Cloudflare kendi genel CA'sını kuruyor ve GlobalSign kök sertifikasını satın alıyor

Cloudflare 29 Eylül'de genel bir sertifika otoritesi (certificate authority, CA) olmayı planladığını duyurdu, ancak henüz sertifika vermiyor. Birthday Week'te şirket ilk adımları da sundu: Chrome, Apple, Microsoft ve Mozilla Root programlarına başvurdu ve GlobalSign'ın kök sertifikasını (root) satın almak için anlaşma imzaladı; bu, verilişin ilk gününden itibaren geniş bir cihaz tabanına sertifika sağlayacak.

Güvene giden iki yol

Yeni oluşturulan bir root yıllar boyunca yaygın olarak kullanılamaz: Root programına kabul edildikten sonra bile işletim sistemlerine ve cihazlara yayılması gerekir, güncelleme almamış cihazlara ulaşamaz. GlobalSign'ın mevcut root'u 2012'den beri güvenilir ve özellikle eski istemcilere ulaşır; yeni root ise güvenilir root'un yaşını sınırlayan politikalar için tasarlanmıştır. Cloudflare ikisini de korur.

Ücretsiz sertifikalar için yeni kaynak

Şifreli web'in çoğuna bugün ücretsiz, otomatik sertifikalar hizmet ediyor. Let's Encrypt günde yaklaşık 10 milyon sertifika veriyor, 500 milyondan fazla siteye hizmet ediyor ve 2025'te 4 milyar aktif sertifikayı aştı. Cloudflare'ye göre bu aynı zamanda sistemik risk getiriyor: baskın otorite arızalandığında web'in karşılaştırılabilir ücretsiz bir alternatifi olmayacak. Yeni CA, ACME'ye dayanacak, böylece hâlihazırda ücretsiz CA kullananlar yalnızca dizin URL'sini değiştirerek geçecek.

Dayanıklılık ve şeffaflık

Cloudflare, hataları önlemekten çok sonuçlarını azaltmaya önem vereceğini söylüyor. Veriliş için zorunlu koşul yenilemenin otomasyonu olacak: sertifikayı yalnızca ACME Renewal Information'ı (ARI, RFC 9773) destekleyen ve yenileme noktasını okuyan alacak. Şeffaflık için şirket imzalayan programının çoğaltılmasını, HSM cihazlarının onaylanmasını ve genel bir pano kurmayı planlıyor.

Kuantum sonrası internet

Şirket, Merkle Tree Certificates (MTC) sertifikalarını üretimde veren ilklerden biri olmayı planlıyor: ilki 2027'nin ilk çeyreğinde bekleniyor. MTC, geleneksel zincirlerin TLS el sıkışmasını ağırlaştırdığı kuantum sonrası dünya için çok daha kompakt bir formattır. Bu yıl Chrome, MTC'yi kuantum sonrası kimlik doğrulamanın tercih edilen yolu olarak adlandırdı. Her iki sertifika türüne de tek bir CA hizmet edecek; bu da çok yıllı geçişin kademeli olarak yapılmasını sağlar.

Cloudflare yeni CA için Customer Zero rolünü üstlenecek ve yıllardır güvendiği 16 iş ortağı CA ile işbirliğini sürdürecek.