Marc Sureda
En el año 2014, la adopción del cifrado en la web experimentó un crecimiento notable cuando se empezaron a ofrecer certificados de seguridad de forma automatizada y sin coste para los administradores, una iniciativa que en aquel momento duplicó el volumen de tráfico protegido. En la actualidad, la mayor parte de las conexiones seguras en Internet dependen de este tipo de certificados, aunque la responsabilidad de su emisión se concentra en un grupo muy reducido de entidades. Esta centralización supone un riesgo sistémico importante, puesto que cualquier fallo o brecha de seguridad en uno de estos emisores principales podría comprometer una gran parte de la infraestructura de la red. Además, esta arquitectura se diseñó antes de que la computación cuántica supusiera una amenaza real, por lo que se prevé que en unos años aparezcan ordenadores capaces de vulnerar los algoritmos de cifrado contemporáneos.
Ante esta situación, Cloudflare ha anunciado su intención de constituirse como una autoridad de certificación pública, con el objetivo de proporcionar un servicio abierto para la emisión de los certificados digitales necesarios para autenticar sitios web y cifrar el tráfico de datos. La compañía aportará una nueva alternativa independiente y a gran escala, buscando mejorar la seguridad de la infraestructura de Internet ante el avance de la potencia de cálculo.
Matthew Prince, director ejecutivo y cofundador de Cloudflare afirma: «Hace doce años, Cloudflare hizo que el cifrado fuera gratuito y automático para millones de sitios web. Hoy damos el siguiente paso creando una autoridad de certificación abierta, transparente y fiable para todo Internet. Mejorar la seguridad de la web antes de que los ordenadores cuánticos puedan vulnerarla es uno de los mayores retos de coordinación en la historia de Internet. Al encontrar el equilibrio entre la compatibilidad con dispositivos más antiguos y la tecnología post-cuántica de última generación, estamos proporcionando una red de seguridad permanente, de modo que Internet siga siendo rápida, fiable y segura para todos los dispositivos, independientemente de lo que depare el futuro».
Para asegurar que las nuevas credenciales sean reconocidas por teléfonos móviles inteligentes y sistemas operativos que ya no reciben actualizaciones de software, la estrategia de la empresa pasa por la adquisición de un certificado raíz ya consolidado. Este elemento es el que indica a los navegadores y dispositivos si deben confiar en una autoridad emisora, por lo que su obtención técnica asegurará la compatibilidad inmediata con el hardware antiguo. Paralelamente, la firma ha iniciado los trámites públicos correspondientes para incluirse en los programas de certificados raíz de los principales desarrolladores del mercado, concretamente los responsables de: Chrome, Apple, Microsoft y Mozilla.
El diseño de esta nueva entidad emisora se ha planteado desde cero para adaptarse a las necesidades actuales de velocidad y volumen de procesamiento de la red. Entre las características operativas destaca una política de máxima transparencia técnica, mediante la publicación de código reproducible y el mantenimiento de paneles públicos de supervisión de estado funcional en tiempo real, superando así las tradicionales auditorías estáticas. Así mismo, la plataforma permitirá la sustitución de certificados en segundo plano de manera fluida y sin interrupciones del servicio, utilizando señales de renovación automatizadas que minimizarán el riesgo de caídas masivas durante las revocaciones rutinarias de seguridad.
En el ámbito estricto de la protección criptográfica, la nueva autoridad de certificación emitirá tanto certificados tradicionales como los nuevos certificados de árbol de Merkle. Estos últimos, cuyo estándar preliminar ha sido co-redactado por la propia compañía en el seno de la IETF, facilitan una verificación ligera de los registros de confianza sin necesidad de transmitir pesadas firmas de datos en cada conexión. Los administradores y desarrolladores web podrán gestionar ambas tecnologías desde un sistema unificado, lo que facilitará una migración gradual sin obligar a realizar modificaciones inmediatas. Está previsto que la emisión de los certificados clásicos comience una vez se complete la aceptación en los programas raíz de los navegadores, mientras que la expedición de los certificados de árbol de Merkle para entornos de producción arrancará en el primer trimestre de 2027.
