Compania Cloudflare a anunțat crearea unui centru de certificare propriu, destinat oferirii de certificate TLS gratuite, care folosesc algoritmi criptografici rezistenți la spargere de către calculatoarele cuantice. De asemenea, a fost anunțată achiziția centrului de certificare GlobalSign, care va servi drept bază pentru implementarea proiectului propus și va permite emiterea imediată de certificate, pentru care este asigurat un grad maximal de acoperire a dispozitivelor, datorită prezenței GlobalSign în listele existente de certificate de rădăcină. În plus, compania Cloudflare a depus cereri pentru includerea propriului certificat de rădăcină în listele de certificate de rădăcină acceptate de Google, Apple, Microsoft și Mozilla.
Se preconizează că noul centru de certificare public va completa serviciul Let’s Encrypt, al cărui cotă de piață printre centrele de certificare este evaluată la 39,2% din numărul certificatelor emise. Dependenta aproape a jumătate din site-uri de un singur centru de certificare creează riscuri sistemice în cazul unor defecțiuni ale serviciului Let’s Encrypt din lipsa unor alternative gratuite similare. La fel ca Let’s Encrypt, serviciul Cloudflare va fi complet automatizat și va permite gestionarea certificatelor folosind protocolul deschis ACME. Pentru a obține un certificat în serviciul Cloudflare, utilizatorii Let’s Encrypt vor trebui să schimbe URL-ul în setări.
A doua sarcină a noului centru de certificare este pregătirea pentru tranziția la criptografia post-cuantică. În primul trimestru din 2027, compania Cloudflare plănuiește să fie una dintre primele care va implementa în centrul său de certificare suportul pentru formatul simplificat de certificate MTC (Merkle Tree Certificates), destinat utilizării cu algoritmi criptografici post-cuanti, dimensiunea semnăturii digitale fiind de aproximativ 40 de ori mai mare decât cea a semnăturilor tradiționale.
Pentru a reduce dimensiunea datelor la fiecare conexiune TLS, MTC utilizează o structură arborească numită „Arbore Merkle”, în care fiecare ramură verifică toate ramurile și nodurile subiacente, datorită hash-ării comune (în arbore). În abordarea tradițională, autoritatea de certificare semnează fiecare certificat în parte, în timp ce, utilizând MTC, certificatele sunt combinate și adăugate în log pe baza arborelui Merkle, semnându-se doar hash-ul rădăcină. Cu un astfel de sistem, având hash-ul final, se poate verifica că un anumit certificat este inclus în arborele semnat actual. Atunci când se conectează la site, browserul primește un certificat MTC comprimat și un set de hash-uri pentru a dovedi matematic includerea sa în arbore, permițând clientului să verifice autenticitatea site-ului pe baza confirmării că certificatul se află într-adevăr în arborele semnat.
Autoritatea de certificare Cloudflare va suporta atât certificate tradiționale, cât și certificate MTC, ceea ce va permite utilizatorilor să treacă ușor la noul format. Lansarea publică a proiectului este așteptată după finalizarea testării noii infrastructuri pe serviciile interne Cloudflare. Cloudflare se angajează să asigure transparența completă a proceselor din noua autoritate de certificare, să publice versiuni reproduceabile ale software-ului utilizat pentru generarea semnăturilor digitale, să efectueze certificarea modulelor hardware de securitate (HSM) în care sunt păstrate cheile private și să dezvăluie rapid informații despre probleme și incidente.
Sursa: opennet.ro
