Cloudflare বহু বছর ধরে ১৬টি অংশীদার পাবলিক CA-র ওপর নির্ভর করেছে, অথচ নিজে কখনও একটিও সর্বজনীনভাবে বিশ্বস্ত সার্টিফিকেট দেয়নি। এখন সে নিজেই একটি CA হতে চায়, আর আকর্ষণীয় অংশটি তার নকশা: একই CA-র অধীনে প্রচলিত সার্টিফিকেট ও Merkle Tree Certificates, আর শুরু থেকেই ব্যর্থতাকে সীমিত রাখার ব্যবস্থা।
সার্টিফিকেটের ভোক্তা এবার সার্টিফিকেট দাতা #
বেশিরভাগ ইনফ্রাস্ট্রাকচার কোম্পানি সার্টিফিকেট সম্পর্কের একদিকেই থাকে। তারা সার্টিফিকেট চায়, সেগুলি বসায়, আর কোনো CA-তে ঘটনা ঘটলে অভিযোগ করে। Cloudflare দৃঢ়ভাবে ভোক্তার দিকেই থেকেছে। তার নিজের ভাষ্যে, সে নিজে কখনও একটিও সর্বজনীনভাবে বিশ্বস্ত সার্টিফিকেট দেয়নি।
এটা বদলাতে চলেছে, অন্তত Cloudflare বলছে তার সেই অভিপ্রায় আছে। কোম্পানিটি পাবলিক সার্টিফিকেট কর্তৃপক্ষ হওয়ার অভিপ্রায় ঘোষণা করছে। আজ পরিস্থিতি কোথায় দাঁড়িয়ে, সে বিষয়ে ঘোষণাটি সতর্ক, আর এই নিবন্ধেরও তা-ই হওয়া উচিত। Cloudflare এখনও সার্টিফিকেট দিচ্ছে না। পরিষেবার আচরণ সম্পর্কে সবকিছু, তার ACME ইন্টারফেস থেকে নবায়নের নিয়ম এবং Merkle Tree Certificate সমর্থন পর্যন্ত, পরিকল্পনার বিবৃতি, চালু কোনো ব্যবস্থার বর্ণনা নয়।
ঘোষণাটিকে বিশ্বাসযোগ্য করে উচ্চাকাঙ্ক্ষা নয়, বরং ইতিমধ্যে দৃশ্যমান প্রস্তুতি। Cloudflare Chrome, Apple, Microsoft ও Mozilla-র রুট প্রোগ্রামে অন্তর্ভুক্তির জন্য আবেদন করেছে। সে বলছে, ওয়েবের প্রতিটি মূল রুট কী প্রোগ্রামের সঙ্গে সে আবেদন ও অনুমোদন প্রক্রিয়ার মধ্য দিয়ে যাচ্ছে, এবং উল্লেখ করছে যে এই প্রক্রিয়াগুলি প্রকাশ্যে ঘটে। নীতিগতভাবে যে কেউ দেখতে পারেন আবেদনটি সফল হয় কি না।
এই প্রশ্ন তোলার অবস্থানে Cloudflare কেন #
CA গড়ার পক্ষে Cloudflare-এর যুক্তি শুরু হয় গ্রাহক হিসেবে তার অবস্থান থেকে। বিশ্বব্যাপী ইন্টারনেট অনুরোধ ট্রাফিকের ২০ শতাংশেরও বেশির সামনে সে বসে আছে। সে লক্ষ লক্ষ ডোমেনের জন্য TLS সমাপ্ত করে এবং প্রতি বছর লক্ষ লক্ষ সার্টিফিকেটের ওপর নির্ভর করে। সে Universal SSL-এর মাধ্যমে গ্রাহকদের সার্টিফিকেট প্যাক দেয়, আর নিজের ব্যবস্থা ও অভ্যন্তরীণ কাজ চালাতে বহু ভিন্ন CA থেকে সার্টিফিকেটও নেয়।
গ্রাহক পরিষেবা চালু রাখতে Cloudflare এই সার্টিফিকেটগুলি একাধিক CA-র মাধ্যমে সংগ্রহ করে, প্রাথমিক ও বিকল্প পথসহ, যাতে CA বিভ্রাট ও প্রত্যাহারের ঘটনার মধ্যেও গ্রাহক পরিষেবা চালু থাকে। বহু বছর ধরে যে অংশীদার পাবলিক CA-গুলির ওপর সে নির্ভর করেছে, তাদের সংখ্যা ১৬।
বিকল্প ব্যবস্থাটি একটু কাছ থেকে দেখা দরকার, কারণ এতে বোঝা যায় Cloudflare ব্যর্থতা নিয়ে কীভাবে ভাবে। প্রতিটি Universal SSL সার্টিফিকেটের সঙ্গে আগে থেকেই একটি বিকল্প সার্টিফিকেট আসে, যা আলাদা কী দিয়ে মোড়া এবং ভিন্ন কর্তৃপক্ষের দেওয়া। প্রাথমিকটি কখনও প্রত্যাহৃত বা আপসকৃত হলে বিকল্পটি স্বয়ংক্রিয়ভাবে চালু হওয়ার জন্য প্রস্তুত থাকে। এটি যেকোনো একটি CA-র গোলমালের বিরুদ্ধে সুরক্ষা, যা সম্পর্কের গ্রাহক দিক থেকে গড়া।
