Постквантовое будущее для Let's Encrypt
Let's Encrypt стремится к созданию устойчивой к постквантовым технологиям инфраструктуры открытых ключей (PKI) для веб-сети. Мы планируем использовать сертификаты на основе дерева Меркла («MTC»), новый подход, который добавляет постквантовую аутентификацию в веб-среду без ущерба для скорости и надежности, благодаря которым TLS стал универсальным протоколом.
В этом посте речь пойдёт об этих планах и о том, почему мы считаем, что MTC (многоканальные телекоммуникационные центры) заслуживают внимания как ключ к постквантовому будущему.
Проблема становится все более актуальной.
В течение последних нескольких лет дискуссия о постквантовой криптографии сводилась к обсуждению шифрования. Логика была проста: злоумышленник, который сегодня записывает зашифрованный трафик, может расшифровать его через несколько лет, когда квантовые компьютеры смогут взломать лежащую в его основе математику. Аутентификация, часть TLS, которая подтверждает, что сервер действительно тот, за кого себя выдает, была менее актуальной проблемой. Квантовому компьютеру необходимо подделывать подпись в реальном времени, а не задним числом, поэтому угрозы аутентификации зависят от существования криптографически значимого квантового компьютера (CRQC).
Этот комфорт постепенно ослабевает. В Соединенных Штатах пакет CNSA 2.0 Агентства национальной безопасности США с 2022 года направляет системы национальной безопасности на внедрение постквантовых алгоритмов в период с 2030 по 2035 год, а проект руководства NIST по переходу предусматривает отказ от RSA-2048 и P-256 после 2030 года и запрет их использования после 2035 года. Дорожная карта Европейского союза нацелена на системы высокого риска к концу 2030 года и на масштабную миграцию к 2035 году. Эти требования не являются прямыми обязательствами для общедоступной инфраструктуры открытых веб-сетей (PKI), но они устанавливают временные рамки на конец десятилетия, к которым уже стремятся поставщики, библиотеки и организации по стандартизации, на которые она опирается.
www.nsa.gov/Cybersecurity/Post-Quantum-Cybersecurity-Resources/
nvlpubs.nist.gov/nistpubs/ir/2024/NIST.IR.8547.ipd.pdf
digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography
В этом году сроки еще больше сократились. Google объявил о миграции своих сервисов к 2029 году, сославшись на ужесточение оценок потенциального появления CRQC. Cloudflare последовал его примеру, подтвердив аналогичное обязательство. Кроме того, Go 1.27 добавляет в стандартную библиотеку ML-DSA, стандартизированную NIST схему постквантовой подписи, что свидетельствует о том, что постквантовые подписи становятся практичной инфраструктурой.
blog.google/innovation-and-ai/technology/safety-security/cryptography-migration-timeline/
blog.cloudflare.com/post-quantum-roadmap/
go.dev/doc/go1.27
Проблема постквантовой аутентификации больше не актуальна для экосистемы Web PKI, и ее следует откладывать. Ключи с длительным сроком службы (корневые центры сертификации, ключи подписи кода, системы идентификации) представляют собой особенно ценные объекты, а для широкого внедрения новых технологий требуются годы, поэтому работу необходимо начинать как можно раньше.
Уникальные особенности веб-PKI
Веб-инфраструктура открытых ключей (PKI) — одно из самых сложных мест для развертывания постквантовых подписей. Причина в её масштабе.
ML-DSA-44, одна из самых компактных схем постквантовой подписи, стандартизированных NIST, имеет подпись длиной примерно 2420 байт. Алгоритмы, используемые сегодня в Web PKI, значительно меньше. Подписи RSA-2048 занимают 256 байт, а подписи ECDSA-P256 — 64 байта. Открытые ключи также больше: 1312 байт для ML-DSA-44, 256 байт для RSA-2048 и 64 байта для ECDSA-P256. Типичное рукопожатие Web PKI сегодня включает пять подписей и два открытых ключа. Замена их на эквиваленты ML-DSA приведет к тому, что одно рукопожатие TLS превысит 10 килобайт. Исследования Cloudflare показали, что при таком масштабе значительная часть TLS-соединений в реальных сетях выходит из строя, а остальные замедляются.
blog.cloudflare.com/another-look-at-pq-signatures/
Увеличение длины рукопожатия повлияет на все TLS-соединения, а не только на те, которые могут завершиться неудачей. Это приведет к ограничению пропускной способности, замедлению соединения и ухудшению пользовательского опыта — и все это в обмен на защиту от угрозы, которая еще не материализовалась. Включение этой функции по умолчанию — это слишком высокая цена, а именно настройки по умолчанию обеспечивают реальный уровень безопасности в масштабах веб-приложений.
Сертификаты дерева Меркла
За последний год появилась новая технология, называемая сертификатами дерева Меркла («MTC»), и мы считаем, что это перспективный путь развития постквантовой инфраструктуры открытых ключей для веб-технологий.
Вместо того чтобы выдавать сертификаты по одному и подписывать каждый из них индивидуально, центр сертификации MTC выдает сертификаты партиями, при этом одна подпись охватывает всю партию. Браузеры получают актуальную информацию об этих подписях партии (называемых «ориентирами») отдельно от рукопожатия TLS.
