Cloudflare планирует выпускать TLS-сертификаты, устойчивые к квантовым компьютерам

Cloudflare объявила, что планирует выпускать TLS-сертификаты, устойчивые к атакам квантовых компьютеров. Об этом компания сообщила во вторник, и, как отмечает Ars Technica, это делает её одним из первых удостоверяющих центров, готовых выдавать такие сертификаты. Речь идёт о криптографии, которая, по широко распространённому мнению, способна выдержать атаки квантовых вычислительных машин.

Провайдер интернет-инфраструктуры намерен использовать открытую платформу, выпускающую как классические TLS-сертификаты, так и их постквантовый аналог — Merkle Tree Certificates. Гибридные сертификаты будут бесплатны и для платящих, и для неплатящих пользователей. Чтобы построить масштабную систему и обеспечить её повсеместное распространение в обширной экосистеме TLS, Cloudflare приобретёт уже доверенный корневой сертификат у удостоверяющего центра GlobalSign. По словам компании, это позволит миллионам сайтов перейти на постквантовые сертификаты «щелчком выключателя» и без дополнительных накладных расходов на производительность.

Фундаментальные архитектурные изменения

Планы Cloudflare — часть крупной перестройки веб-инфраструктуры открытых ключей (WebPKI), необходимой для того, чтобы шифрование и аутентификация сайтов оставались безопасными в грядущую постквантовую эпоху. Главная сложность — использовать квантово-устойчивые подписи, которые можно легко передавать во время веб-запросов и фиксировать в логах прозрачности, чтобы сайтам не выдавались поддельные сертификаты. Перестройка займёт годы, поскольку требует работы множества инженеров, проектирующих операционные системы, браузеры, удостоверяющие центры и интернет-инфраструктуру.

«Мы пока не выпускаем сертификаты, и до этого пройдёт ещё некоторое время», — написал сотрудник Cloudflare Стив Голдсмит.

По его словам, компания публично берёт на себя обязательство выполнить эту работу, делится этапами по мере их завершения и рассказывает, что именно строит, взаимодействуя с корневыми программами и другими участниками сообщества WebPKI.

Защита WebPKI от квантовых атак — сложная задача, требующая фундаментальных архитектурных изменений, а не простой замены алгоритмов. Квантово-устойчивые версии нынешних классических сертификатов X.509 добавили бы примерно в 40 раз больше данных, необходимых для TLS-рукопожатия, которое происходит каждый раз, когда браузер или другое приложение устанавливает новую сессию с сервером. Дополнительные вычисления и пропускная способность, требуемые для такой системы, сломали бы интернет в его нынешнем виде.

Решение на основе деревьев Меркла

В феврале Google объявила о решении — деревьях Меркла. Эти иерархические структуры данных используют криптографические хеши и другую математику, чтобы проверять содержимое больших объёмов информации, задействуя лишь малую долю их содержимого. Дизайн, который Google и Cloudflare тестировали в ограниченных пилотных программах, снижает объём данных рукопожатия примерно до 40 килобайт — примерно столько же, сколько обрабатывается сейчас.

Современная WebPKI опирается на многоступенчатую цепочку квантово-уязвимых подписей для подтверждения подлинности сертификата. Поскольку замена подписей на квантово-устойчивые слишком ресурсозатратна, цепочки заменяются компактными доказательствами на деревьях Меркла. Чтобы завершить такое доказательство, удостоверяющий центр подписывает лишь одну «голову дерева», которая может представлять миллионы сертификатов. В большинстве случаев данные, с которыми работает браузер, — это «ориентир», облегчённое доказательство того, что сертификат находится где-то в дереве.

Правила отрасли требуют публиковать TLS-сертификаты в распределённых реестрах, доступных только для добавления, — публичных логах прозрачности. Владельцы сайтов проверяют логи в реальном времени, чтобы убедиться, что для их доменов не выпущено мошеннических сертификатов. Программы прозрачности были внедрены в ответ на взлом нидерландской DigiNotar в 2011 году, который позволил выпустить 500 поддельных сертификатов для Google и других сайтов; некоторые из них использовались для слежки за пользователями в Иране.

Как только алгоритм Шора станет работоспособным, он сможет подделывать классические подписи шифрования и открытые ключи логов сертификатов. В конечном счёте злоумышленник мог бы подделать подписанные метки времени сертификатов, которыми браузеру или операционной системе доказывается, что сертификат был зарегистрирован, хотя на самом деле это не так.

В нынешней системе PKI обновления выполняются добавлением нового звена в цепочку подписей. Деревья Меркла дают доказательство цепочки подписей, не перечисляя явно каждое отдельное звено. У этого дизайна есть и другое важное преимущество. В сегодняшней системе логи прозрачности — процесс, отдельный от выпуска сертификатов. С Merkle Tree Certificates логирование, напротив, становится核心 частью выпуска.

«Связывая выпуск и логирование, прозрачность становится требованием для работы, а не дополнением», — сказала инженер Cloudflare Мэри Галисер.

Другие элементы плана

В плане Cloudflare есть и ряд других решений. Одно из них — Automated Certificate Management Environment (ACME), открытый механизм выпуска сертификатов и их непрерывного продления незадолго до истечения срока. Квантово-устойчивые сертификаты также предусмотрят механизм отправки подписей вне основного канала — например, через обновление браузера, — если упавший сервер или другая техническая проблема помешает получить обновление ориентира. Cloudflare заявила, что рассчитывает начать выпуск сертификатов в первом квартале 2027 года.

Что это значит

Анонс Cloudflare — это заявка на участие в многолетней перестройке WebPKI, а не готовый продукт: компания прямо говорит, что сертификаты пока не выпускаются. Ключевые элементы плана — гибридные Merkle Tree Certificates, приобретение доверенного корневого сертификата у GlobalSign и ориентация на первый квартал 2027 года. Для владельцев сайтов и разработчиков это сигнал, что переход на постквантовую аутентификацию будет постепенным и потребует согласованной работы браузеров, операционных систем и удостоверяющих центров.