এই সুরক্ষারও একটি সীমা আছে। কেবল যে CA-গুলি আছে তাদের মধ্যেই বৈচিত্র্য আনা যায়, আর সূত্রের যুক্তি, সক্ষম CA-র জোগান যতটা মনে হয় তার চেয়ে কম।
কেন্দ্রীকরণের সমস্যা #
এই যুক্তির পেছনের সংখ্যাগুলি চমকপ্রদ। Let's Encrypt দিনে প্রায় এক কোটি সার্টিফিকেট দেয়। সে ৫০ কোটিরও বেশি সাইটকে পরিষেবা দেয় এবং ২০২৫ সালে ৪০০ কোটি সক্রিয় সার্টিফিকেটের সীমা পেরিয়েছে। এগুলি একটিমাত্র বিনামূল্যের CA-র সংখ্যা, আর এগুলি এমন এক ওয়েবের বর্ণনা দেয় যার এনক্রিপশন একটি প্রতিষ্ঠানের ওপর ব্যাপকভাবে নির্ভরশীল।
সূত্রটি স্পষ্ট সিদ্ধান্ত টানে, যথাযথ সতর্কতার সঙ্গে: প্রধান বিনামূল্যের সার্টিফিকেট কর্তৃপক্ষের একটি খারাপ সপ্তাহ গেলে ওয়েবের বড় অংশের হাতে চাপ সামলানোর মতো তুলনীয় কোনো বিনামূল্যের, স্বয়ংক্রিয় বিকল্প প্রস্তুত থাকবে না। এটি একটি কাল্পনিক পরিস্থিতি সম্পর্কে বিবৃতি, আর Cloudflare এটিকে সেভাবেই উপস্থাপন করে। সে দাবি করে না যে এমন সপ্তাহ ঘটে গেছে, বা আসছে।
তবু যুক্তিটি বোঝা সহজ। একটি বিনামূল্যের, স্বয়ংক্রিয় CA তখনই স্থিতিস্থাপকতার বিকল্প, যখন সেটি জরুরি অবস্থার আগে থেকে থাকে। Cloudflare-এর প্রস্তাব হল সে বড় পরিসরে একটি দ্বিতীয় বিকল্প দিতে পারে। আমার মতে এটিই ঘোষণার সবচেয়ে জোরালো বাণিজ্যিক ও প্রযুক্তিগত কারণ, আর এটি পরিকল্পনার কোনো বেশি অনুমাননির্ভর অংশের ওপর নির্ভর করে না। যে ওয়েবে একটি প্রধান বিনামূল্যের CA আর তেমন কিছু নেই, সেই ওয়েবে ব্যর্থতার একটিই বিন্দু, সেই CA-র কাজ যত ভালোই হোক।
| মাত্রা | প্রচলিত বিনামূল্যের স্বয়ংক্রিয় CA (Let's Encrypt) | প্রস্তাবিত Cloudflare পাবলিক CA |
|---|---|---|
| বিশ্বাস-ভিত্তির কৌশল | ISRG Root X1 / X2 (২০১৫ থেকে প্রতিষ্ঠিত নিজস্ব রুট) | কেনা GlobalSign রুট (২০১২ থেকে বিশ্বস্ত) + নতুন রুট |
| ইস্যু প্রোটোকল | মানক ACME (RFC 8555) | বাধ্যতামূলক ARI (RFC 9773) প্রয়োগসহ ACME |
| প্রত্যাহারের পদ্ধতি | CRL / OCSP + জরুরি অবস্থায় গ্রাহকদের সার্টিফিকেটের পাইকারি প্রতিস্থাপন | ARI এন্ডপয়েন্টের মাধ্যমে সমন্বিতভাবে নবায়ন এগিয়ে আনা |
| পোস্ট-কোয়ান্টাম পথ | হাইব্রিড X.509 স্বাক্ষর মূল্যায়নাধীন | প্রচলিত X.509-এর পাশাপাশি নেটিভ Merkle Tree Certificates (MTCs) |
| পরিসর ও প্রাথমিক চাপ | ৫০ কোটি+ সাইটে দিনে ~১ কোটি সার্টিফিকেট | বিশ্ব ওয়েব ট্রাফিকের ২০%+ জুড়ে Customer Zero যাচাই |
অপেক্ষা না করে রুট কিনে নেওয়া #
ঘোষণার সবচেয়ে বাস্তবসম্মত সিদ্ধান্তটি রুট নিয়ে। Cloudflare বলছে, সে GlobalSign-এর কাছ থেকে একটি প্রতিষ্ঠিত, ব্যাপকভাবে বিশ্বস্ত রুট কেনার চূড়ান্ত চুক্তি সই করেছে। সূত্র সরাসরি কারণ জানায়: একেবারে নতুন রুট বহু বছর ধরে ব্যাপকভাবে কাজে আসে না। এর বিপরীতে বিদ্যমান GlobalSign রুট ২০১২ সাল থেকে ব্রাউজার, অপারেটিং সিস্টেম ও ডিভাইসে বিশ্বস্ত।
