Cloudflare quiere convertirse en autoridad certificadora para toda la Internet
Building a certificate authority for the whole Internet
Cloudflare ha solicitado su inclusión en los programas de raíz de Chrome, Apple, Microsoft y Mozilla, y ha firmado un acuerdo para adquirir una raíz de GlobalSign, con el objetivo de emitir certificados con la máxima compatibilidad desde el primer día. La empresa también planea ofrecer certificados post-cuánticos y Merkle Tree Certificates, y será su propio primer cliente. No emitirá certificados aún, pero comparte los hitos públicamente.
Si la autoridad certificadora gratuita dominante tuviera una mala semana, gran parte de la web no tendría una alternativa gratuita y automatizada comparable lista para asumir la carga.
- chaz6
El artículo contiene afirmaciones contradictorias:
> cualquiera que ya apunte a cualquier CA gratuita existente puede pasarse a nosotros cambiando una URL de directorio, sin nuevas herramientas y sin necesidad de re-arquitecturar nada.
> Solo emitiremos a clientes que soporten ACME Renewal Information (ARI), estandarizado en el RFC 9773.
No creo que ambas puedan ser verdad.
- vg
Un movimiento muy bienvenido porque durante años Cloudflare se ha aprovechado de los certificados de Let's Encrypt sin patrocinar financieramente a Let's Encrypt. Aunque Cloudflare ha contribuido de otras formas al ecosistema, como ejecutando registros CT, etc.
Ahora, parece que WebPKI se va a fracturar en dos en lo que respecta a criptografía PQ. Con Google (GTS y Chrome), Cloudflare y Let's Encrypt prefiriendo todos MTC y las CA heredadas como Digicert, Sectigo, Globalsign dirigiéndose todas hacia no-MTC.
Si Cloudflare no hubiera decidido convertirse en una CA PQ para MTC. Tendríamos un duopolio con GTS y Let's Encrypt. Esta es una situación peor. Por lo tanto, doy la bienvenida a Cloudflare CA para MTC.
Además, no es como si fueran a ganar dinero con el negocio de CA si van a emitir certificados DV gratis. Reducirá la presión sobre Let's Encrypt de cargar con la responsabilidad de asegurar el 60% de los sitios web del mundo.
- phillipseamore
Me gustaría verlos trabajando más con operadores de TLD aquí, me gustaría ver una CA asociarse con operadores de TLD para ofrecer emisión distribuida y resiliente (especialmente con vidas útiles de certificados más cortas) con certificados intermedios vinculados a sus TLD, los operadores de TLD ya son una parte significativa de la cadena de confianza ya que hoy todo se basa en DNS.
- MisterMunchkin
Tiene sentido que emitan sus propios certificados porque está en línea con el resto de sus ofertas, pero parece un poco extraño que puedas simplemente comprar el certificado raíz de alguien y emitir bajo su nombre. De cierta forma, esto socava el propósito de confiar en la raíz. ¿Qué pasa si un actor malicioso comienza a comprar autoridades? Podrías comprometer un montón de servicios sin que ellos siquiera lo sepan.
- bossyTeacher
Internet estaba destinado a ser una red descentralizada. ¿Por qué los humanos son tan cortoplacistas y de mente estrecha?