Podjetje Cloudflare je napovedalo ustanovitev lastnega potrjevalnega centra, ki bo osredotočen na zagotavljanje brezplačnih TLS-certifikatov, ki uporabljajo kriptografske algoritme odporne na kvantno računalništvo. Hkrati so napovedali nakup potrjevalnega centra GlobalSign, ki bo osnova za uresničitev načrtovanega projekta in omogočila takojšnje izdajo certifikatov, za katere je zagotovljen maksimalen doseg naprav, zahvaljujoč prisotnosti GlobalSign na obstoječih seznamih korenskih certifikatov. Poleg tega je podjetje Cloudflare oddalo prijave za vključitev lastnega korenskega certifikata na sezname korenskih certifikatov, ki jih podpirajo Google, Apple, Microsoft in Mozilla.
Predvideva se, da bo novi javni potrjevalni center dopolnil storitev Let’s Encrypt, katere delež med potrjevalnimi centri je ocenjen na 39,2 % po številu izdanih certifikatov. Povezava skoraj polovice spletnih strani na en potrjevalni center ustvarja sistemske tveganja v primeru okvar v delovanju Let’s Encrypt zaradi pomanjkanja podobnih brezplačnih alternativ. Tako kot Let’s Encrypt bo tudi storitev Cloudflare popolnoma avtomatizirana in omogočila upravljanje certifikatov z uporabo odprtega protokola ACME. Za pridobitev certifikata v storitvi Cloudflare bo uporabnikom Let’s Encrypt dovolj spremeniti URL v nastavitvah.
Druga naloga novega potrjevalnega centra je priprava na prehod na postkvantno kriptografijo. V prvem četrtletju leta 2027 namerava podjetje Cloudflare kot eno prvih uvesti v svojem potrjevalnem centru podporo poenostavljenemu formatu certifikatov MTC (Merkle Tree Certificates), ki je zasnovan za uporabo s postkvantnimi kriptografskimi algoritmi, pri čemer je velikost digitalnega podpisa približno 40-krat večja od velikosti tradicionalnih podpisov.
Za zmanjšanje velikosti podatkov ob vsakem TLS-povezovanju uporablja MTC drevesno strukturo „Merkle Tree“, v kateri vsaka veja overja vse spodnje veje in vozlišča, zahvaljujoč skupnemu (drevesnemu) hashanju. Medtem ko tradicionalni pristop overitvenemu centru nalaga podpisovanje vsakega certifikata posebej, pri uporabi MTC, so certifikati združeni in dodani v log na podlagi drevesa Merkle, podpisan pa je le koreninski hash. V takšni shemi, z dohodnim hashom lahko potrdimo, da je določen certifikat vključen v trenutno podpisano drevo. Ob povezovanju na spletno stran spletni brskalnik prejme skrajšan MTC-certifikat in niz hash-ev za matematično dokazovanje njegove vključitve v drevo, kar omogoča stranki, da preveri pristnost spletne strani na podlagi potrditve, da certifikat resnično obstaja v podpisanem drevesu.
Cloudflare bo podpiral tako tradicionalne kot tudi MTC-certifikate, kar bo uporabnikom omogočilo gladek prehod na nov format. Javna predstavitev projekta se pričakuje po zaključku testiranja nove infrastrukture na notranjih storitvah Cloudflare. Cloudflare se zavezuje, da bo zagotovil popolno preglednost procesov v novem overitvenem centru, objavljal reproducibilne različice programske opreme, uporabljene za oblikovanje digitalnih podpisov, izvajal akreditacijo varnostnih strojnih modulov (HSM), v katerih so shranjeni zasebni ključi, in hitro razkrival informacije o težavah in incidentih.
Izvor: opennet.ru