রুটের প্রতি বিশ্বাস ধীরে আসে, কারণ তা ডিভাইসে বসানো থাকে, আর ডিভাইস ধীরে হালনাগাদ হয়। একটি নতুন রুট প্রতিটি প্রোগ্রামে গৃহীত হয়েও কোনো পুরোনো ফোন বা এমবেডেড সিস্টেমে যাচাই হতে ব্যর্থ হতে পারে। ২০১২ থেকে মাঠে থাকা একটি রুট কিনে নিলে সেই অপেক্ষা এড়ানো যায়, অন্তত সূত্র যেভাবে বিষয়টি উপস্থাপন করে।
Cloudflare নতুন রুটের পথ পুরোপুরি ছাড়ছে না। সে রুট কী প্রোগ্রামে অন্তর্ভুক্তির জন্য একটি নতুন রুটও জমা দেবে, যাকে সে বাস্তুতন্ত্র যেদিকে যাচ্ছে তার জন্য তৈরি বলে বর্ণনা করে, যার মধ্যে আছে সেই প্রোগ্রামগুলিও যারা একটি বিশ্বস্ত রুট কতটা পুরোনো হতে পারে তার সীমা বেঁধে দিতে শুরু করেছে। শেষ এই তথ্যটি মনে করিয়ে দেয় যে বয়সের দুটো দিকই আছে। একটি বিশ্বস্ত রুটের বয়স ডিভাইসে পৌঁছানোর জন্য সম্পদ, আবার কিছু প্রোগ্রাম বিশ্বস্ত রুট কতটা পুরোনো হতে পারে তার সীমার দিকে এগোচ্ছে। কেনা রুট আর নতুন আবেদন দুটোই একসঙ্গে চালানো সেই টানাপোড়েনের জবাব বলে মনে হয়, যদিও সূত্র যুক্তিটি এই ভাষায় বলে না।
শর্তসহ ACME-প্রথম পরিষেবা #
গ্রহণের প্রশ্নে অনেক CA ঘোষণা অস্পষ্ট হয়ে যায়। Cloudflare নির্দিষ্ট। তার পাবলিক CA হবে ACME-প্রথম, অর্থাৎ এটি Automated Certificate Management Environment প্রোটোকলে কথা বলবে, যা বিদ্যমান স্বয়ংক্রিয়তা ইতিমধ্যে ব্যবহার করে। দাবি হল, যে কেউ ইতিমধ্যে কোনো বিদ্যমান বিনামূল্যের CA-র দিকে নির্দেশ করে আছেন, তিনি একটি directory URL বদলে Cloudflare-এর CA-তে যেতে পারবেন, নতুন সরঞ্জাম ছাড়া এবং কিছু নতুন করে না গড়ে। এটি পরিকল্পনা, পরীক্ষিত স্থানান্তর পথ নয়, এবং সেভাবেই পড়া উচিত। তবে এক লাইনের কনফিগারেশন বদল সঠিক লক্ষ্য, কারণ স্থানান্তরের খরচই মানুষকে ডিফল্টে আটকে রাখে।
প্যাঁচটি এমন এক শর্তে, যা বেশিরভাগ ACME ব্যবহারকারীকে পূরণ করতে হয়নি। Cloudflare কেবল সেই ক্লায়েন্টদেরই সার্টিফিকেট দেবে যারা ACME Renewal Information, বা ARI, সমর্থন করে, যা RFC 9773-এ মানক হিসেবে নির্ধারিত। গ্রাহকদের এমন স্বয়ংক্রিয়তা বজায় রাখতে হবে যা Cloudflare-এর নবায়ন এন্ডপয়েন্টে নিয়মিত খোঁজ নেয়, Cloudflare-এর প্রকাশিত নবায়ন সময়সীমা অনুযায়ী কাজ করে, এবং কোন সার্টিফিকেট প্রতিস্থাপন করছে তা চিহ্নিত করে।
এটি একটি দৃঢ় অবস্থান, এবং আমার মনে হয় এটিই সঠিক। এটি গ্রহণ নিয়ে একটি ন্যায্য প্রশ্নও তোলে: যে CA কেবল ARI-সক্ষম ক্লায়েন্টদের পরিষেবা দেয়, তার পরিধি ACME লাইব্রেরি থাকা যে কাউকে পরিষেবা দেওয়া CA-র চেয়ে সংকীর্ণ। আজ এতে কতগুলি ক্লায়েন্ট বাদ পড়ে তা সূত্র বলে না, তাই আমি অনুমান করব না। তবে Cloudflare কেন এই শর্ত চায়, তা সূত্র বলে।
সাইট না ভেঙে প্রত্যাহার #