В типичном случае весь путь аутентификации при рукопожатии MTC состоит из одной подписи, одного открытого ключа и одного подтверждения включения. Это меньше, чем рукопожатие Web PKI, даже несмотря на то, что MTC используют постквантовые алгоритмы. Другой случай — это «автономная» форма. Она использует немного более длинные рукопожатия в качестве резервного варианта, когда контрольная точка клиента устарела.
MTC — это не только оптимизация размера. Поскольку каждый сертификат является частью опубликованного дерева Меркла, прозрачность становится свойством самого процесса выдачи. Современная экосистема прозрачности сертификатов создается постфактум: сертификаты выдаются центрами сертификации, затем регистрируются отдельно, а дополнительные подписи добавляются в процесс установления соединения TLS для подтверждения этой регистрации. В случае с MTC сертификат не может существовать вне дерева Меркла. Прозрачность сертификатов встроена в него.
Для нас это не совсем новая область. Let's Encrypt использует журналы прозрачности сертификатов с 2019 года. Эти журналы представляют собой деревья Меркла с возможностью добавления данных, ту же самую базовую структуру данных, на которой построены MTC, и которую мы используем в производственной среде в больших масштабах уже много лет.
letsencrypt.org/docs/ct-logs/
Cloudflare и Chrome уже проводят экспериментальную проверку возможности использования MTC на реальном интернет-трафике. Рабочая группа PLANTS IETF работает над стандартизацией этого подхода. Chrome объявил, что MTC являются предпочтительным способом добавления постквантовых сертификатов в публичный интернет.
blog.cloudflare.com/bootstrap-mtc/
datatracker.ietf.org/wg/plants/about/
Наши планы
Мы планируем поддерживать сертификаты на основе дерева Меркла как перспективное направление для постквантовой веб-инфраструктуры открытых ключей (PKI). Мы рассчитываем создать тестовую среду для выдачи сертификатов Меркла к концу 2026 года, а готовую к использованию в производственной среде — к 2027 году.
Это непростая задача. Выпуск MTC в масштабах Let's Encrypt требует существенных изменений во всей нашей инфраструктуре: в нашей системе выпуска, в протоколе ACME, который наши подписчики используют для получения сертификатов, в инструментах отзыва и эксплуатации, а также в инфраструктуре журналов прозрачности, которую включают в себя MTC. Мы участвуем в рабочих группах IETF PLANTS и ACME по мере формирования стандартов.
Наряду с работой над MTC, мы отслеживаем стандарты для подписей ML-DSA в X.509 RFC 9881 и TLS draft-ietf-tls-mldsa а также работу в экосистеме, от которой это зависит, например, добавление ML-DSA в стандартную библиотеку Go. Переход веб-PKI к постквантовой безопасности требует, чтобы все это появилось в браузерах, библиотеках и клиентах ACME, независимо от того, будут ли в конечном итоге предоставлены сертификаты MTC или сертификаты X.509, подписанные ML-DSA.
www.rfc-editor.org/rfc/rfc9881
datatracker.ietf.org/doc/draft-ietf-tls-mldsa/
Что это значит, если вы используете Let's Encrypt?
Сегодня ничего не меняется. Ваши текущие сертификаты Let's Encrypt будут по-прежнему выдаваться и продлеваться точно так же, как и всегда. Когда появятся постквантовые сертификаты от Let's Encrypt, они будут предоставляться так же, как и всегда: бесплатно, автоматически и доступны любому пользователю с клиентом ACME.
Переход займет время. Стандарты все еще находятся в стадии доработки, базовые программы еще определяют свои требования, и инженерные работы должны быть интегрированы в более широкую экосистему (браузеры, библиотеки, клиенты ACME), прежде чем все это будет иметь значение в масштабах всей системы. Мы будем держать сообщество в курсе по мере продвижения работы и уточнения сроков.
Если вы используете ACME-клиент или управляете конвейером выдачи сертификатов на основе ACME, сейчас самое время начать отслеживать работу рабочей группы PLANTS и обсуждения в списке рассылки mtcs@chromium.org Некоторые из грядущих изменений потребуют поддержки на стороне клиента, и экосистема выиграет от клиентов, готовых к поддержке на стороне выпуска сертификатов.
Замечание о более широком постквантовом переходе
Для всего интернет-сообщества: постквантовое шифрование — более актуальная проблема, поскольку любое TLS-соединение без постквантового обмена ключами потенциально может быть использовано для последующей расшифровки. Если вы используете серверы, убедитесь, что они поддерживают гибридный постквантовый обмен ключами (X25519MLKEM768). Основные браузеры и операционные системы уже поддерживают его, и включение этой функции на сервере — одно из самых эффективных действий, которые вы можете предпринять в этом году.
В заключение
С 2013 года мы создаём инфраструктуру для общедоступного интернета, исходя из принципа, что безопасность должна быть доступна каждому, автоматически и бесплатно. Квантово-цифровой переход — это смена поколений в том, как эта безопасность работает «под капотом».
