‏کلادفلر CA می‌شه و Merkle Tree Certificate صادر می‌کنه

وقتی یه آدرس رو تو مرورگر می‌زنی، چیزی که تضمین می‌کنه به سایت درست وصل شدی Web PKI هست، یعنی همون شبکهٔ سیاست‌ها و پروتکل‌ها و اپراتورهایی که هویت سایت‌ها رو تأیید می‌کنن. کلادفلر می‌گه این اکوسیستم حالا با یه چالش تازه روبروست: رسیدن کامپیوتر کوانتومی، که باعث شده مهاجرت به رمزنگاری پست‌کوانتومی (PQ) تا ۲۰۲۹ هدف‌گذاری بشه. مشکل اینه که جاگذاری سادهٔ PQ تو گواهی‌ها در مقیاس اینترنت افت عملکرد غیرقابل‌قبولی می‌سازه.

ریشهٔ مشکل حجمه. WebPKI باید حدود یک میلیارد سرور TLS رو تأیید کنه بدون این‌که کلید عمومی هر سرور از قبل تو هر کلاینت نشسته باشه، و راه سنتی برای این کار زنجیرهٔ گواهی بوده. با اضافه شدن چک ابطال کلید و certificate transparency، یه هندشیک معمولی TLS الان پنج امضا و دو کلید جابه‌جا می‌کنه. امضاهای PQ حدود ۴۰ برابر بزرگ‌تر از کلاسیک هستن، و طبق برآورد کلادفلر حجم داده‌ای که لاگ‌های CT باید ذخیره کنن هم ۴۰ برابر می‌شه.

جواب Merkle Tree Certificates یا MTC هست، یه پیش‌نویس از گروه کاری PLANTS در IETF. MTC گواهی‌ها رو دسته‌دسته تو یه درخت Merkle فقط‌افزودنی می‌چینه و CA به‌جای امضای هزاران گواهی، فقط ریشهٔ اون درخت رو امضا می‌کنه. کلاینت با یه inclusion proof (یه رشتهٔ کوتاه از هش‌ها) بررسی می‌کنه که گواهی واقعاً تو درخته. ایدهٔ محوری این جمله‌ست: «چیزی که صادر می‌کنی رو لاگ نکن، با لاگ کردن صادر کن.» یعنی شفافیت از یه افزودنی به شرط کارکرد تبدیل می‌شه.

MTC دو شکل داره و هر دو تو قالب X.509 جا می‌شن، فقط با یه الگوریتم امضای «عجیب». تو شکل standalone، مقدار امضا شامل یه tree head هم‌امضاشده و inclusion proof هست. تو شکل landmark-relative، اگه کلاینت tree headها رو از راه دیگه‌ای مثل آپدیت مرورگر گرفته باشه، امضا فقط همون proof سبکه و هیچ امضای سنگین PQ تو هندشیک رد و بدل نمی‌شه. کلادفلر می‌گه سرورها باید همیشه یه standalone به‌عنوان fallback نگه دارن، چون کلاینت ممکنه تازه‌نصب یا آفلاین باشه.

از نظر عملیاتی، CA همون کار قبلی رو می‌کنه: کنترل دامنه رو تأیید می‌کنه و کلید رو به دامنه گره می‌زنه. تفاوتش اینه که حالا خودش یه لاگ شفافیت روی درخت Merkle نگه می‌داره، هر بار checkpoint امضا می‌کنه و برای یه mirroring cosigner می‌فرسته که نسخه‌ای از لاگ رو نگه می‌داره و فقط‌افزودنی بودنش رو چک می‌کنه. پیش‌نویس سیاست روت‌استور کروم حداقل دو هم‌امضا می‌خواد: یکی از یه mirror مستقل، یکی از خود CA. ACME کلادفلر یه fork از Boulder (نرم‌افزار Let's Encrypt) می‌شه و mirror روی Azul پیاده می‌شه.

آزمایش امسال با کروم نشون داد ایده کار می‌کنه: کلادفلر یه «bootstrap CA» ساخت و برای ۵۰ درصد کاربران Chrome Beta 146 میلیاردها MTC سرو کرد. تو حالت landmark-relative هندشیک فقط یه کلید، یه امضا و یه inclusion proof زیر ۱ کیلوبایت جابه‌جا می‌کنه و در میانه ۹ درصد سریع‌تر از زنجیرهٔ کلاسیک بود؛ خودشون می‌گن بیشتر این سود از حذف گواهی میانی می‌آد. تست با امضاهای کلاسیک انجام شده، پس با PQ انتظار بهبود بیشتری دارن. این آزمایش آگوست ۲۰۲۶ جمع شد.

نکات کلیدی:

• کلادفلر CA خودش رو راه می‌ندازه و صدور استاندارد MTC رو رایگان ارائه می‌ده
• هدف: ورود به Quantum-resistant Root Store کروم تا اوایل ۲۰۲۷
• امضاهای پست‌کوانتومی حدود ۴۰ برابر بزرگ‌ترن و حجم لاگ‌های CT رو هم ۴۰ برابر می‌کنن
• MTC ریشهٔ یه درخت Merkle رو امضا می‌کنه، نه تک‌تک گواهی‌ها؛ اعتبارسنجی با inclusion proof انجام می‌شه
• حالت landmark-relative هندشیک رو به یک کلید، یک امضا و یه proof زیر ۱ کیلوبایت می‌رسونه
• آزمایش با Chrome Beta 146 در میانه ۹ درصد سرعت بیشتر داد، عمدتاً از حذف گواهی میانی
• ACME کلادفلر fork از Boulder می‌شه و mirroring cosigner روی Azul با پروتکل tlog mirror از c2sp