Cloudflare জানাচ্ছে, গত ১৬ বছরে সে অনেক কিছু দেখেছে, আর তার একটি পর্যবেক্ষণ এই নকশাকে চালিত করে। সে সার্টিফিকেট কর্তৃপক্ষগুলিকে সময়মতো প্রত্যাহার আর গ্রাহকদের সাইট চালু রাখার মাঝখানে আটকে পড়তে দেখেছে।
এই টানাপোড়েন যেকোনো CA-র জন্য বাস্তব। দ্রুত একটি সার্টিফিকেট প্রত্যাহার জনসাধারণকে রক্ষা করে, কিন্তু গ্রাহক যদি দ্রুত তা বদলাতে না পারেন, তবে সেই সার্টিফিকেটের ওপর নির্ভরশীল প্রতিটি সাইট বন্ধ হয়ে যেতে পারে। মাঝখানে আটকে পড়া CA হয় দেরিতে প্রত্যাহার করে, নয়তো গ্রাহকদের ক্ষতি করে।
ARI হল Cloudflare-এর উত্তর। যখন সার্টিফিকেট অবসরে পাঠাতে হয়, Cloudflare বলছে সে ক্ষতিগ্রস্ত সার্টিফিকেটগুলির নবায়ন সময়সীমা এগিয়ে আনতে পারে। যেহেতু গ্রাহকদের নবায়ন এন্ডপয়েন্টে খোঁজ নেওয়া এবং প্রকাশিত সময়সীমা অনুযায়ী কাজ করা বাধ্যতামূলক, তাই কঠোর প্রত্যাহার আসার আগেই CA তাদের প্রতিস্থাপনের দিকে চালিত করতে পারে। এই ব্যবস্থাকে Cloudflare যে সক্ষমতা রাখতে চায় সেভাবে বর্ণনা করা হয়েছে, CA হিসেবে সে যা দেখিয়েছে সেভাবে নয়। তবু যুক্তিটি সুসংগত: খোঁজ নেওয়ার শর্তটি আছে যাতে এই লিভারটি কাজ করে।
একই ভাবনা একটি বৃহত্তর নকশাগত লক্ষ্যেও দেখা যায়। Cloudflare এমন একটি সার্টিফিকেট কর্তৃপক্ষ গড়তে চায়, যার নির্ভরযোগ্যতা কেবল ভুল এড়ানোর ওপর নয়, বরং Cloudflare-এর অন্যান্য পণ্যের মতোই, ছোট পরিসরে ব্যর্থ হওয়া এবং যেকোনো একটি সমস্যার প্রভাব সীমিত রাখার ওপর নির্ভর করে। ভুল এড়ানো একটি CA-র জন্য জরুরি, এবং কোনো CA নিখুঁতভাবে তার প্রতিশ্রুতি দিতে পারে না। এমনভাবে নকশা করা যাতে ভুল সীমিত থাকে, সেটিই বেশি সৎ প্রকৌশলগত অবস্থান।
নিরীক্ষার বাইরে স্বচ্ছতা #
পাবলিক CA-গুলিকে সাধারণত নিরীক্ষা দিয়ে বিচার করা হয়। সূত্রটি তাদের সীমাবদ্ধতা নিয়ে স্পষ্ট: নিরীক্ষা একটি নির্দিষ্ট মুহূর্তের, এবং কেবল জানায় যে CA উত্তীর্ণ হয়েছে। এরপর কোনো এক সাধারণ মঙ্গলবারে CA কী করছে, তা নিরীক্ষা বলে না।
Cloudflare-এর জবাব হল, সার্টিফিকেটে স্বাক্ষর করা সফটওয়্যারের reproducible builds সে প্রকাশ করবে। এটি প্রতিশ্রুতি হিসেবে উপস্থাপিত, সম্পন্ন কাজ হিসেবে নয়। Reproducible builds বাইরের লোকদের যাচাই করতে দেয় যে স্বাক্ষরের পথে চলা বাইনারি প্রকাশিত সোর্সের সঙ্গে মেলে, যা একটি নিরীক্ষা প্রতিবেদনের মতো নয়, বরং একটি নিরবচ্ছিন্ন বৈশিষ্ট্য। এটি যথেষ্ট প্রমাণিত হবে কি না, তা নির্ভর করবে Cloudflare আসলে কী প্রকাশ করে এবং অন্যরা তা যাচাই করে কি না তার ওপর।
ঘোষণার দ্বিতীয় ভাগ: Merkle Tree Certificates #
পোস্ট-কোয়ান্টাম অংশেই ঘোষণাটি সবচেয়ে সামনের দিকে তাকায়। Cloudflare পোস্ট-কোয়ান্টাম সার্টিফিকেট দেওয়া প্রথম CA-গুলির একটি হওয়ার পরিকল্পনা ঘোষণা করে, এবং ২০২৭ সালের প্রথম ত্রৈমাসিকে প্রথম Merkle Tree Certificates দেওয়ার পরিকল্পনা করে। সূত্রের আরেকটি অংশ বলে যে প্রথম MTCs ২০২৭ সালের শুরুতে প্রত্যাশিত। দুটোই পরিকল্পনা।
