Cloudflare планує видавати квантово безпечні TLS-сертифікати

Cloudflare у вівторок заявила, що планує перетворитися на публічний центр сертифікації (CA) і видавати TLS-сертифікати, захищені від атак квантових комп’ютерів. Такі сертифікати однією з перших видаватиме саме ця компанія. Для цього вона використовуватиме платформу з відкритим кодом, яка одночасно видає класичні та постквантові сертифікати.

Гібридні сертифікати будуть безкоштовними як для користувачів платного, так і безкоштовного пакета. Щоб побудувати масову систему та поширити її в екосистемі TLS, Cloudflare вже купує довірений root-сертифікат у GlobalSign. За заявою компанії, це дасть мільйонам сайтів змогу перейти на постквантові сертифікати одним натисканням кнопки й не зазнати втрат продуктивності.

Чому потрібна нова архітектура

Квантово захищені версії сучасних сертифікатів X.509 під час встановлення TLS-сесії потребують приблизно в 40 разів більше даних. Передача такого обсягу інтернет практично не витримав би, тому потрібна не проста заміна алгоритму, а фундаментальна перебудова інфраструктури відкритих ключів вебу (WebPKI).

Сертифікати Merkle Tree

У лютому Google запропонувала рішення: Merkle Tree. Ці ієрархічні структури даних за допомогою криптографічних хешів перевіряють великий обсяг інформації через її малу частину. Підхід, який Google і Cloudflare уже тестують в обмежених пілотних програмах, скорочує встановлення сесії приблизно до 40 кілобайт, що дорівнює сучасному показнику.

Сьогодні WebPKI підтверджує справжність сертифіката довгим ланцюгом підписів, уразливих до квантових атак. Сертифікати Merkle Tree замінюють цей ланцюг компактним доказом: центр сертифікації підписує лише одну «голову дерева», яка представляє мільйони сертифікатів. Інженер Cloudflare Mari Galicer зазначає, що реєстрація зливається з видачею в одній системі, тому прозорість із окремого додатка стає обов’язковою частиною роботи.

Терміни та наступні кроки

Cloudflare вже надіслала запит на включення до root-програм Chrome, Apple, Microsoft і Mozilla та ставить за мету постквантову root-програму Chrome. Компанія наразі сертифікати ще не видає. Співробітник Cloudflare Steve Goldsmith каже, що компанія публічно бере на себе це зобов’язання, поетапно публікує досягнення й точно так само розповідає, що створює. Повний перехід триватиме роки, оскільки потрібна робота інженерів операційних систем, браузерів, центрів сертифікації та інтернет-інфраструктури. Cloudflare планує видавати сертифікати в першому кварталі 2027 року.