Cloudflare wird eigene Zertifizierungsstelle für das ganze Internet
Building a certificate authority for the whole Internet
Cloudflare kündigt an, eine öffentliche Zertifizierungsstelle zu werden. Das Unternehmen hat Aufnahmeanträge bei den Root-Programmen von Chrome, Apple, Microsoft und Mozilla gestellt und eine Vereinbarung zur Übernahme eines etablierten, breit vertrauenswürdigen Root von GlobalSign unterzeichnet. Ziel ist es, ab dem ersten Tag der Ausstellung Zertifikate mit größtmöglicher Geräteabdeckung anzubieten. Zudem plant Cloudflare, als eine der ersten CAs post-quantum-sichere Merkle Tree Certificates (MTCs) auszugeben, erste Zertifikate Anfang 2027.
A public CA is that same idea, but at the scale of the whole Internet.
- chaz6
Der Artikel enthält widersprüchliche Aussagen:
> Wer bereits auf eine bestehende kostenlose CA zeigt, kann durch Ändern einer Verzeichnis-URL zu uns wechseln, ohne neue Tools und ohne etwas neu zu architektieren.
> Wir werden nur an Clients ausstellen, die ACME Renewal Information (ARI) unterstützen, standardisiert in RFC 9773.
Ich glaube nicht, dass beides gleichzeitig wahr sein kann.
- vg
Ein sehr willkommener Schritt, denn jahrelang hat Cloudflare Zertifikate von Let's Encrypt kostenlos mitbenutzt, ohne Let's Encrypt finanziell zu unterstützen. Allerdings hat Cloudflare anderweitig zum Ökosystem beigetragen, etwa durch den Betrieb von CT-Logs usw.
Nun sieht es so aus, als würde sich die WebPKI in Bezug auf PQ-Krypto in zwei Lager spalten. Mit Google (GTS und Chrome), Cloudflare und Let's Encrypt, die alle MTC bevorzugen, und etablierten CAs wie Digicert, Sectigo, Globalsign, die alle in Richtung Nicht-MTC gehen.
Wenn Cloudflare sich nicht entschieden hätte, eine PQ-CA für MTC zu werden, hätten wir ein Duopol mit GTS und Let's Encrypt. Das wäre eine schlechtere Situation. Daher begrüße ich die Cloudflare-CA für MTC.
Außerdem ist es nicht so, dass sie mit dem CA-Geschäft Geld verdienen werden, wenn sie DV-Zertifikate kostenlos ausstellen. Es wird den Druck auf Let's Encrypt verringern, die Last der Absicherung von 60 % der Websites der Welt zu tragen.
- phillipseamore
Ich würde mir wünschen, dass sie hier stärker mit TLD-Betreibern zusammenarbeiten. Ich fände es gut, wenn eine CA mit TLD-Betreibern zusammenarbeiten würde, um verteilte und widerstandsfähige Ausstellung anzubieten (insbesondere bei kürzeren Zertifikatslaufzeiten) mit Zwischenzertifikaten, die an ihre TLDs gebunden sind. TLD-Betreiber sind bereits ein bedeutender Teil der Vertrauenskette, da heute alles auf DNS basiert.
- MisterMunchkin
Es ergibt Sinn, dass sie ihre eigenen Zertifikate ausstellen, weil das mit dem Rest ihres Angebots einhergeht, aber es scheint irgendwie seltsam, dass man einfach das Root-Zertifikat von jemand anderem kaufen und unter dessen Namen ausstellen kann. Das untergräbt irgendwie den Sinn des Vertrauens in das Root. Was, wenn ein böswilliger Akteur anfängt, Autoritäten aufzukaufen? Man könnte eine Reihe von Diensten kompromittieren, ohne dass diese es überhaupt merken.
- bossyTeacher
Das Internet war als dezentrales Netzwerk gedacht. Warum sind Menschen so engstirnige Kurzfristdenker?