Cloudflare, 12년 만에 직접 인증서 발급한다
Building a certificate authority for the whole Internet
Cloudflare가 자체 공인 인증기관(CA)이 되겠다고 선언했다. Chrome, Apple, Microsoft, Mozilla 루트 프로그램에 가입 신청을 했고, GlobalSign의 신뢰 루트를 인수해 즉시 폭넓은 기기 호환성을 확보할 계획이다. 또한 2027년 1분기까지 포스트 양자 시대를 겨냥한 Merkle Tree Certificates(MTC)를 생산 발급하는 최초의 CA 중 하나가 되겠다고 밝혔다. 아직 인증서를 발급하지는 않지만, 공개적으로 마일스톤을 공유하며 WebPKI 생태계와 협력해 나갈 예정이다.
우리는 지난 16년 동안 인증기관이 적시 폐기와 가입자 사이트의 온라인 유지 사이에서 갈등하는 모습을 지켜봐 왔습니다. 너무 많은 가입자가 인증서를 충분히 빠르게 교체하지 못했기 때문입니다.
HN 토론
55- chaz6
기사에 서로 모순되는 진술이 있다:
> 이미 기존 무료 CA를 가리키고 있는 사람은 디렉터리 URL만 바꾸면 새로운 도구 없이, 재설계할 필요도 없이 우리에게 옮길 수 있다.
> 우리는 RFC 9773으로 표준화된 ACME Renewal Information (ARI)을 지원하는 클라이언트에만 발급할 것이다.
나는 둘 다 사실일 수 없다고 본다.
- vg
매우 반가운 움직임이다. 왜냐하면 수년간 Cloudflare는 Let's Encrypt에 재정적 후원 없이 인증서를 무임승차해 왔기 때문이다. 물론 Cloudflare는 CT 로그를 운영하는 등 다른 방식으로 생태계에 기여해 왔지만.
이제 PQ Crypto와 관련해 WebPKI가 둘로 갈라질 것 같다. Google(GTS와 Chrome), Cloudflare, Let's Encrypt는 모두 MTC를 선호하고, Digicert, Sectigo, Globalsign 같은 레거시 CA들은 모두 비-MTC 쪽으로 향하고 있다.
만약 Cloudflare가 MTC를 위한 PQ CA가 되기로 결정하지 않았다면, 우리는 GTS와 Let's Encrypt의 복점 체제를 맞게 되었을 것이다. 이는 더 나쁜 상황이다. 따라서 나는 MTC를 위한 Cloudflare CA를 환영한다.
또한 무료로 DV 인증서를 발급한다면 CA 사업으로 돈을 벌 것 같지도 않다. 이는 전 세계 웹사이트의 60%를 보호하는 부담을 Let's Encrypt가 짊어지는 압박을 줄여줄 것이다.
- phillipseamore
여기서 TLD 운영자들과 더 많이 협력하는 모습을 보고 싶다. 나는 CA가 TLD 운영자와 파트너십을 맺어 중간 인증서를 해당 TLD에 고정한 채 분산되고 복원력 있는 발급(특히 더 짧아진 인증서 수명에서)을 제공하기를 바란다. 오늘날 모든 것이 DNS에 기반하고 있기 때문에 TLD 운영자들은 이미 신뢰 체인의 상당한 부분을 차지하고 있다.
- MisterMunchkin
자체 인증서를 발급하는 것은 그들의 다른 서비스들과 일관되기 때문에 말이 되지만, 다른 사람의 루트 인증서를 그냥 사서 그 이름으로 발급할 수 있다는 건 좀 이상해 보인다. 루트를 신뢰하는 취지에 어긋난다. 만약 악의적인 행위자가 인증 기관들을 사들이기 시작하면? 그들이 알지도 못하는 사이에 여러 서비스가 침해될 수 있다.
- bossyTeacher
인터넷은 분산된 네트워크로 만들어졌다. 왜 인간은 이렇게 편협한 단기주의자인가?