সূত্রটি MTCs-কে সর্বজনীনভাবে বিশ্বস্ত সার্টিফিকেট পৌঁছে দেওয়ার একটি নতুন ও অনেক বেশি সংক্ষিপ্ত উপায় হিসেবে বর্ণনা করে। এই শব্দচয়ন একটি বর্ণনা, এবং আমি যে অংশগুলি থেকে কাজ করছি সেগুলিতে সূত্র কোনো পরিমাপ দেয় না, তাই কতটা বেশি সংক্ষিপ্ত তা আমি বলতে পারি না। Cloudflare বলছে, সে IETF-এ MTCs-এর মানকভিত্তিক প্রস্তাবের পক্ষে কাজ করে আসছে। সে এও জানায় যে Chrome এ বছরের শুরুতে MTCs-কে পোস্ট-কোয়ান্টাম প্রমাণীকরণের পছন্দের পথ হিসেবে উল্লেখ করেছে। এটি একটি প্রমাণিত ঘটনা, এবং এর গুরুত্ব আছে, কারণ একটি ব্রাউজার নির্মাতার ঘোষিত পছন্দই একটি প্রস্তাবকে এমন কিছুতে পরিণত করে যাকে ঘিরে একটি CA পরিকল্পনা করতে পারে।
Cloudflare আশা করে না যে রূপান্তরটি হঠাৎ ঘটবে। সে আশা করে ইন্টারনেটের বড় অংশ আরও বহু বছর প্রচলিত সার্টিফিকেট ও বিদ্যমান WebPKI-র ওপর নির্ভর করবে। সেই সময়জুড়ে সে আশা করে ইস্যু হওয়া সার্টিফিকেটে MTCs-এর ভাগ ধারাবাহিকভাবে বাড়বে। এগুলি প্রত্যাশা, আর সূত্র এগুলিকে সেভাবেই চিহ্নিত করে।
একটি CA, একটি জীবনচক্র #
এ থেকে যে স্থাপত্যগত সিদ্ধান্ত আসে, সেটিই আমার কাছে সবচেয়ে বিশ্বাসযোগ্য। নতুন CA-টি প্রচলিত সার্টিফিকেট ও Merkle Tree Certificates একই CA-র অধীনে, একটি জীবনচক্র ও এক প্রস্থ নিশ্চয়তা নিয়ে বহন করার জন্য নকশা করা। এতে গ্রাহকেরা নিজেদের সুবিধামতো গতিতে গ্রহণ করতে পারেন এবং কঠোর পরিবর্তন ছাড়াই ওয়েবকে এই পারাপারে সাহায্য করতে পারেন।
বিকল্পটি হল দুটি সমান্তরাল CA, দুই প্রস্থ প্রক্রিয়া, আর কোনো এক সময়ে বাধ্যতামূলক স্থানান্তর। কঠোর পরিবর্তন একটি সার্টিফিকেট বাস্তুতন্ত্র বদলানোর সবচেয়ে ঝুঁকিপূর্ণ উপায়, আর সূত্রের ঘোষিত লক্ষ্য তা এড়ানো। শব্দচয়ন সতর্ক, এবং ঠিকই: এটি এমন একটি CA-র নকশাগত অভিপ্রায়, যা এখনও সার্টিফিকেট দেয় না।
এটি প্রণোদনার চিত্রের সঙ্গেও মেলে। Cloudflare বলছে, সর্বোচ্চ বৈধতার মেয়াদ কমতে থাকায়, এজেন্টভিত্তিক কার্যকলাপ বাড়তে থাকায় এবং পোস্ট-কোয়ান্টাম সার্টিফিকেট মূলধারায় আসায়, প্রতি বছর সে যত সার্টিফিকেটের ওপর নির্ভর করে তার সংখ্যা বাড়তে থাকবে বলে সে আশা করে। আরও বেশি সার্টিফিকেট, আরও ঘন ঘন দেওয়া, স্বয়ংক্রিয়তার পক্ষে এবং নবায়নকে প্রথম সারির কাজ হিসেবে দেখা CA-র পক্ষে যুক্তি দেয়। ARI ও একটি জীবনচক্রকে ঘিরে গড়া ব্যবস্থা সেই প্রত্যাশার যুক্তিসংগত জবাব, যদিও প্রত্যাশাটি নিজেই একটি পূর্বাভাস, পরিমাপ নয়।
Customer Zero #
জনসাধারণ নির্ভর করার আগে একটি CA কীভাবে পরীক্ষা করবেন? Cloudflare-এর উত্তর, নিজেই নিজের প্রথম গ্রাহক হওয়া। সে নতুন CA ও তার সার্টিফিকেটের, WebPKI ও MTC দুটোরই, Customer Zero হবে। ঘোষিত উদ্দেশ্য হল নিশ্চিত করা যে নতুন ব্যবস্থা ও প্রক্রিয়ার সব দিক Cloudflare-এর উচ্চ অভ্যন্তরীণ মান পূরণ করে, এবং CA-র ইনফ্রাস্ট্রাকচার Cloudflare-এর পরিসরে পরীক্ষিত হয়।
