Cloudflare đã thông báo về việc thành lập tổ chức cấp chứng chỉ (CA) riêng, nhằm mục đích cung cấp chứng chỉ TLS miễn phí sử dụng các thuật toán mã hóa chống lượng tử. Họ cũng thông báo về việc mua lại GlobalSign, một CA sẽ đóng vai trò là nền tảng cho dự án và cho phép cấp chứng chỉ ngay lập tức với phạm vi phủ sóng thiết bị tối đa, nhờ sự hiện diện của GlobalSign trong các danh sách chứng chỉ gốc hiện có. Hơn nữa, Cloudflare đã nộp đơn xin đưa chứng chỉ gốc của mình vào danh sách chứng chỉ gốc do Google, Apple, Microsoft và Mozilla duy trì.
Tổ chức cấp chứng chỉ (CA) mới, có thể truy cập công khai, dự kiến sẽ bổ sung cho Let's Encrypt, hiện đang nắm giữ khoảng 39.2% thị phần CA dựa trên số lượng chứng chỉ đã cấp. Việc phụ thuộc vào một CA duy nhất cho gần một nửa số trang web tạo ra rủi ro hệ thống trong trường hợp Let's Encrypt gặp sự cố do thiếu các lựa chọn thay thế miễn phí tương tự. Giống như Let's Encrypt, Cloudflare sẽ được tự động hóa hoàn toàn và cho phép quản lý chứng chỉ bằng giao thức ACME mở. Để nhận chứng chỉ từ Cloudflare, người dùng Let's Encrypt chỉ cần thay đổi URL trong phần cài đặt.
Mục tiêu thứ hai của CA mới là chuẩn bị cho quá trình chuyển đổi sang mật mã hậu lượng tử. Vào quý 1 năm 2027, Cloudflare dự kiến sẽ là một trong những đơn vị đầu tiên triển khai hỗ trợ định dạng chứng chỉ Merkle Tree Certificate (MTC) đơn giản hóa trong CA của mình. Định dạng này được thiết kế để sử dụng với các thuật toán mật mã hậu lượng tử, có kích thước chữ ký số lớn hơn khoảng 40 lần so với chữ ký truyền thống.
Để giảm kích thước dữ liệu của mỗi kết nối TLS, MTC sử dụng cấu trúc cây Merkle, trong đó mỗi nhánh xác minh tất cả các nhánh và nút bên dưới thông qua hàm băm được chia sẻ (giống như cây). Trong khi phương pháp truyền thống yêu cầu CA ký từng chứng chỉ riêng lẻ, với MTC, các chứng chỉ được kết hợp và thêm vào nhật ký dựa trên cây Merkle, và chỉ có hàm băm gốc được ký. Với phương pháp này, việc có hàm băm cuối cùng cho phép xác minh rằng một chứng chỉ cụ thể được bao gồm trong cây đã ký hiện tại. Khi kết nối với một trang web, trình duyệt nhận được một chứng chỉ MTC rút gọn và một tập hợp các hàm băm để chứng minh về mặt toán học việc chứng chỉ đó được bao gồm trong cây, cho phép máy khách xác minh tính xác thực của trang web bằng cách xác nhận rằng chứng chỉ đó thực sự nằm trong cây đã ký.
Trung tâm cấp chứng chỉ (CA) của Cloudflare sẽ hỗ trợ cả chứng chỉ truyền thống và chứng chỉ MTC, cho phép người dùng chuyển đổi liền mạch sang định dạng mới. Dự án dự kiến sẽ được ra mắt công khai sau khi thử nghiệm cơ sở hạ tầng mới trên các dịch vụ nội bộ của Cloudflare. Cloudflare cam kết đảm bảo tính minh bạch hoàn toàn trong các quy trình của mình tại CA mới, công bố các bản dựng có thể tái tạo của phần mềm được sử dụng để tạo chữ ký số, chứng thực các mô-đun bảo mật phần cứng (HSM) lưu trữ khóa riêng và nhanh chóng tiết lộ thông tin về các vấn đề và sự cố.
Nguồn: opennet.ru
