Cloudflare sertifikat orqanına çevrildi və Merkle Tree sertifikatları buraxacaq

Cloudflare sentyabrın 29-da sertifikat orqanına (CA) çevrildiyini açıqladı. Yeni orqan Merkle Tree Certificates (MTC) buraxacaq və 2027-ci ilin əvvəlində Chrome-un Quantum-resistant Root Store-una daxil olmağı planlaşdırır. MTC-nin buraxılışı pulsuz olacaq.

Web PKI brauzerə düzgün sayta qoşulduğunu yoxlamağı tapşırır. Kvant kompüterləri sənayeni 2029-cu ilə qədər post-quantum (PQ) kriptoqrafiyasına keçməyə sövq etdi.

Niyə model artıq PQ imzalarına tab gətirmir

Təxminən bir milyard TLS serverinin autentifikasiyası üçün CA-lar etimadı paylamaq üçün sertifikat zəncirlərindən istifadə edir. Açar ləğvini yoxlama və certificate transparency (CT) imzaların sayını artırdı: tipik TLS əl sıxması beş imza və iki açar daşıyır. PQ imzaları təxminən 40 dəfə böyükdür və Cloudflare-in qiymətləndirməsinə görə CT loqlarında saxlanacaq məlumatı 40 dəfə artırardı.

Şəffaflıq buraxılışa əlavə olaraq qaldı, buna görə sertifikatlar bir çox loqda dəfələrlə qeyd olunur. Cloudflare 2016-cı ildən Nimbus CT loqlarını idarə edir və indi Raio-nu işə salır.

Merkle Tree Certificates necə işləyir

MTC IETF-in PLANTS işçi qrupunun qaralama spesifikasiyasıdır. Sertifikatlar yalnız əlavə oluna bilən Merkle ağacında birləşir və CA ayrı-ayrı sertifikat yerinə ağacın kökünü imzalayır. Brauzer sertifikatı kompakt inclusion proof ilə, heş ardıcıllığı ilə, imzalanmış tree head-ə qarşı yoxlayır. Cloudflare qaydanı belə ifadə edir: „Buraxdığını loqlaşdırma, loqlaşdırılmışı burax“.

CA hələ də domen nəzarətini yoxlayır və sertifikatlar buraxır, lakin loqların surətini saxlayan və artımı yoxlayan mirroring cosigner-ları da işlədir. Chrome-un Quantum-resistant Root Programı ən azı iki cosignature tələb edir. MTC X.509 formatına sığır: standalone sertifikat cosigned tree head və inclusion proof ehtiva edir, landmark-relative isə yalnız yüngül sübut ehtiva edir.

Chrome ilə eksperiment: milyardlarla sertifikat, 9% daha sürətli

Cloudflare seçilmiş pulsuz domenlərə ənənəvi zəncirə əsaslanan MTC-ləri Chrome Beta 146-nın 50%-nə təqdim edən bootstrap CA işə saldı, cəmi milyardlarla MTC. landmark-relative sertifikat yalnız bir açıq açar, bir imza və 1 კბ-dən qısa inclusion proof tələb edir. Median üzrə landmark MTC klassik zəncirdən 9% daha sürətli oldu. Eksperiment 2026-cı ilin avqustunda dayandırıldı.

Nə açıq qalır

Cloudflare-ə görə açıq sualların cavabı bütün PKI ekosisteminin iştirakını tələb edir: müstəqil monitorlar MTC loqlarını istehsalat miqyasında yoxlaya biləcəkmi, kifayət qədər CA və cosigner görünəcəkmi və brauzerlər landmark sertifikatlarını fallback yolları ilə necə balanslaşdıracaq. Brauzerlər onun CA-sına güvənənə qədər şirkət Chrome-un Quantum Resistant root store-una müraciət etməlidir.