Cloudflare намерена стать публичным удостоверяющим центром
29 сентября компания объявила о заявках в корневые программы и соглашении по приобретению доверенного корня GlobalSign. Сертификаты собственного публичного CA на момент анонса ещё не выпускались; постквантовый вариант остаётся планом.
От потребителя сертификатов к их выпуску
Cloudflare много лет использовала сертификаты внешних центров для обслуживания сайтов. В сентябрьском сообщении компания объявила намерение стать самостоятельным публичным CA. Среди конкретных шагов названы заявки в корневые программы Chrome, Apple, Microsoft и Mozilla и окончательное соглашение о приобретении установленного доверенного корня у GlobalSign. Это стадии создания инфраструктуры, а не подтверждение немедленного появления общепринятого нового издателя. Источник прямо сообщает, что выпуск сертификатов ещё не начат. Начало массовой выдачи в этом сообщении не подтверждено.
Доверие складывается из нескольких участников
Публичный сертификат полезен только тогда, когда клиент может построить приемлемую цепочку доверия и проверить необходимые условия. Само создание ключа CA не делает его доверенным для браузеров и операционных систем. Поэтому включение в программы и совместимость со старыми устройствами имеют самостоятельное значение. Для владельца домена также различаются сертификат на внешней стороне прокси и защита соединения с собственным сервером. Появление нового публичного CA не отменяет настройки обоих участков и не означает автоматической замены всех уже используемых сертификатов. Приобретение давно распространённого корня и подача нового корня в программы решают разные задачи. Первый связан с совместимостью существующих клиентов, в том числе прекративших получать обновления. Второй должен соответствовать будущим правилам и процедурам доверия. Автоматизированная выдача через ACME относится к обслуживанию домена и продлению сертификата, а корневая программа — к признанию издателя клиентом. Поэтому наличие протокола автоматизации само по себе не доказывает широкое доверие к цепочке, и договор на корень не означает завершения всех следующих стадий проекта.
Автоматизация ориентируется на существующий протокол
Cloudflare описывает подход ACME-first. RFC 8555 определяет протокол автоматического подтверждения контроля над идентификаторами и управления сертификатами. Автоматизация важна при регулярном продлении: ручное изменение файлов становится источником операционных сбоев. Однако поддержка ACME не является синонимом мгновенной совместимости с любым клиентом. Нужно учитывать подтверждение домена, права на DNS или HTTP-маршрут и жизненный цикл учётных данных. Стандарт описывает обмен, а конкретный сервис определяет поддержанные способы и условия предоставления.
Постквантовые сертификаты увеличивают требования к архитектуре
Во втором материале от 29 сентября Cloudflare рассматривает Merkle Tree Certificates. Мотивация связана с размером постквантовых подписей и стоимостью традиционного переноса их в массовую WebPKI. Компания заявляет поддержку MTC в будущем CA и ориентир начала 2027 года для новой программы Chrome. Это план участия и развития, а не уже доступная функция каждого браузера. Обещание бесплатного стандартного выпуска MTC также относится к будущему предложению; его нельзя использовать как подтверждение действующих условий обслуживания сегодня.
ARI должен управлять временем замены
Cloudflare планирует выдачу только клиентам с поддержкой ACME Renewal Information. ARI позволяет удостоверяющему центру сообщать предпочтительные интервалы продления и при необходимости приближать замену затронутых сертификатов. В анонсе это связано с сокращением последствий отзыва: наличие автоматизации должно позволить менять сертификаты до длительного нарушения доступности сайта. Компания также описывает два пути доверия — существующий корень для широкой совместимости и новые корни для будущих требований программ. Соглашение о приобретении и поданные заявки являются подтверждёнными шагами проекта, тогда как начало выдачи, постквантовый вариант и участие в новой программе остаются отдельно заявленными будущими этапами.
