Cloudflare начнет бесплатно выдавать TLS-сертификаты
iXBT.com ·
Cloudflare объявила о планах создать собственный публичный центр сертификации (Certificate Authority, CA) и самостоятельно выдавать бесплатные TLS-сертификаты для сайтов. Компания уже подала заявки на включение своих корневых сертификатов в программы доверия Chrome, Apple, Microsoft и Mozilla.
Cloudflare объявила о планах создать собственный публичный центр сертификации (Certificate Authority, CA) и самостоятельно выдавать бесплатные TLS-сертификаты для сайтов. Компания уже подала заявки на включение своих корневых сертификатов в программы доверия Chrome, Apple, Microsoft и Mozilla.
Для совместимости со старыми устройствами Cloudflare договорилась о приобретении действующего корневого сертификата GlobalSign. Он поддерживается браузерами и операционными системами с 2012 года. Это позволит избежать одной из главных проблем новых центров сертификации: распространение корневых сертификатов на устройства может занимать годы, а техника без обновлений зачастую не получает их вовсе.
Параллельно Cloudflare разрабатывает собственные корневые сертификаты, рассчитанные на будущие требования браузеров и операционных систем. Таким образом, сертификат GlobalSign должен обеспечить совместимость с максимально широким кругом устройств, а новые корни — поддержать работу сервиса в долгосрочной перспективе.
Получение и продление сертификатов будут автоматизированы с помощью открытого протокола ACME, который используют и другие бесплатные центры сертификации. По словам Cloudflare, пользователям существующих решений будет достаточно изменить адрес ACME-каталога. Устанавливать новые инструменты или перестраивать серверную инфраструктуру не потребуется.
Одной из причин запуска собственного CA компания называет зависимость интернета от ограниченного числа поставщиков сертификатов. Let's Encrypt обслуживает более 500 млн сайтов и выпускает около 10 млн сертификатов ежедневно. Cloudflare считает, что серьезный сбой у крупнейшего бесплатного центра сертификации может затронуть значительную часть интернета, поскольку сопоставимой по масштабу альтернативы практически нет.
Сама Cloudflare также зависит от сторонних поставщиков: через ее инфраструктуру проходит более 20% мирового веб-трафика, а ежегодно компания получает миллионы сертификатов от внешних CA. Для Universal SSL уже предусмотрено резервирование: наряду с основным сертификатом используется запасной от другого центра сертификации. Его можно задействовать в случае компрометации или отзыва основного.
Собственный CA Cloudflare будет использовать похожий подход к отказоустойчивости. Сертификаты планируется выдавать только клиентам, поддерживающим автоматическое продление через ACME и механизм ACME Renewal Information (ARI). Он позволяет корректировать сроки обновления сертификатов, чтобы при обнаружении уязвимости или другого инцидента быстро заменить затронутые экземпляры без ожидания массового принудительного отзыва.
Компания также обещает обеспечить прозрачность работы центра сертификации. В частности, Cloudflare намерена публиковать воспроизводимые сборки программного обеспечения для подписи сертификатов, раскрывать информацию об аппаратных модулях HSM, в которых хранятся ключи, и запустить публичную панель мониторинга выдачи сертификатов и инцидентов.
Еще одно направление — подготовка к постквантовой криптографии. Cloudflare планирует войти в число первых центров сертификации, которые будут выпускать Merkle Tree Certificates (MTC). Первые сертификаты этого типа ожидаются в первом квартале 2027 года. Они рассматриваются как более компактный механизм аутентификации для постквантового TLS, в котором традиционные цепочки сертификатов могут значительно увеличиться.
При этом классические TLS-сертификаты продолжат использоваться. Cloudflare рассчитывает поддерживать обычную WebPKI и MTC в рамках единого сервиса, обеспечивая постепенный переход на постквантовые технологии.
Точные сроки полноценного запуска собственного центра сертификации компания пока не называет. Cloudflare еще предстоит получить одобрение основных браузеров и операционных систем. До завершения этого процесса она продолжит использовать сертификаты существующих партнеров.