A Cloudflare anunciou a criação de seu próprio centro de certificação, focado na oferta de certificados TLS gratuitos que utilizam algoritmos criptográficos resistentes à quebra por computadores quânticos. Ao mesmo tempo, foi anunciada a aquisição do centro de certificação GlobalSign, que servirá de base para a implementação do projeto planejado e permitirá a emissão imediata de certificados, para os quais haverá a maior cobertura de dispositivos, devido à presença da GlobalSign nas listas existentes de certificados raiz. Além disso, a Cloudflare solicitou a inclusão de seu próprio certificado raiz nas listas de certificados raiz suportadas pelo Google, Apple, Microsoft e Mozilla.
Espera-se que o novo centro de certificação público complemente o serviço Let’s Encrypt, cuja participação entre os centros de certificação é estimada em 39,2% do total de certificados emitidos. A dependência de quase metade dos sites em um único centro de certificação cria riscos sistêmicos em caso de falhas no funcionamento do Let’s Encrypt devido à falta de alternativas gratuitas semelhantes. Assim como o Let’s Encrypt, o serviço da Cloudflare será totalmente automatizado e permitirá a gestão de certificados utilizando o protocolo aberto ACME. Para obter um certificado no serviço da Cloudflare, os usuários do Let’s Encrypt precisarão apenas alterar a URL nas configurações.
A segunda tarefa do novo centro de certificação é se preparar para a transição para a criptografia pós-quântica. No primeiro trimestre de 2027, a Cloudflare planeja ser uma das primeiras a implementar em seu centro de certificação o suporte a um formato simplificado de certificados MTC (Merkle Tree Certificates), projetado para uso com algoritmos criptográficos pós-quânticos, cujo tamanho da assinatura digital é cerca de 40 vezes maior do que o tamanho das assinaturas tradicionais.
Para reduzir o tamanho dos dados em cada conexão TLS no MTC, uma estrutura em árvore chamada "Árvore de Merkle" (Merkle Tree) é utilizada, onde cada ramo verifica todos os ramos e nós subordinados, graças à hashing conjunta (em árvore). Enquanto na abordagem tradicional a autoridade certificadora assina cada certificado individualmente, com o uso do MTC, os certificados são agregados e adicionados ao log com base na árvore de Merkle, sendo apenas o hash raiz que é assinado. Com esse esquema, ao ter o hash final, pode-se verificar que um certificado específico está incluído na árvore assinada atual. Ao conectar-se a um site, o navegador recebe um certificado MTC reduzido e um conjunto de hashes para prova matemática de sua inclusão na árvore, permitindo que o cliente verifique a autenticidade do site com base na confirmação de que o certificado realmente está na árvore assinada.
A autoridade certificadora Cloudflare irá suportar tanto certificados tradicionais quanto MTC, permitindo que os usuários façam a transição para o novo formato de forma suave. O lançamento público do projeto está previsto para ocorrer após a conclusão dos testes da nova infraestrutura nos serviços internos da Cloudflare. A Cloudflare se compromete a garantir total transparência dos processos na nova autoridade certificadora, publicando compilações de software reproduzíveis utilizadas para a geração de assinaturas digitais, realizando a certificação dos módulos de segurança de hardware (HSM) que armazenam as chaves privadas e revelando rapidamente informações sobre problemas e incidentes.
Fonte: opennet.ru
