Cloudflare строит собственный удостоверяющий центр для всего интернета
Building a certificate authority for the whole Internet
Cloudflare объявила о намерении стать публичным удостоверяющим центром (CA). Компания подала заявки на включение в root-программы Chrome, Apple, Microsoft и Mozilla, а также договорилась о покупке доверенного корневого сертификата у GlobalSign для мгновенного охвата старых устройств. Выпуск сертификатов начнётся позже, но уже запланированы Merkle Tree Certificates для постквантового мира. Cloudflare обещает прозрачность, отказоустойчивость и автоматизацию через ACME.
Мы намерены построить удостоверяющий центр, надёжность которого зависит не только от избегания ошибок, но, как и в случае с остальными продуктами Cloudflare, от способности «падать малым» и ограничивать влияние любой отдельной проблемы.
- chaz6
В статье содержатся противоречивые утверждения:
> любой, кто уже указывает на какой-либо существующий бесплатный CA, может перейти к нам, изменив URL директории, без нового инструментария и без необходимости что-либо перестраивать.
> Мы будем выдавать сертификаты только клиентам, поддерживающим ACME Renewal Information (ARI), стандартизированный в RFC 9773.
Я не думаю, что оба утверждения могут быть верны.
- vg
Очень долгожданный шаг, потому что Cloudflare годами бесплатно пользовалась сертификатами Let's Encrypt, не спонсируя Let's Encrypt финансово. Хотя Cloudflare и вносила вклад в экосистему другими способами, например, ведя CT-логи и т.д.
Теперь, похоже, WebPKI расколется на две части в отношении постквантовой криптографии. Google (GTS и Chrome), Cloudflare и Let's Encrypt все предпочитают MTC, а традиционные CA, такие как Digicert, Sectigo, Globalsign, все движутся к non-MTC.
Если бы Cloudflare не решила стать PQ CA для MTC, у нас была бы дуополия GTS и Let's Encrypt. Это худшая ситуация. Поэтому я приветствую Cloudflare CA для MTC.
К тому же, они вряд ли будут зарабатывать на бизнесе CA, если собираются бесплатно выдавать DV-сертификаты. Это снизит давление на Let's Encrypt, несущую бремя защиты 60% мировых веб-сайтов.
- phillipseamore
Хотелось бы видеть, как они больше работают с операторами TLD. Я бы хотел, чтобы CA объединилась с операторами TLD, чтобы предложить распределённую и устойчивую выдачу сертификатов (особенно с более короткими сроками жизни сертификатов), с промежуточными сертификатами, привязанными к их TLD. Операторы TLD уже являются значительной частью цепочки доверия, поскольку сегодня всё основано на DNS.
- MisterMunchkin
Им имеет смысл выпускать собственные сертификаты, потому что это соответствует остальным их предложениям, но кажется странным, что можно просто купить чей-то корневой сертификат и выпускать сертификаты под их именем. Это в некотором роде подрывает смысл доверия к корню. Что, если злоумышленник начнёт скупать удостоверяющие центры? Можно скомпрометировать кучу сервисов, даже не подозревая об этом.
- bossyTeacher
Интернет задумывался как децентрализованная сеть. Почему люди такие узколобые и мыслят только краткосрочно?