Cloudflare намерена стать удостоверяющим центром для всего интернета

Двенадцать лет назад, в 2014 году, Cloudflare включила Universal SSL и почти удвоила число зашифрованных сайтов в сети за одну ночь, раздав бесплатный TLS всем ресурсам за своей инфраструктурой. Теперь компания делает следующий шаг: она объявила о намерении стать публичным удостоверяющим центром (CA). Долгое время оставаясь одним из крупнейших в мире потребителей доверенных сертификатов, Cloudflare не выпустила ни одного собственного — и это меняется.

Первые конкретные шаги уже сделаны. Поданы заявки на включение в корневые программы Chrome, Apple, Microsoft и Mozilla, а также подписано соглашение о приобретении у GlobalSign устоявшегося и широко доверенного корня, чтобы с первого дня выпускать сертификаты с максимальным охватом устройств. Пока выпуск не начался — компания обещает вести работу публично и делиться вехами по мере их достижения.

Два пути к доверию

Новый корневой сертификат становится по-настоящему полезен лишь спустя годы: ему нужно распространиться по операционным системам, браузерам и устройствам, а до старых клиентов он не доберётся никогда. Именно на этот «длинный хвост» приходится значительная доля мирового трафика. Приобретённый корень GlobalSign, доверенный с 2012 года, решает задачу совместимости сразу, тогда как новые корни отвечают требованиям будущих политик, ограничивающих возраст доверенных корней.

Ещё один источник бесплатных сертификатов

Бесплатная автоматизированная модель выпуска несёт на себе основную массу зашифрованного веба, и большая её часть проходит через Let's Encrypt — порядка десяти миллионов сертификатов в день и свыше 500 миллионов сайтов. Cloudflare, сама будучи одним из крупнейших пользователей этого центра, видит здесь системный риск: если доминирующий бесплатный CA переживёт «плохую неделю», заменить его будет некому. Публичный удостоверяющий центр — это та же идея резервирования, что и в собственных сертификатах компании, но уже в масштабах всего интернета.

Сервис будет построен по принципу ACME-first: получение и обновление сертификатов через открытый протокол ACME. Перейти на Cloudflare можно будет, просто сменив адрес каталога, без нового инструментария.

Отказоустойчивость и постквантовое будущее

Cloudflare обещает строить CA по принципу «отказывать по-малому», ограничивая последствия любой ошибки. Автообновление станет условием выпуска: сертификаты будут выдаваться только клиентам с поддержкой ARI (RFC 9773). Компания намерена публиковать воспроизводимые сборки подписывающего ПО, аттестовать аппаратные модули с ключами и вести публичную панель состояния выпуска.

Cloudflare планирует стать одним из первых центров, выпускающих сертификаты Merkle Tree Certificates (MTC) — более компактный формат, рассчитанный на постквантовый мир, где классические цепочки становятся слишком тяжёлыми для TLS-рукопожатий. Первые MTC ожидаются в первом квартале 2027 года. Классические сертификаты и MTC будут жить под одним центром, чтобы клиенты переходили в удобном темпе без резкого разрыва.

Источник: Cloudflare Blog