Cloudflare öz publik CA-sını qurur və GlobalSign kök sertifikatını alır

Cloudflare sentyabrın 29-da publik sertifikat orqanı (certificate authority, CA) olmağı planlaşdırdığını bildirdi, lakin hələ sertifikat vermir. Birthday Week-də şirkət ilk addımları da təqdim etdi: Chrome, Apple, Microsoft və Mozilla Root proqramlarına müraciət etdi və GlobalSign-ın kök sertifikatını (root) almaq üçün müqavilə imzaladı; bu, verilmənin ilk günündən geniş cihaz bazasına sertifikat təmin edəcək.

Etimada iki yol

Yeni yaradılmış root illər ərzində geniş istifadə üçün yararlı olmayacaq: Root proqramına qəbul edildikdən sonra belə əməliyyat sistemlərində və cihazlarda yayılmalıdır, yenilənməmiş cihazlara isə çata bilməyəcək. GlobalSign-ın mövcud root-u 2012-ci ildən etimad qazanır və məhz köhnə müştərilərə çatır, yeni root isə etibarlı root-un yaşını məhdudlaşdıran siyasətlər üçün nəzərdə tutulub. Cloudflare hər ikisini saxlayır.

Pulsuz sertifikatlar üçün yeni mənbə

Şifrələnmiş vebin çox hissəsinə bu gün pulsuz, avtomatik sertifikatlar xidmət edir. Let's Encrypt gündə təxminən 10 milyon sertifikat verir, 500 milyondan çox sayta xidmət edir və 2025-ci ildə 4 milyard aktiv sertifikatı keçib. Cloudflare-ın sözlərinə görə, bu həm də sistem riski yaradır: dominant orqan sıradan çıxsa, vebin müqayisə edilə bilən pulsuz alternativi olmayacaq. Yeni CA ACME-yə əsaslanacaq, beləliklə artıq pulsuz CA-dan istifadə edənlər yalnız kataloq URL-ni dəyişməklə keçəcək.

Dayanıqlıq və şəffaflıq

Cloudflare deyir ki, səhvlərin qarşısını almaqdan çox onların nəticələrini azaltmağa çalışacaq. Verilmə üçün məcburi şərt yeniləmənin avtomatlaşdırılması olacaq: sertifikatı yalnız ACME Renewal Information-ı (ARI, RFC 9773) dəstəkləyən və yeniləmə nöqtəsini oxuyan alacaq. Şəffaflıq üçün şirkət imzalayan proqramın replikasiyasını, HSM cihazlarının attestasiyasını və publik lövhəni planlaşdırır.

Postkvant internet

Şirkət istehsalatda Merkle Tree Certificates (MTC) sertifikatlarını verən ilklərdən biri olmağı planlaşdırır: birincisi 2027-ci ilin birinci rübündə nəzərdə tutulub. MTC postkvant dünyası üçün daha kompakt formatdır, burada ənənəvi zəncirlər TLS əl sıxışmasını ağırlaşdırır. Bu il Chrome MTC-ni postkvant autentifikasiyanın arzuolunan yolu adlandırdı. Hər iki sertifikat növünə bir CA xidmət edəcək, bu da çoxillik keçidin tədricən aparılmasına imkan verir.

Cloudflare yeni CA üçün Customer Zero rolunu oynayacaq və illər boyu güvəndiyi 16 tərəfdaş CA ilə əməkdaşlığı davam etdirəcək.