আগের সংখ্যাগুলি বিবেচনায় এটি কঠিন অভ্যন্তরীণ চাপ: প্রতি বছর লক্ষ লক্ষ সার্টিফিকেট, এমন এক কোম্পানিতে যা বিশ্বব্যাপী অনুরোধ ট্রাফিকের ২০ শতাংশেরও বেশির সামনে বসে আছে। পরিচালনার প্রথম বছরগুলি মসৃণ যাবে কি না, তা দাবিগুলি আমাদের বলতে পারে না। সেগুলি যা দেখায় তা হল কাজের একটি বিবেচনাপূর্ণ ক্রম। কোম্পানিটি যা গড়ছে তার একজন বড় ব্যবহারকারী হিসেবে শুরু করছে, পেছনে বহু-CA সংস্থান, বিকল্প পথ এবং ১৬টি অংশীদার CA-র ইতিহাস নিয়ে।
কী অনুপস্থিত, সে বিষয়ে স্পষ্ট থাকা দরকার। সূত্রে Cloudflare-এর নিজস্ব CA-র ইস্যুর পরিমাণ, ত্রুটির হার, যাচাইয়ের বিলম্ব বা ঘটনার ইতিহাস নেই, কারণ এখনও তেমন কোনো ইতিহাস নেই। ঘোষণাটি অভিপ্রায়ের বিবৃতি, যার পেছনে আছে আবেদন, একটি অধিগ্রহণ চুক্তি ও একটি নকশা। এটি কোনো কাজের রেকর্ড নয়।
কোন দিকে নজর রাখবেন #
তিনটি বিষয় ঠিক করবে এটি WebPKI-তে একটি অর্থবহ সংযোজন, নাকি নিছক একটি আকর্ষণীয় ঘোষণা।
প্রথমটি রুট প্রোগ্রাম। Cloudflare Chrome, Apple, Microsoft ও Mozilla-তে আবেদন করেছে, এবং প্রক্রিয়াগুলি প্রকাশ্যে চলছে। পরিকল্পনা কতদূর এগোল তা দেখার সবচেয়ে সরাসরি উপায় এগুলির দিকে নজর রাখা, আর ফলাফল এমন কিছু নয় যা কোনো দাবি থেকে আমি আগাম বলতে পারি।
দ্বিতীয়টি ARI-র শর্ত। যে CA RFC 9773 সমর্থনে জোর দেয়, সে বাজি ধরছে যে নবায়নের স্বয়ংক্রিয়তা তার গ্রাহকভিত্তি জুড়ে এগিয়ে নেওয়া যায়। বাজি ঠিক হলে, সার্টিফিকেট অবসরে পাঠানোর দরকার হলে নবায়ন সময়সীমা এগিয়ে আনার ক্ষমতা Cloudflare পায়, যা তার দেখা প্রত্যাহার-দ্বিধার ঘোষিত উত্তর। ভুল হলে, গ্রহণ এক লাইনের স্থানান্তরের গল্পের চেয়ে ধীর হবে।
তৃতীয়টি ২০২৭ সালের প্রথম ত্রৈমাসিক। তখনই Cloudflare তার প্রথম Merkle Tree Certificates-এর পরিকল্পনা করছে। খোলা প্রশ্ন হল, সে যে ধারাবাহিকভাবে বাড়তে থাকা ভাগ প্রত্যাশা করে তা আসলে কত দ্রুত বাড়বে, যেখানে তার নিজের মত হল ইন্টারনেটের বড় অংশ আরও বহু বছর প্রচলিত সার্টিফিকেটেই থাকবে। কোম্পানিটি বলেছে এই পারাপারে কঠোর পরিবর্তনের প্রয়োজন হওয়া উচিত নয়। দুই ধরনের সার্টিফিকেট বহন করা একটি CA তা সত্যি করতে পারে কি না, তা দেখার প্রথম সুযোগ হবে ২০২৭ সালের প্রথম ত্রৈমাসিক।
খাতভিত্তিক তাৎপর্য #
একটি এজ ইনফ্রাস্ট্রাকচার প্রদানকারীর কাছ থেকে বড় পরিসরের, স্বয়ংক্রিয় পাবলিক সার্টিফিকেট কর্তৃপক্ষের আবির্ভাব একাধিক প্রযুক্তিগত ক্ষেত্রে পরিচালনগত ঝুঁকি ও PKI পরিকল্পনা বদলে দেয়।
ক্লাউড ইনফ্রাস্ট্রাকচার ও এজ নেটওয়ার্ক #
এজ পরিসরে পাবলিক CA চালালে তৃতীয় পক্ষের যাচাই API ও CRL-এর ওপর বাহ্যিক নির্ভরতা কমে। reverse-proxy এজ টার্মিনেশনকে স্বয়ংক্রিয় ACME ARI নবায়নের সঙ্গে যুক্ত করে, ইনফ্রাস্ট্রাকচার প্রদানকারীরা তাদের গ্রাহকদের ঊর্ধ্বতন সার্টিফিকেট কর্তৃপক্ষের বিভ্রাট থেকে সুরক্ষিত রাখতে পারে।
