Cloudflare、耐量子のマークルツリー証明書に対応するパブリック認証局の設立を発表

　Cloudflareは9月29日（米国現地時間）、パブリック認証局（CA）を設立する計画を発表した。新しい認証局は、従来の暗号化方式と次世代の耐量子マークルツリー証明書（MTC）の両方に対応する。あわせて、GlobalSignが保有する既存のルート認証局の鍵情報を取得することで合意した。従来型証明書はブラウザのルートプログラムの承認後に、本番環境向けMTCは2027年第1四半期に発行を開始する予定。

　パブリック認証局は、Webサイトが通信を暗号化し、訪問者にサイトの正当性を証明するためのデジタル証明書を発行するサービスである。同社は発表の背景として、2つの課題を挙げている。1つは、現在の信頼の仕組みが少数の大手発行機関に集中しており、障害や侵害が起きるとシステム全体にリスクが及ぶ可能性があること。もう1つは、現在の証明書インフラの多くが、量子コンピューティングへの対応が課題となる以前に構築されたものであることである。

　ルート証明書を取得することで、同社が発行する証明書は、ソフトウェア更新が終了した古いスマートフォンやOS、デバイスを含む幅広い環境で認識されるようになる。同社は、Chrome、Apple、Microsoft、Mozillaのルートプログラムへの登録も申請している。鍵情報の取得は、通常の取引完了条件を満たすことを前提に、今後2か月以内に完了する見込み。

　新しい認証局の特徴のひとつは運用の透明性である。再現可能なコードビルドと、稼働状況をリアルタイムで確認できる公開ダッシュボードを公開する。インシデント対応では、自動更新通知（RFC 9773）を活用する。これにより証明書をバックグラウンドで差し替えられるようにし、証明書失効やセキュリティ更新に伴う大規模なウェブ障害のリスクを抑える。

　MTCは、Cloudflareが共同執筆したIETF仕様草案に基づく。軽量な証明によって、証明書が信頼できるレジストリに記録されていることを検証する仕組みで、接続のたびにデータ量の大きい耐量子署名を送信する必要がなくなる。本番環境向けMTCの発行は、Chromeと実施した実証実験の成果を基にしている。サイト所有者は、従来のTLS証明書とMTCを単一の統合システムで管理できる。即時の切り替えを強いられることなく、耐量子セキュリティへ移行できるという。

　サイト所有者および開発者は、同社のブログで技術開発の最新情報を確認できるほか、早期アクセスの通知に登録できる。

【関連記事】
・Cloudflare、AIトレーニングを拒否する新設定を発表
・Cloudflareが「Adaptive Intelligence」を発表、ボット防御を自動化し攻撃コストを増大
・Cloudflare、OpenAIと連携したAIセキュリティサービスを発表