LONDON (IT BOLTWISE) – Cloudflare will quantum-sichere TLS-Zertifikate herausgeben und damit WebPKI für das post-quantum Zeitalter umstellen. Das Konzept nutzt Merkle Tree Certificates, die trotz höherer Kryptografie-Komplexität die Handshake-Daten stark begrenzen sollen. Zusätzlich setzt Cloudflare auf einen hybriden Ansatz mit klassischen TLS-Zertifikaten und einem post-quantum Pendant, inklusive kostenloser Nutzung für zahlende und nicht zahlende Kunden. Start der Zertifikatsausgabe plant das Unternehmen für das erste Quartal 2027.
Cloudflare arbeitet an einer Umstellung der Website-Authentifizierung, die nicht nur neue Algorithmen in bestehende TLS-Formate einhängt, sondern die Architektur der gesamten Public-Key-Infrastruktur (WebPKI) neu denkt. Der Internet-Infrastrukturanbieter will sogenannte quantum-sichere TLS-Zertifikate bereitstellen und positioniert sich damit früh unter den Autoritäten, die entsprechende Zertifikate im Browser-Alltag nutzbar machen wollen. Entscheidend ist dabei ein hybrider Weg: Klassische TLS-Zertifikate sollen weiterlaufen, ergänzt um eine post-quantum Variante, damit Dienste nicht komplett umschalten müssen, sondern schrittweise in neue Sicherheitsannahmen migrieren.
Im Zentrum steht ein Format, das aus Merkle Tree Certificates besteht. Die Idee dahinter ist technisch relativ elegant: Statt sehr große Mengen an Signaturdaten auszugeben, werden hierarchische Hash-Strukturen genutzt, um die Inhalte eines großen Zertifikatssets mit einem kleinen Beweis nachprüfbar zu machen. Cloudflare beschreibt, dass dadurch die Menge der Handshake-Daten auf etwa 40 Kilobytes sinken soll, also in der Größenordnung dessen bleibt, was heute in typischen TLS-Setups verarbeitet wird. Damit adressiert das Unternehmen genau den kritischen Engpass, den eine direkte 1:1-Ersetzung durch post-quantum Signaturen auslösen würde: Solche X.509-basierten Varianten würden laut Cloudflare den Datenumfang für einen TLS-Handshake um ungefähr den Faktor 40 erhöhen und zusätzlich Rechenleistung sowie Bandbreite so stark belasten, dass der „Normalbetrieb des Internets“ kaum noch skalierbar wäre.
Cloudflare verknüpft dabei außerdem den Ausstellungsprozess mit dem erforderlichen Nachweis in Transparency Logs. Die gängige WebPKI-Praxis sieht vor, dass Zertifikate in append-only öffentlichen Protokollen veröffentlicht werden und Website-Betreiber diese Logs in Echtzeit prüfen, um keine gefälschten Zertifikate zu erhalten. Laut Cloudflare soll diese Log-Verfügbarkeit bei Merkle Tree Certificates nicht länger eine separate Betriebsaufgabe sein, sondern Teil des Zertifikats- und Ausstellungsmechanismus werden. In diesem Modell signiert eine Certificate Authority nicht jede einzelne Kette, sondern einen einzigen „tree head“, der sehr viele Zertifikate repräsentieren kann; der Browser arbeitet dann in den meisten Fällen mit einem kompakten „landmark“, der die Position des relevanten Zertifikats im Baum belegt. Genau diese Kopplung, so lässt sich die Aussage von Cloudflare-Ingenieurin Mari Galicer technisch zusammenfassen, macht Transparenz zu einer Bedingung für den Betrieb und nicht zu einem nachgelagerten Add-on.
Damit solche post-quantum Signaturen auch praktisch übertragen werden können, muss außerdem die Frage beantwortet werden, wie sich die neue Signaturwelt in laufenden Web-Requests und in den bestehenden Ökosystemen aus Betriebssystemen, Browsern und Certificate Authorities widerspruchsfrei etablieren lässt. Cloudflare ordnet die Aufgabe deshalb als mehrjährige Architekturarbeit ein, die nicht nur kryptografische Kernfunktionen betrifft, sondern auch die Interoperabilität in Transparenz- und Logsystemen. Steve Goldsmith schreibt dazu: „We are not issuing certificates yet, and it will be a little while before we do.“ Gleichzeitig stellt Cloudflare den Prozess auf öffentliche Meilensteine um und will die Arbeiten „in public“ teilen, während Root-Programme und andere Teilnehmer der WebPKI-Community den Umstieg begleiten: „What we are doing is committing to the work in public, sharing the milestones as they land, and telling you exactly what we are building while working with the root programs and other members of the WebPKI community to achieve this.“
Der Hintergrund ist historisch gut dokumentiert: Transparency Logs wurden als Reaktion auf den DigiNotar-Vorfall von 2011 eingeführt, bei dem gefälschte Zertifikate in erheblicher Zahl ausgegeben werden konnten. Der heutige Sicherheitsgewinn entsteht, weil Browser und Systeme nicht nur prüfen, ob ein Zertifikat kryptografisch „irgendwie“ korrekt ist, sondern auch, ob der Timestamp und die Eintragung in öffentlichen Protokollen zu den geprüften Domains passen. Im post-quantum Szenario verschärft sich die Bedrohung: Cloudflare nennt Shor’s Algorithmus als möglichen Angriffsweg, der klassische Verschlüsselungs- und Signaturannahmen brechen könnte – inklusive der öffentlichen Schlüssel von Logs. Außerdem könnte ein Angreifer so gefälschte Zertifikat-Zeitstempel konstruieren, die dem System suggerieren, eine Registrierung sei erfolgt, obwohl sie nie stattgefunden hat. Genau deshalb ist die Merkle-Tree-Strategie nicht nur „ein anderes Zertifikatsformat“, sondern ein Versuch, die Integrität des gesamten Systems gegen die nächste Kryptogeneration zu stabilisieren.
Praktisch ergänzt Cloudflare das Paket mit weiteren Bausteinen für Betrieb und Migration. Dazu gehört ACME (Automated Certificate Management Environment) als Open-Source-Mechanismus, um Zertifikate zu automatisiert auszustellen und kurz vor Ablauf kontinuierlich zu erneuern. Auch für den Fehlerfall plant Cloudflare einen Mechanismus für Out-of-Band-Updates: Wenn ein Landmark-Update aufgrund eines Serverausfalls oder anderer technischer Probleme nicht rechtzeitig beim Endgerät ankommt, sollen Signaturen auf anderem Weg bereitgestellt werden können, etwa über einen Browser-Update-Prozess. Für die nötige Skalierung will Cloudflare zudem einen bereits vertrauenswürdigen Certificate Root von CA GlobalSign übernehmen, damit die neue Zertifikatslogik möglichst breit ausgerollt werden kann. Wenn der Rollout wie angekündigt verläuft, sollen die ersten Zertifikate im ersten Quartal 2027 starten – ein Zeitplan, der vor allem dann relevant wird, wenn große Plattformen und Zertifikats-Ökosysteme ihre Infrastruktur inzwischen auf eine parallele Verfügbarkeit „klassisch plus post-quantum“ vorbereiten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cloudflare bringt post-quantum TLS: Merkle Tree Certificates ab 2027" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cloudflare bringt post-quantum TLS: Merkle Tree Certificates ab 2027" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cloudflare bringt post-quantum TLS: Merkle Tree Certificates ab 2027« bei Google Deutschland suchen, bei Bing oder Google News!