Google, geleneksel olarak kuantum sonrası algoritmalar kullanan sertifikalarla ilişkili bant genişliği ve performans yüklerini TLS bağlantılarına getirmeden, kuantum bilgisayarların oluşturabileceği tehditlere dayanabilecek HTTPS sertifikaları geliştirmek için Chrome’da yeni bir program duyurdu. Şirket, diğer ortaklarla birlikte bu yaklaşımı, kısaca MTC olarak bilinen Merkle ağacı sertifikaları kapsamında ve IETF’nin PLANTS çalışma grubunun çalışmalarıyla paralel olarak geliştiriyor.
Girişim, TLS ekosisteminin pratik bir zorlukla karşı karşıya olduğu bir dönemde geliyor: Kuantum hesaplamaya dayanıklı şifreleme algoritmaları daha büyük veriler üretiyor. Bu durum, özellikle sertifika şeffaflığı (CT) gereklilikleri uygulandığında bağlantıların kurulması sırasında gereken X.509 sertifika zincirlerinin boyutunu artırabilir.
Merkle ağacı sertifikaları nasıl çalışır?
Geleneksel açık anahtar altyapısındaki büyük ve ardışık imza zincirlerine güvenmek yerine MTC’ler, sıkıştırılmış Merkle ağacı kanıtlarını kullanır. Bu modelde sertifika yetkilisi (CA), olasılıksal olarak milyonlarca sertifikayı temsil eden tek bir ağaç kökünü imzalar; tarayıcı ise yalnızca site sertifikasının bu ağaca dahil edildiğini kanıtlayan hafif bir kanıt gönderir.
Google, bu tasarımın, geleneksel X.509 sertifika zincirlerinden kaynaklanabilecek büyük bant genişliği cezası olmadan güçlü kuantum sonrası algoritmaların kullanılmasını sağlayabileceğini düşünüyor. Tasarım ayrıca şifreleme algoritmasının gücü ile kullanıcıya aktarılan veri miktarını birbirinden ayırarak TLS işlemindeki kimlik doğrulama verilerini en aza indirmeyi amaçlıyor.
Bu modele göre şeffaflık, sertifika düzenleme sürecinde temel bir konuma sahip; çünkü bir sertifika, herkese açık bir ağaca dahil edilmeden düzenlenemiyor. Böylece mevcut sertifika şeffaflığı ekosistemiyle ilişkili güvenlik özellikleri, TLS işlemine aynı yükü eklemeden tasarımın bir parçası hâline geliyor.
Chrome’un kademeli dağıtım planı
Chrome, MTC’leri gerçek internet trafiğiyle test etmeye başladı. Google, dağıtımın üç aşamadan geçeceğini söylüyor:
- Birinci aşama, devam ediyor: Google, Cloudflare ile iş birliği içinde MTC kullanan TLS bağlantılarının performansını ve güvenliğini ölçmek için bir fizibilite çalışması yürütüyor. Test sırasında tüm MTC bağlantıları, güvenilir geleneksel bir X.509 sertifikası tarafından destekleniyor. Böylece bağlantının güvenliğini veya istikrarını riske atmadan performansın ölçülmesine ve düzenlemenin güvenilirliğinin doğrulanmasına olanak tanıyan bir geri dönüş yolu sağlanıyor.
- İkinci aşama, 2027’nin ilk çeyreği: Google, 1 Şubat 2026’dan önce Chrome’da kullanılabilir en az bir kayda sahip olan CT günlüğü işletmecilerini, herkese açık MTC ağaçlarının ilk dağıtımına katılmaya davet etmeyi planlıyor.
- Üçüncü aşama, 2027’nin üçüncü çeyreği: Google, ek sertifika yetkililerinin Chrome’un kuantum hesaplamaya dayanıklı kök deposuna (CQRS) ve yalnızca MTC’leri destekleyen ilgili kök programına dahil edilmesi için gereklilikler belirleyecek. Bu program, geçişi kademeli olarak yönetmek üzere mevcut Chrome Root programının yanında çalışacak.
Paralel güven altyapısı ve önerilen değişiklikler
Google, üçüncü aşamanın sitelere bazı korumaları azaltma seçeneği de sağlayacağını ve yalnızca kuantum hesaplamaya dayanıklı sertifikaları kullanmak isteyen sitelerin bu seçeneği izleyebileceğini söylüyor. Şirket ayrıca, deneylerden çıkarılan derslerin standart oluşturma çalışmalarına aktarılmasını ve Chrome’un ilgili standart değişikliklerini desteklemesini sağlamak için IETF ve C2SP’ye katılımını sürdürecek.
Google, gelecekteki TLS altyapısı için güvenli bir bağlantı oluşturmak üzere gerekli unsurları basitleştirmek, yalnızca ACME tabanlı iş akışlarını benimsemek ve eski CRL listeleri yerine sertifika iptal durumunun bildirilme yöntemini güncellemek gibi çeşitli yönelimler öneriyor; bu süreçte anahtarların ele geçirilmesi durumlarına odaklanılıyor. Şirket ayrıca alan adı kontrolünün yeniden üretilebilir doğrulamasını araştırıyor. Böylece kontrol kanıtları, bağımsız doğrulama için herkese açık ve kalıcı hâle gelecek.
Diğer yönelimler arasında MTC yetkililerini kabul ederken operasyonel mükemmeliyete öncelik vermek ve yalnızca yıllık denetim işlevine güvenmek yerine sürekli ve doğrulanabilir dış denetim geliştirmek bulunuyor. Aynı zamanda Google, Chrome Root Store’daki mevcut ortaklarını desteklemeyi ve program politikalarıyla kuantum hesaplamaya dayanıklı olmayan dizilerin uyumluluğunu korumak için kökleri döndürmeyi sürdürecek. Şirket, kuantum hesaplamaya dayanıklı algoritmalar kullanan geleneksel X.509 sertifikalarının yalnızca özel altyapılar içinde ve Chrome Root Store’a dahil edilmeden desteklenmesini 2026’nın ilerleyen dönemlerinde bekliyor.