Cloudflare lance sa propre autorité de certification ouverte

Cloudflare, l'un des acteurs majeurs de l'infrastructure web mondiale, a annoncé son intention de créer sa propre autorité de certification (CA) publique et de fournir indépendamment des certificats TLS gratuits pour les sites web. Cette démarche vise à réduire la dépendance envers les fournisseurs tiers pour la sécurité internet et à accroître la stabilité des services. C'est ce que rapporte Ixbt.com. rapporte .

Selon ixbt.com, l'entreprise a déjà soumis les demandes officielles pour inclure ses certificats racines dans les programmes de confiance des plateformes leaders telles que Chrome, Apple, Microsoft et Mozilla. Afin d'assurer une compatibilité totale avec les anciens appareils, Cloudflare a conclu un accord pour acquérir un certificat racine existant de GlobalSign. Ce certificat est pris en charge par la majorité des navigateurs et systèmes d'exploitation depuis 2012.

Solutions techniques et mécanismes de sécurité

L'un des plus grands défis des nouvelles autorités de certification est que la distribution des certificats racines sur tous les appareils prend des années, et que les équipements obsolètes ne les reçoivent parfois jamais. Le certificat GlobalSign permet d'éviter de tels problèmes, garantissant une compatibilité avec la plus large gamme d'appareils. Parallèlement, Cloudflare développe ses propres certificats racines entièrement nouveaux, conformes aux exigences des futurs navigateurs et systèmes d'exploitation.

Les processus d'obtention et de renouvellement des certificats seront entièrement automatisés via le protocole ouvert ACME, activement utilisé par d'autres autorités gratuites. Cloudflare souligne que les utilisateurs des solutions actuelles n'auront pas besoin d'installer de nouveaux outils ou de reconstruire une infrastructure serveur complexe ; il suffira simplement de modifier l'adresse du répertoire ACME.

Stabilité du réseau et sécurité future

Actuellement, une part importante des certificats gratuits sur internet repose sur un nombre limité de fournisseurs. Par exemple, le service Let's Encrypt dessert plus de 500 millions de sites et émet près de 10 millions de certificats par jour. Cloudflare avertit qu'une défaillance majeure dans de tels centres pourrait nuire au réseau mondial, soulignant la nécessité d'une solution alternative et évolutive.

L'entreprise promet d'assurer un haut niveau de fiabilité et de transparence dans son nouveau centre. En particulier, des builds reproductibles du logiciel seront publiés, des informations sur les modules matériels de sécurité (HSM) utilisés pour le stockage des clés seront divulguées, et un tableau de bord public sera lancé pour surveiller les incidents.

Préparation à la cryptographie post-quantique

En se tournant vers les technologies futures, Cloudflare se prépare activement à l'ère de la cryptographie post-quantique. L'entreprise prévoit d'être l'une des premières autorités à émettre des certificats Merkle Tree Certificates (MTC). Les premiers documents de ce type sont attendus pour le premier trimestre 2027.

Bien que les certificats TLS traditionnels ne perdent pas leur importance, les MTC servent de mécanisme d'authentification plus compact pour les chaînes de grande taille requises par la sécurité post-quantique. En combinant les normes WebPKI classiques et MTC au sein d'un service unique, Cloudflare vise à assurer une transition progressive pour les utilisateurs.