এন্টারপ্রাইজ PKI ও DevOps দল #
পাবলিক এন্ডপয়েন্টের জন্য Let's Encrypt-এর ওপর নির্ভরশীল প্রতিষ্ঠানগুলি একটি বিশ্বাসযোগ্য, স্বয়ংক্রিয় বিকল্প পায়। তবে RFC 9773 (ARI)-এর বাধ্যতামূলক প্রয়োগের অর্থ, directory এন্ডপয়েন্ট বদলানোর আগে দলগুলিকে তাদের ACME ক্লায়েন্ট (Certbot, Lego, Caddy, Traefik) নিরীক্ষা করে নিশ্চিত হতে হবে যে ARI সমর্থন সক্রিয়।
ব্রাউজার নির্মাতা ও রুট শাসন #
রুট প্রোগ্রামগুলির (Chrome, Mozilla, Apple, Microsoft) সামনে বড় পরিসরের স্বয়ংক্রিয় CA-র এক প্রসারমান বাস্তুতন্ত্র। দ্বৈত পথের রুট পদ্ধতি (২০১২ সালের একটি পুরোনো রুট কেনা এবং একই সঙ্গে একটি আধুনিক রুট জমা দেওয়া) সেই ব্রাউজার নীতিগুলির মধ্য দিয়ে পথ করে নেয় যা রুট সার্টিফিকেটের আয়ুষ্কাল ক্রমশ সীমিত করছে, আর পুরোনো ডিভাইসের জন্য পশ্চাৎমুখী সামঞ্জস্য বজায় রাখে।
উপসংহার #
পাবলিক সার্টিফিকেট কর্তৃপক্ষ হওয়ার Cloudflare-এর পদক্ষেপ আধুনিক WebPKI-র একটি প্রকৃত কাঠামোগত দুর্বলতাকে মোকাবিলা করে: বিনামূল্যের, স্বয়ংক্রিয় সার্টিফিকেট ইস্যুতে চরম কেন্দ্রীকরণ। একটি প্রতিষ্ঠিত GlobalSign রুট, কঠোর ARI নবায়ন স্বয়ংক্রিয়তা এবং পোস্ট-কোয়ান্টাম Merkle Tree Certificates-এর দিকে একটি সেতু একত্র করে, নকশাটি নিছক সার্টিফিকেট সরবরাহ নয়, পরিচালনগত স্থিতিস্থাপকতাকে লক্ষ্য করে। সাফল্য নির্ধারিত হবে রুট প্রোগ্রামের অনুমোদন দিয়ে এবং ২০২৭ সালের রোলআউটের আগে ক্লায়েন্ট সরঞ্জাম কত দ্রুত ARI মানক গ্রহণ করে তা দিয়ে।
সচরাচর জিজ্ঞাসা #
আমি কি আজই আমার ACME ক্লায়েন্ট Cloudflare-এর CA-তে বদলাতে পারি?
এখনও না। Cloudflare তার অভিপ্রায় ঘোষণা করেছে, রুট অধিগ্রহণ চুক্তি সই করেছে, এবং প্রধান রুট প্রোগ্রামগুলিতে আবেদন জমা দিয়েছে। রুট প্রোগ্রামের অনুমোদনের পরে পাবলিক ইস্যু শুরু হওয়ার কথা।
ACME Renewal Information (ARI) কী এবং এটি কেন গুরুত্বপূর্ণ?
ARI (RFC 9773) হল ACME প্রোটোকলের একটি সম্প্রসারণ, যা সার্টিফিকেট কর্তৃপক্ষগুলিকে গ্রাহকদের জানাতে দেয় কখন একটি সার্টিফিকেট নবায়ন করা উচিত। এর ফলে পরিকল্পিত প্রত্যাহারের আগে CA-গুলি আগাম নবায়ন মসৃণভাবে সমন্বয় করতে পারে, আর সাইট বিভ্রাট এড়ানো যায়।
Merkle Tree Certificates (MTCs) মানক X.509 সার্টিফিকেট থেকে কীভাবে আলাদা?
MTCs প্রচলিত আলাদা আলাদা ক্রিপ্টোগ্রাফিক স্বাক্ষরের বদলে একটি সর্বজনীনভাবে যাচাইযোগ্য লগে নোঙর করা Merkle অন্তর্ভুক্তি প্রমাণ ব্যবহার করে। এতে সার্টিফিকেটের আকার ও প্রেরণের বোঝা উল্লেখযোগ্যভাবে কমে, এবং সেগুলি পোস্ট-কোয়ান্টাম TLS প্রমাণীকরণের পছন্দের প্রার্থী হয়ে ওঠে।
তথ্যসূত্র #
- Cloudflare, (2026). পুরো ইন্টারনেটের জন্য একটি সার্টিফিকেট কর্তৃপক্ষ গড়া ⧉. Cloudflare Blog.
- IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
- IETF, (2025). TLS-এর জন্য Merkle Tree Certificates ⧉. IETF.
- Chrome Root Program, (2026). পোস্ট-কোয়ান্টাম প্রমাণীকরণ বিষয়ে নীতি ও বিবেচনা ⧉. Chromium Projects.
সর্বশেষ পর্যালোচনা .
সর্বশেষ পর্যালোচনা .
এই নিবন্ধটি ক্রস-পোস্ট করুন
Medium-এর জন্য ফরম্যাট কপি করুন
# Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/](https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/) Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে। Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/
Mastodon-এর জন্য ফরম্যাট কপি করুন
Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে। https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/
LinkedIn-এর জন্য বিন্যাসিত কপি করুন
Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে।. এখানে মূল কৌশলগত টেকওয়েগুলি রয়েছে: - সার্টিফিকেটের ভোক্তা এবার সার্টিফিকেট দাতা. বেশিরভাগ ইনফ্রাস্ট্রাকচার কোম্পানি সার্টিফিকেট সম্পর্কের একদিকেই থাকে। তারা সার্টিফিকেট চায়, সেগুলি বসায়, আর কোনো CA-তে ঘটনা ঘটলে অভিযোগ করে। Cloudflare দৃঢ়ভাবে ভোক্তার দিকেই থেকেছে। তার নিজের ভাষ্যে, সে নিজে কখনও… - এই প্রশ্ন তোলার অবস্থানে Cloudflare কেন. CA গড়ার পক্ষে Cloudflare-এর যুক্তি শুরু হয় গ্রাহক হিসেবে তার অবস্থান থেকে। বিশ্বব্যাপী ইন্টারনেট অনুরোধ ট্রাফিকের ২০ শতাংশেরও বেশির সামনে সে বসে আছে। সে লক্ষ লক্ষ ডোমেনের জন্য TLS সমাপ্ত করে এবং প্রতি বছর লক্ষ লক্ষ… - কেন্দ্রীকরণের সমস্যা. এই যুক্তির পেছনের সংখ্যাগুলি চমকপ্রদ। Let's Encrypt দিনে প্রায় এক কোটি সার্টিফিকেট দেয়। সে ৫০ কোটিরও বেশি সাইটকে পরিষেবা দেয় এবং ২০২৫ সালে ৪০০ কোটি সক্রিয় সার্টিফিকেটের সীমা পেরিয়েছে। এগুলি একটিমাত্র বিনামূল্যের… - অপেক্ষা না করে রুট কিনে নেওয়া. ঘোষণার সবচেয়ে বাস্তবসম্মত সিদ্ধান্তটি রুট নিয়ে। Cloudflare বলছে, সে GlobalSign-এর কাছ থেকে একটি প্রতিষ্ঠিত, ব্যাপকভাবে বিশ্বস্ত রুট কেনার চূড়ান্ত চুক্তি সই করেছে। সূত্র সরাসরি কারণ জানায়: একেবারে নতুন রুট বহু বছর… এই নিবন্ধে উল্লিখিত চ্যালেঞ্জগুলির প্রতি আপনার প্রতিষ্ঠানের পদ্ধতি কী? → https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/ #Cloudflare #সার্টিফিকেটকর্তৃপক্ষ #পাবলিকCa #Let'sEncrypt #Globalsign Sebastien Rousseau | CC-BY-4.0
এই নিবন্ধটি উদ্ধৃত করুন
Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau
Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে।
BibTeX
@online{rousseau2026cloudflare,
author = {Rousseau, Sebastien},
title = {{Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/ ER -
Vancouver
Rousseau S. Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/
Chicago
Rousseau, Sebastien. "Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/.
APA
Rousseau, S. (2026, September 20). Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/
এই নিবন্ধটি পুনঃপ্রকাশ করুন
Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau
Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে।
এই নিবন্ধটি লাইসেন্স করা হয়েছে Creative Commons Attribution 4.0 International. পুনঃপ্রকাশনার জন্য মূল URL-এর কৃতিত্ব আবশ্যক।
Cloudflare নিজেই সার্টিফিকেট দিতে চায়: বিনামূল্যের CA-র কেন্দ্রীকরণ — Sebastien Rousseau Cloudflare পাবলিক সার্টিফিকেট কর্তৃপক্ষ হতে চায়: GlobalSign-এর রুট, বাধ্যতামূলক ARI নবায়ন ও Merkle Tree Certificates, বিনামূল্যের CA-র ওপর নির্ভরতা কমাতে। Originally published at https://sebastienrousseau.com/bn/2026-09-20-cloudflare-nijei-sartifiket-dite-chay-binamulyer/ by Sebastien Rousseau. Licensed under CC-BY-4.0.