Cloudflare, kuantum dirençli kriptografik algoritmalar kullanarak ücretsiz TLS sertifikaları sağlamayı amaçlayan kendi sertifika otoritesini (CA) kurduğunu duyurdu. Ayrıca, projenin temelini oluşturacak ve GlobalSign'ın mevcut kök sertifika listelerinde yer alması sayesinde maksimum cihaz kapsamıyla sertifikaların anında verilmesini sağlayacak bir CA olan GlobalSign'ı satın aldığını da açıkladı. Dahası, Cloudflare, kendi kök sertifikasının Google, Apple, Microsoft ve Mozilla tarafından tutulan kök sertifika listelerine dahil edilmesi için başvuruda bulundu.
Yeni, herkese açık sertifika yetkilisi (CA), verilen sertifikalar bakımından CA'ların tahmini %39.2'lik payına sahip olan Let's Encrypt'i tamamlaması bekleniyor. Tüm web sitelerinin neredeyse yarısı için tek bir CA'ya güvenmek, benzer ücretsiz alternatiflerin olmaması nedeniyle Let's Encrypt arızaları durumunda sistemik riskler yaratıyor. Let's Encrypt gibi Cloudflare de tamamen otomatik olacak ve açık ACME protokolünü kullanarak sertifika yönetimine olanak sağlayacak. Cloudflare'den sertifika almak için Let's Encrypt kullanıcılarının ayarlar bölümündeki URL'yi değiştirmeleri yeterli olacak.
Yeni CA'nın ikinci hedefi, kuantum sonrası kriptografiye geçişe hazırlanmaktır. Cloudflare, 2027'nin ilk çeyreğinde, CA'sında basitleştirilmiş Merkle Ağacı Sertifikası (MTC) formatına destek sağlayan ilk şirketlerden biri olmayı planlıyor. Bu format, dijital imza boyutu geleneksel imzalardan yaklaşık 40 kat daha büyük olan kuantum sonrası kriptografik algoritmalarla kullanılmak üzere tasarlanmıştır.
Her TLS bağlantısının veri boyutunu azaltmak için MTC, her dalın paylaşılan (ağaç benzeri) karma işlemiyle tüm alt dalları ve düğümleri doğruladığı bir Merkle Ağacı yapısı kullanır. Geleneksel bir yaklaşımda, CA her sertifikayı ayrı ayrı imzalarken, MTC ile sertifikalar birleştirilir ve Merkle Ağacına dayalı bir günlüğe eklenir ve yalnızca kök karma değeri imzalanır. Bu şema ile, son karma değerine sahip olmak, belirli bir sertifikanın şu anda imzalanmış ağaçta yer aldığını doğrulamayı sağlar. Bir web sitesine bağlanırken, tarayıcı kısaltılmış bir MTC sertifikası ve ağaca dahil edildiğini matematiksel olarak kanıtlayan bir dizi karma değeri alır; bu da istemcinin sertifikanın gerçekten imzalanmış ağaçta olduğunu doğrulayarak web sitesinin orijinalliğini doğrulamasını sağlar.
Cloudflare'ın Sertifika Yetkilisi (CA), hem geleneksel hem de MTC sertifikalarını destekleyerek kullanıcıların yeni formata sorunsuz bir şekilde geçiş yapmasını sağlayacak. Projenin, Cloudflare'ın dahili hizmetlerinde yeni altyapının test edilmesinin ardından kamuya açık olarak başlatılması bekleniyor. Cloudflare, yeni CA içindeki süreçlerinin tam şeffaflığını sağlamayı, dijital imzaları oluşturmak için kullanılan yazılımın tekrarlanabilir sürümlerini yayınlamayı, özel anahtarları depolayan donanım güvenlik modüllerini (HSM) onaylamayı ve sorunlar ve olaylar hakkında bilgileri derhal açıklamayı taahhüt eder.
Kaynak: opennet.ru
