC-sertifikat og et sett med hasher for matematisk å bevise dets inkludering i treet, slik at klienten kan bekrefte nettstedets autentisitet ved å bekrefte at sertifikatet faktisk er i det signerte treet.
Cloudflares CA vil støtte både tradisjonelle og MTC-sertifikater, slik at brukere kan gå over til det nye formatet sømløst. Prosjektet forventes å bli offentlig lansert etter testing av den nye infrastrukturen på Cloudflares interne tjenester. Cloudflare forplikter seg til å sikre full åpenhet om prosessene sine innenfor den nye CA-en, publisere reproduserbare versjoner av programvaren som brukes til å generere digitale signaturer, attestere maskinvaresikkerhetsmodulene (HSM-ene) som lagrer private nøkler, og raskt offentliggjøre informasjon om problemer og hendelser.
Kilde: opennet.ru
