Cloudflare rilascerà certificati SSL che saranno a prova di computer quantistico

Cloudflare diventerà una Certificate Authority che potrà rilasciare certificati SSL e sarà tra i primi a usare la crittografia post-quantistica per farlo. Per fare ciò, Cloudflare acquisirà una radice fidata, ovvero la base della catena di firme crittografiche che dà valore ai certificati, da GlobalSign.

Cloudflare diventerà una CA con certificati post-quantistici

Fonte: Wikipedia

L'annuncio di Cloudflare di voler diventare una Certificate Authority arriva in un momento in cui il settore sta ancora valutando come affrontare la minaccia in arrivo da parte dei computer quantistici. Sebbene non ci sia ancora un dispositivo in grado di rompere i sistemi crittografici alla base delle comunicazioni su Internet, diverse realtà (inclusa la stessa Cloudflare) puntano a passare alla crittografia post-quantistica entro il 2029 per evitare qualunque rischio.

Parte di questo percorso è il passaggio a metodi crittografici post-quantistici anche per quanto riguarda i certificati SSL, usati da applicazioni e sistemi operativi per validare le connessioni; l'esempio tipico è quello del browser quando ci si collega al sito della propria banca, ma tali certificati sono usati anche per l'autenticazione di dispositivi e applicazioni.

I computer quantistici saranno in grado di rompere il sistema e creare certificati fasulli indistinguibili da quelli reali, motivo per cui il settore si sta muovendo per trovare un'alternativa: a febbraio Google ha annunciato di aver trovato una soluzione, gli alberi di Merkle, che risolve elegantemente molti problemi. Il primo è quello della dimensione della catena di firme: usando i metodi tradizionali con i cifrari post-quantistici si ottiene un incremento nel traffico iniziale di 40 volte, che risulterebbe insostenibile. Dall'altro lato, c'è anche l'aspetto della trasparenza: con il nuovo sistema, ogni volta che un nuovo certificato viene creato, viene anche pubblicata la relativa transazione su un registro pubblico. Ciò rende più facile verificare se un certificato è genuino.

Gli alberi di Merkle consentono di ottenere maggiore sicurezza rispetto ai certificati classici pur mantenendo grossomodo inalterato il traffico generato per lo scambio iniziale di informazioni; il modo in cui il sistema funziona, infatti, prevede che vengano scambiati dei frammenti dei certificati e che l'autorità centrale invii una prova crittografica solo della presenza del certificato richiesto nell'albero, pur mantenendo intatto il livello di sicurezza grazie a operazioni matematiche complesse.

Cloudflare punta a implementare il proprio sistema di rilascio dei certificati usando gli alberi di Merkle usando un approccio duplice: da un lato acquisendo una radice da GlobalSign, così che i certificati risultino compatibili e affidabili anche con dispositivi vecchi e non aggiornati; dall'altro creando una nuova radice che sarà mano a mano implementata nei dispositivi dopo aver completato un processo d'inclusione tramite i principali sviluppatori di browser (Apple, Google, Microsoft e Mozilla). I certificati saranno rilasciati in due versioni con entrambe le radici, così che la compromissione di una delle due non porti a disservizi.

Dal momento che nei prossimi anni ci sarà una riduzione nella validità temporale dei certificati, che arriverà ad appena 47 giorni, Cloudflare intende gestire la situazione rilasciando certificati solo qualora il richiedente utilizzi un sistema automatico di richiesta e rinnovo (ACME, Automated Certificate Management Environment).

Cloudflare ha comunicato che intende rilasciare i primi certificati post-quantistici all'inizio del 2027.