Cloudflare kuantum güvenli TLS sertifikaları vermeyi planlıyor

Cloudflare Salı günü, genel bir sertifika otoritesine (CA) dönüşmeyi ve kuantum bilgisayar saldırılarından korumalı TLS sertifikaları vermeyi planladığını duyurdu. Bu tür sertifikaları ilk verenler arasında tam da bu şirket yer alacak. Bunun için, klasik ve post-kuantum sertifikaları aynı anda veren açık kaynaklı bir platform kullanacak.

Hibrit sertifikalar hem ücretli hem de ücretsiz paket kullanıcıları için ücretsiz olacak. Kitlesel bir sistem kurmak ve TLS ekosisteminde yaygınlaştırmak için Cloudflare, GlobalSign'dan güvenilir bir root sertifikası satın alıyor. Şirketin açıklamasına göre bu, milyonlarca sitenin tek bir düğmeye basarak post-kuantum sertifikalara geçmesini ve performans kaybı yaşamamasını sağlayacak.

Yeni mimari neden gerekli

Bugünkü X.509 sertifikalarının kuantum korumalı sürümleri, TLS oturumu kurulurken yaklaşık 40 kat daha fazla veri gerektiriyor. Bu hacmin aktarımına internet pratikte dayanamazdı; bu nedenle yalnızca algoritmayı değiştirmek değil, web açık anahtar altyapısını (WebPKI) temelden yeniden yapmak gerekiyor.

Merkle Tree sertifikaları

Şubat ayında Google bir çözüm önerdi: Merkle Tree'ler. Bu hiyerarşik veri yapıları, kriptografik hash'lerle büyük hacimli bilgiyi küçük bir parçası üzerinden doğrular. Google ve Cloudflare'in sınırlı pilot programlarda hâlihazırda denediği yaklaşım, oturum kurulumunu yaklaşık 40 kilobayta kadar düşürüyor; bu da bugünkü seviyeye eşit.

Bugün WebPKI, sertifikanın geçerliliğini kuantum saldırısına karşı savunmasız imzaların uzun bir zinciriyle doğruluyor. Merkle Tree sertifikaları bu zinciri kompakt bir kanıtla değiştiriyor: sertifika otoritesi yalnızca milyonlarca sertifikayı temsil eden tek bir “ağaç başı” imzalıyor. Cloudflare mühendisi Mari Galicer, kaydın verilişle tek bir sistemde birleştiğini, bu nedenle şeffaflığın ayrı bir eklentiden işin zorunlu bir parçasına dönüştüğünü belirtiyor.

Takvim ve sonraki adımlar

Cloudflare, Chrome, Apple, Microsoft ve Mozilla root programlarına katılım başvurusunu çoktan gönderdi ve hedef olarak Chrome'un post-kuantum root programını belirledi. Şirket şu anda sertifika vermiyor. Cloudflare çalışanı Steve Goldsmith, şirketin bu taahhüdü kamuya açık şekilde üstlendiğini, ilerlemeleri aşamalı olarak yayımladığını ve ne yarattığını tam olarak anlattığını söylüyor. Tam geçiş yıllar sürecek, çünkü işletim sistemleri, tarayıcılar, sertifika otoriteleri ve internet altyapısı mühendislerinin çalışması gerekiyor. Cloudflare sertifikaları 2027'nin ilk çeyreğinde vermeyi planlıyor.