// CLUBIC — MOBILE & WEB
Cloudflare veut signer lui-même les certificats du web, et vise déjà l'après-quantique
Cloudflare a annoncé son intention de devenir une autorité de certification publique, chargée de délivrer les certificats TLS des sites web. L'entreprise a signé le rachat d'une racine de confiance à GlobalSign et vise des certificats post-quantiques pour 2027.
On le sait, derrière chaque petit cadenas affiché dans la barre d'adresse de son navigateur se cache un certificat, une sorte de carte d'identité numérique qui prouve qu'un site est bien celui qu'il prétend être. Cloudflare en consomme des millions chaque année sans jamais en avoir signé un seul, s'en remettant à seize autorités partenaires. Mais l'entreprise veut désormais passer de l'autre côté du guichet, comme elle n'annonce cette semaine, l'ambition d'offrir une alternative gratuite dans un marché très concentré, et de préparer le jour, tant redouté, où un ordinateur quantique pourra falsifier les signatures actuelles.
Avant de s'emballer, il faut préciser qu'à ce jour, Cloudflare n'émet encore aucun certificat. Les premiers certificats classiques attendront, sans date annoncée, le feu vert de Chrome, Apple, Microsoft et Mozilla, auprès desquels l'entreprise américaine a candidaté. Or une nouvelle « racine », ce sceau d'origine qui indique aux navigateurs et aux appareils à qui se fier, met des années à se diffuser. D'où le raccourci, à savoir racheter à GlobalSign des clés racine reconnues depuis 2012, jusque sur les smartphones qui ne reçoivent plus de mises à jour. L'opération doit être finalisée d'ici deux mois, sous réserve des conditions habituelles.
Pourquoi maintenant, se demande-t-on ? Parce que la confiance du web repose sur une poignée d'acteurs. D'après les relevés publiés par Cloudflare, Let's Encrypt signe à lui seul près de 40 % des certificats valides, et les cinq premiers émetteurs presque 9 sur 10. Pas question pour autant de le dénigrer du côté de Cloudflare, l'un de ses plus gros utilisateurs, qui y voit l'une des meilleures choses arrivées à Internet en vingt ans.
Mais si Let's Encrypt venait à subir une panne ou un incident majeur, une grande partie du web n'aurait aucune autre autorité gratuite et automatisée capable de le remplacer au pied levé.
Alors, pour convaincre, Cloudflare s'appuiera sur ACME, le protocole standard qui automatise la délivrance et le renouvellement des certificats. Pour un site déjà connecté à une autorité gratuite, changer de fournisseur reviendra à modifier une simple adresse. Une exigence toutefois : les outils des sites devront prendre en charge l'ARI, qui laisse l'autorité fixer elle-même le calendrier des renouvellements, et donc remplacer des certificats en masse en limitant la casse en cas de problème. Cloudflare promet enfin de publier le logiciel qui signe ses certificats et d'ouvrir un tableau de bord public, car un audit ne livre qu'un instantané.
Cloudflare veut aussi être prêt pour le « Q-Day », ce jour où un ordinateur quantique assez puissant saura casser la cryptographie qui protège aujourd'hui Internet. L'entreprise, qui vise une plateforme entièrement post-quantique d'ici 2029, a déjà sécurisé le chiffrement, qui rend les échanges illisibles pour un espion, et plus des deux tiers du trafic humain de son réseau en profitent. Le chantier de l'authentification, qui prouve qu'un site est bien celui qu'il prétend être, reste ouvert. Les signatures numériques qui servent de preuve pourraient être contrefaites, et leurs remplaçantes résistantes au quantique pèsent environ 40 fois plus lourd. Sauf qu'une connexion sécurisée typique en transporte déjà cinq, de quoi l'alourdir nettement.
La parade s'appelle donc Merkle Tree Certificates (MTC), un format en cours de normalisation à l'IETF, l'organisme qui rédige les standards d'Internet. Au lieu de signer chaque certificat, l'autorité les consigne dans un registre public organisé en arbre, et ne signe que son sommet. Un tiers indépendant vérifie ensuite que rien n'a été réécrit, puis contresigne. Dans le meilleur des cas, le navigateur, informé à l'avanc