Cloudflareが公共CAに参入、GlobalSignのルート取得で全インターネットに証明書を
Building a certificate authority for the whole Internet
Cloudflareが公共認証局（CA）への参入を表明した。Chrome、Apple、Microsoft、Mozillaのルートプログラムに申請し、GlobalSignから既存の信頼済みルートを取得する契約を締結。これにより、更新が止まった古い端末も含め、初日から幅広いデバイスに証明書を提供できる。さらに、2027年第1四半期には耐量子暗号のMerkle Tree Certificateを発行予定。Let's Encryptに依存する無料証明書市場に、もう一つの選択肢を生み出す狙いだ。
もし支配的な無料認証局が不調な週を迎えたら、ウェブの多くには、その負荷を引き受けられる同等の無料で自動化された代替手段が用意されていないだろう。
HNでの議論
55- chaz6
この記事には矛盾する記述が含まれている:
> 既存の無料CAのいずれかを既に利用している人なら誰でも、ディレクトリURLを変更するだけで我々に移行でき、新しいツールも不要で、アーキテクチャを再設計する必要もない。
> 我々はRFC 9773で標準化されたACME Renewal Information (ARI)をサポートするクライアントにのみ発行する。
この両方が真であるとは思えない。
- vg
非常に歓迎すべき動きだ。なぜならCloudflareは何年もの間、Let's Encryptに資金提供することなく、ただで証明書をタダ乗りしてきたからだ。とはいえCloudflareはCTログの運用など、別の形でエコシステムに貢献してはいるが。
さて、PQ暗号に関してWebPKIが二つに分裂しそうだ。Google (GTSとChrome)、Cloudflare、Let's EncryptはいずれもMTCを好み、Digicert、Sectigo、GlobalsignといったレガシーCAは皆、非MTCへと向かっている。
もしCloudflareがMTC向けのPQ CAになることを決めていなければ、GTSとLet's Encryptによる複占状態になっていただろう。それはより悪い状況だ。だからこそ私はMTC向けのCloudflare CAを歓迎する。
また、無料でDV証明書を発行するのであれば、CA事業で金を稼ごうというわけでもないだろう。世界のウェブサイトの60%を守るという重荷をLet's Encryptが背負う圧力も軽減される。
- phillipseamore
ここでTLD運用者ともっと連携してほしい。CAがTLD運用者と提携し、分散された耐障害性のある発行(特に証明書の有効期間が短くなる中で)を、そのTLDに固定された中間証明書とともに提供する姿を見たい。今日の信頼の連鎖はすべてDNSに基づいているのだから、TLD運用者はすでにその重要な一部なのだ。
- MisterMunchkin
自社の証明書を発行するのは、他の提供物と一貫しているので理にかなっているが、他人のルート証明書をただ買って、その名前で発行できるというのは、ちょっと奇妙に思える。ルートを信頼する意味がほとんど失われてしまう。悪意ある者が認証局を買い漁り始めたらどうなる? 相手に気づかれずに、たくさんのサービスを侵害できてしまうだろう。
- bossyTeacher
インターネットは分散型ネットワークとして意図されていた。なぜ人間はこんなにも視野が狭く、短期的なのだろうか?