Cloudflare объявила о запуске пост-квантового шифрования для своего IPsec-продукта. Технология доступна всем клиентам и защищает трафик между дата-центрами, филиалами и облачными VPC от атак типа «собери сейчас - расшифруй потом», когда злоумышленник накапливает зашифрованные данные в расчёте на появление мощного квантового компьютера.
Реализация основана на гибридном ML-KEM (FIPS 203) - алгоритме пост-квантовой криптографии, устойчивом к атакам квантовых компьютеров. В рукопожатии IPsec классический обмен Диффи-Хеллмана комбинируется с ML-KEM, а результаты обоих протоколов смешиваются в сессионные ключи. Cloudflare уже подтвердила совместимость с оборудованием Fortinet (FortiOS 7.6.6+) и Cisco (Cisco 8000 Series Secure Routers 26.1.1+). С Palo Alto Networks пока нет совместимости - их реализация была выпущена до появления единого стандарта draft-ietf-ipsecme-ikev2-mlkem.
В блоге отмечают, что стандарт для пост-квантового шифрования в IPsec появился на четыре года позже, чем аналогичный для TLS. Причина - интерес сообщества IPsec к квантовому распределению ключей (QKD), которое требует специализированного оборудования и физического канала, не работает в масштабе интернета и не обеспечивает аутентификацию. NSA, BSI и NCSC предупреждают, что полагаться только на QKD нельзя. Cloudflare делает ставку на программные пост-квантовые алгоритмы, работающие на существующем оборудовании.
#Ai #Cloudflare #PostQuantum #Cryptography
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡1
☁️ Cloudflare запускает постквантовую аутентификацию для Authenticated Origin Pulls
Cloudflare объявила о поддержке постквантовой аутентификации в продуктах Authenticated Origin Pulls и Custom Origin Trust Store. Теперь соединения между Cloudflare и origin-серверами клиентов защищаются с помощью алгоритма ML-DSA (Module-Lattice-Based Digital Signature Algorithm).
Это первый этап плана компании по переходу на полную постквантовую безопасность к 2029 году. Раньше Cloudflare уже внедрила постквантовое шифрование для обоих этапов соединения (посетитель→Cloudflare и Cloudflare→origin). Теперь очередь за аутентификацией — защитой от атак с подменой, когда квантовый компьютер может взломать классические сертификаты.
Особенность соединения Cloudflare→origin в том, что Cloudflare здесь выступает клиентом и может использовать пулы соединений, распределяя накладные расходы на установку связи между множеством запросов. Это делает «drop-in» постквантовые подписи (ML-DSA) практичными без необходимости в Merkle Tree Certificates. Для клиентов, не готовых обновлять legacy-системы, доступен Cloudflare Tunnel с постквантовым шифрованием.
#Safety #Cloudflare #PostQuantum #Cryptography #MLDSA #Security #Infrastructure
Cloudflare объявила о поддержке постквантовой аутентификации в продуктах Authenticated Origin Pulls и Custom Origin Trust Store. Теперь соединения между Cloudflare и origin-серверами клиентов защищаются с помощью алгоритма ML-DSA (Module-Lattice-Based Digital Signature Algorithm).
Это первый этап плана компании по переходу на полную постквантовую безопасность к 2029 году. Раньше Cloudflare уже внедрила постквантовое шифрование для обоих этапов соединения (посетитель→Cloudflare и Cloudflare→origin). Теперь очередь за аутентификацией — защитой от атак с подменой, когда квантовый компьютер может взломать классические сертификаты.
Особенность соединения Cloudflare→origin в том, что Cloudflare здесь выступает клиентом и может использовать пулы соединений, распределяя накладные расходы на установку связи между множеством запросов. Это делает «drop-in» постквантовые подписи (ML-DSA) практичными без необходимости в Merkle Tree Certificates. Для клиентов, не готовых обновлять legacy-системы, доступен Cloudflare Tunnel с постквантовым шифрованием.
#Safety #Cloudflare #PostQuantum #Cryptography #MLDSA #Security #Infrastructure
👍1🔥1💯1
☁️ Cloudflare намерена стать публичным удостоверяющим центром
Cloudflare объявила о намерении запустить собственный публичный удостоверяющий центр (CA) - спустя 12 лет после включения Universal SSL, который бесплатно зашифровал почти половину веба. Компания подала заявки на включение в root-программы Chrome, Apple, Microsoft и Mozilla, а также подписала соглашение о покупке широко доверенного корневого сертификата у GlobalSign, чтобы обеспечить максимальный охват устройств с первого дня выдачи.
Выдача сертификатов пока не началась. Новый корень даёт совместимость с будущими политиками root-программ, а приобретённый - охват старых устройств, которые никогда не получат обновлений. Подход ACME-first: миграция с любого бесплатного CA сводится к смене directory URL. Обязательным условием выдачи станет автоматизация продления через ACME Renewal Information (RFC 9773).
Cloudflare планирует одной из первых выпускать production-сертификаты Merkle Tree Certificates - компактный формат для постквантового мира, первый релиз намечен на I квартал 2027 года. Компания также публикует reproducible builds подписывающего ПО, аттестует HSM и ведёт публичный дашборд состояния выдачи. Инициатива снижает системный риск: сейчас большая часть шифрованного веба зависит от одного оператора - Let's Encrypt.
🎨 qvabo.studio/tg · картинки и видео
#Cloudflare #WebPKI #TLS #PostQuantum #Infrastructure
Cloudflare объявила о намерении запустить собственный публичный удостоверяющий центр (CA) - спустя 12 лет после включения Universal SSL, который бесплатно зашифровал почти половину веба. Компания подала заявки на включение в root-программы Chrome, Apple, Microsoft и Mozilla, а также подписала соглашение о покупке широко доверенного корневого сертификата у GlobalSign, чтобы обеспечить максимальный охват устройств с первого дня выдачи.
Выдача сертификатов пока не началась. Новый корень даёт совместимость с будущими политиками root-программ, а приобретённый - охват старых устройств, которые никогда не получат обновлений. Подход ACME-first: миграция с любого бесплатного CA сводится к смене directory URL. Обязательным условием выдачи станет автоматизация продления через ACME Renewal Information (RFC 9773).
Cloudflare планирует одной из первых выпускать production-сертификаты Merkle Tree Certificates - компактный формат для постквантового мира, первый релиз намечен на I квартал 2027 года. Компания также публикует reproducible builds подписывающего ПО, аттестует HSM и ведёт публичный дашборд состояния выдачи. Инициатива снижает системный риск: сейчас большая часть шифрованного веба зависит от одного оператора - Let's Encrypt.
🎨 qvabo.studio/tg · картинки и видео
#Cloudflare #WebPKI #TLS #PostQuantum #Infrastructure
🔥1💯1