Cloudflare, kamu sertifika otoritesi olma niyetini duyurdu

Cloudflare kamu sertifika otoritesi olma yolunda

Cloudflare, kamu sertifika otoritesi (CA) olma niyetini duyurdu. Şirket, on yıldan fazla süredir İnternet'teki en büyük kamuya güvenilir sertifika tüketicilerinden biri oldu ve kendisi hiç sertifika düzenlemedi.

Cloudflare, Chrome, Apple, Microsoft ve Mozilla kök programlarına dahil olmak için başvurdu. Şirket ayrıca GlobalSign'dan köklü ve geniş çapta güvenilen bir kök satın almak için kesin bir anlaşma imzaladı. Cloudflare, her bir çekirdek web kök anahtar programıyla başvuru ve onay sürecini yürütüyor.

Cloudflare henüz sertifika düzenlemiyor ve düzenlemeye başlaması biraz zaman alacak.

İki güven yolu: eski kök ve yeni kök

Yeni bir kök uzun yıllar boyunca geniş çapta kullanışlı değildir. Bir kök programı tarafından kabul edildikten sonra bile işletim sistemlerine, tarayıcılara ve cihazlara yayılmalıdır ve güncelleme almayan cihazlara asla ulaşamaz.

Mevcut GlobalSign kökü 2012'den beri tarayıcılarda, işletim sistemlerinde ve cihazlarda güveniliyor ve yeni bir kökün asla ulaşamayacağı eski istemcilere ulaşır. GlobalSign kökünün satın alınması, sertifika düzenlemeye başlandığı gün mümkün olan en geniş cihaz erişimine sahip sertifikalar sunulmasını sağlayacak.

Cloudflare, post-kuantum sertifikalar sunan ilk CA'lardan biri olmayı planlıyor ve Chrome'un kısa süre önce duyurduğu Quantum-resistant Root Program'ı hedefliyor.

Ücretsiz sertifikalar ve ACME öncelikli yaklaşım

Let's Encrypt günde yaklaşık on milyon sertifika düzenliyor, 500 milyondan fazla siteye hizmet veriyor ve 2025'te dört milyar aktif sertifikayı geçti.

Cloudflare'in CA'sı ACME (Automated Certificate Management Environment) öncelikli olacak. Sertifika almak için otomatik düzenleme ve yenileme ACME üzerinden yapılacak. Mevcut bir ücretsiz CA'dan Cloudflare'e geçmek için sadece bir dizin URL'sini değiştirmek yeterli olacak, yeni araç gerekmez.

Cloudflare, Birthday Week 2014'te Universal SSL'i devreye aldı ve şifreli site sayısı bir gecede neredeyse iki katına çıktı.

Dayanıklılık ve şeffaflık

Cloudflare, küresel İnternet istek trafiğinin yüzde 20'sinden fazlasının önünde yer alıyor ve TLS sonlandırması için yılda milyonlarca sertifikaya güveniyor. Şirket, sertifikaları birden fazla CA aracılığıyla, birincil ve yedek yollarla sağlıyor, böylece CA kesintileri ve iptal olaylarında müşteri hizmetleri ayakta kalıyor.

Her Cloudflare Universal SSL sertifikası, farklı bir otoriteden düzenlenmiş ve ayrı bir anahtarla sarılmış bir yedek sertifika ile birlikte gelir. Yedek sertifika, birincil sertifika iptal edilir veya ele geçirilirse otomatik olarak devreye alınmaya hazırdır.

Cloudflare yalnızca ACME Renewal Information (ARI) destekleyen istemcilere sertifika düzenleyecek. ACME Renewal Information (ARI) RFC 9773'te standartlaştırılmıştır. Aboneler, yenileme uç noktasını yoklayan, yayınlanan yenileme pencerelerine göre hareket eden ve değiştirdikleri sertifikayı tanımlayan otomasyonu sürdürmelidir.

Cloudflare, sertifikaları imzalayan yazılımın tekrarlanabilir derlemelerini yayınlayacak. Şirket, anahtarlarını tutan donanım güvenlik modüllerini onaylayacak ve düzenleme sağlığı ve olaylar için halka açık bir kontrol paneli işletecek.

Merkle Tree Sertifikaları ve tek CA vizyonu

Cloudflare, üretim Merkle Tree Sertifikaları (MTC'ler) düzenleyen ilk CA'lardan biri olmayı planlıyor. İlk Merkle Tree Sertifikaları 2027'nin ilk çeyreğinde düzenlenecek.

Cloudflare, klasik sertifikaları ve Merkle Tree Sertifikalarını tek bir CA altında, tek bir yaşam döngüsü ve tek bir garanti seti ile sunacak.

Sertifika maksimum geçerlilik süresi azaldıkça, ajan etkinliği arttıkça ve PQ sertifikaları yaygınlaştıkça yıllık olarak güvenilen ham sertifika sayısı hızla artacak.

Cloudflare, yeni CA'sı ve sertifikaları için Müşteri Sıfır olacağını, yeni sistemlerin ve süreçlerin tüm yönlerinin yüksek iç standartlarını karşıladığından emin olacağını iddia ediyor.