In questo articolo Indice dei contenuti 5 sezioni
La sicurezza del web si prepara a un cambiamento che potrebbe coinvolgere l’intera infrastruttura dei certificati digitali. Cloudflare ha annunciato l’intenzione di creare una Certificate Authority pubblica, progettata per emettere sia certificati tradizionali sia certificati Merkle Tree pensati per affrontare l’evoluzione della crittografia nell’era del quantum computing.
In questo modo si può permettere ai siti web di passare gradualmente alla sicurezza post-quantistica, mantenendo nel frattempo la compatibilità con l’infrastruttura esistente e con i dispositivi che non possono essere aggiornati. La nuova CA sarà accompagnata dall’acquisizione da GlobalSign del materiale delle chiavi di una Root CA già pubblicamente attendibile. L’operazione dovrebbe contribuire a rendere i certificati emessi da Cloudflare riconoscibili all’interno dell’ecosistema globale della Web PKI.
Una nuova Certificate Authority per il web
Le Certificate Authority hanno un ruolo centrale nel funzionamento delle connessioni HTTPS, perché verificano l’identità dei siti e permettono di stabilire connessioni crittografate. Secondo Cloudflare, oggi questa infrastruttura è concentrata in un numero relativamente ristretto di emittenti dominanti. La società intende quindi aggiungere un’autorità indipendente e progettata per operare ad alta scalabilità.
Il progetto nasce anche in vista dell’evoluzione del quantum computing, che potrebbe mettere in discussione gli algoritmi crittografici utilizzati dall’infrastruttura web attuale. Cloudflare sostiene che il settore debba prepararsi prima che computer quantistici capaci di compromettere la crittografia oggi utilizzata diventino disponibili. La nuova CA punta per questo a gestire contemporaneamente tecnologie attuali e post-quantistiche, evitando di imporre una sostituzione immediata dell’intero sistema.
Root CA e compatibilità con i dispositivi più vecchi
Uno degli aspetti centrali del progetto riguarda la compatibilità. Smartphone, sistemi operativi e altri dispositivi meno recenti possono infatti continuare a utilizzare sistemi software che non ricevono più aggiornamenti. Per questo motivo Cloudflare prevede di acquisire da GlobalSign il materiale delle chiavi di una Root CA consolidata e pubblicamente attendibile. Un certificato root consente infatti a browser e dispositivi di riconoscere una Certificate Authority come affidabile.
Parallelamente, Cloudflare ha presentato domanda per entrare nei programmi root di Chrome, Apple, Microsoft e Mozilla, seguendo le procedure pubbliche previste dai singoli programmi. L’azienda punta così a ottenere un riconoscimento esteso dei propri certificati anche all’interno dell’hardware legacy, riducendo il rischio che la transizione verso la nuova infrastruttura crei problemi di compatibilità.
I certificati Merkle Tree arrivano sulla nuova infrastruttura
Il progetto comprende anche i Merkle Tree Certificates (MTC), una tecnologia post-quantistica sviluppata per verificare che un certificato sia stato registrato all’interno di un registro attendibile attraverso prove leggere. L’approccio permette di evitare la trasmissione di firme post-quantistiche pesanti a ogni connessione, con l’obiettivo di mantenere contenuti i costi in termini di prestazioni.
Cloudflare ha già condotto con successo un esperimento con Chrome e prevede ora di passare all’emissione di MTC destinati alla produzione. La disponibilità è prevista a partire dal primo trimestre del 2027. I proprietari dei siti potranno inoltre gestire certificati TLS tradizionali e certificati Merkle Tree attraverso un unico sistema, rendendo possibile una migrazione progressiva verso le tecnologie post-quantistiche.
Trasparenza e gestione degli incidenti
Cloudflare vuole differenziare la nuova CA anche sul piano operativo. Il progetto prevede un modello definito dalla società “Glass-Box”, con informazioni tecniche e operative condivise pubblicamente, build del codice riproducibili e un dashboard dedicato allo stato del servizio. Un altro elemento riguarda la gestione degli incidenti. Attraverso i segnali di rinnovo automatizzato previsti dall’RFC 9773, Cloudflare prevede di poter sostituire i certificati in background su milioni di siti. Tutto ciò per ridurre il rischio di interruzioni su larga scala durante le revoche ordinarie oppure in occasione di aggiornamenti di sicurezza.
Quando arriveranno i nuovi certificati
L’emissione dei certificati tradizionali da parte della nuova CA inizierà dopo il completamento della procedura di richiesta e accettazione nei programmi root dei browser. Per gli MTC destinati alla produzione, invece, la tabella indicata da Cloudflare punta al primo trimestre del 2027. L’acquisizione del materiale delle chiavi della Root CA da GlobalSign dovrebbe concludersi nei prossimi due mesi, ma resta soggetta alle condizioni previste per il completamento dell’operazione. Cloudflare ha inoltre previsto la possibilità per proprietari di siti e sviluppatori di seguire gli aggiornamenti tecnici del progetto e registrarsi per ricevere informazioni sull’accesso anticipato.
Fonte: TecnoAndroid
