Cloudflareの耐量子ウェブサイト証明書、2027年初頭に提供開始予定

Cloudflareは、ウェブサイトが通信を暗号化し、その身元を証明するために使用するデジタル証明書を発行する組織である公的認証局（CA）になることを計画しています。同社は、自社のCAが従来の証明書と、Merkle Tree Certificates（MTCs）と呼ばれるポスト量子タイプを発行する予定であり、MTCの本番発行は2027年第1四半期に予定されていると述べました。

Cloudflareは、ウェブの証明書発行の多くが少数の主要なCAに依存しているため、1つの障害や侵害が広範囲に影響を及ぼすと述べています。また、数年以内に今日の暗号を解読できる量子コンピュータが登場すると予想しています。新しい大規模な発行体は最初の問題への回答であり、MTCは2番目の問題への回答です。

ルート証明書は、ブラウザやデバイスにCAを信頼するかどうかを伝えます。Cloudflareは、ソフトウェアアップデートを受けられなくなった古い携帯電話やその他のデバイスで証明書が認識されるよう、GlobalSignから公的に信頼されているルート鍵素材を取得することに合意しました。同社は、慣習的な完了条件に従い、その取引が2か月以内に完了すると予想しています。また、Chrome、Apple、Microsoft、Mozillaのルートプログラムにも申請しており、従来の証明書発行は、その承認プロセスが終了した後にのみ開始されます。4つの申請はすべて保留中です。

「12年前、Cloudflareは何百万ものウェブサイトに対して暗号化を無料かつ自動化しました。今日、私たちはインターネット全体のために、オープンで透明性が高く、信頼できる認証局を構築することで、次の一歩を踏み出します」とCloudflareのCEO兼共同創設者であるMatthew Princeは述べています。「量子コンピュータが暗号を解読できるようになる前にウェブのセキュリティをアップグレードすることは、インターネット史上最大の調整課題の1つです。古いデバイスへのサポートと最新のポスト量子技術を両立させることで、私たちは恒久的なセーフティネットを提供し、何が起きてもインターネットがすべてのデバイスにとって高速で、信頼性が高く、安全であり続けるようにします。」

CloudflareがIETFのドラフト仕様として共同執筆したMTCは、軽量な証明を使用して、証明書が信頼されたレジストリに含まれていることをブラウザが確認できるようにします。ポスト量子署名は重いですが、MTCは接続のたびにそれらを送信することを避けます。CloudflareはまずChromeで実験を行い、それを基に構築を進めています。

Cloudflareはまた、ライブのパブリックヘルスダッシュボードと再現可能なコードビルドも約束しています。同社は、定期的な失効やセキュリティアップデートの際に、何百万ものサイトでバックグラウンドで証明書を置き換えるために、自動更新シグナリング（RFC 9773）を使用する予定です。サイトを運営している方は、強制的な切り替えなしに、1つのシステムで従来の証明書とMTC証明書を管理できることに注意してください。

eBookをダウンロード：Identity-First Threat Intelligence