Η Cloudflare θέλει δικά της πιστοποιητικά κόντρα στη συγκέντρωση CA

TL;DR. Η Cloudflare θέλει να γίνει δημόσια αρχή πιστοποίησης, υπέβαλε αίτηση στα root programs των Chrome, Apple, Microsoft και Mozilla και αγοράζει ένα root της GlobalSign.

Βασικά συμπεράσματα

Ένας καταναλωτής πιστοποιητικών γίνεται εκδότης. Οι περισσότερες εταιρείες υποδομών μένουν στη μία πλευρά της σχέσης με τα πιστοποιητικά.
Γιατί η Cloudflare είναι σε θέση να θέσει το ερώτημα. Το επιχείρημα της Cloudflare για τη δημιουργία μιας CA ξεκινά από τη θέση της ως πελάτη.
Το πρόβλημα της συγκέντρωσης. Οι αριθμοί πίσω από αυτό το επιχείρημα είναι εντυπωσιακοί.
Αγορά ενός root αντί για αναμονή. Η πιο πρακτική απόφαση της ανακοίνωσης αφορά το root.

Η Cloudflare στηρίζεται εδώ και χρόνια σε 16 συνεργαζόμενες δημόσιες CA χωρίς να έχει εκδώσει ποτέ η ίδια ένα δημόσια έμπιστο πιστοποιητικό. Τώρα σκοπεύει να γίνει μία από αυτές, και το ενδιαφέρον είναι ο σχεδιασμός: κλασικά πιστοποιητικά και Merkle Tree Certificates κάτω από μία CA, με περιορισμό των συνεπειών κάθε αστοχίας ενσωματωμένο από την αρχή.

Ένας καταναλωτής πιστοποιητικών γίνεται εκδότης #

Οι περισσότερες εταιρείες υποδομών μένουν στη μία πλευρά της σχέσης με τα πιστοποιητικά. Ζητούν πιστοποιητικά, τα εγκαθιστούν και παραπονιούνται όταν μια CA έχει κάποιο συμβάν. Η Cloudflare βρισκόταν σταθερά στην πλευρά του καταναλωτή. Όπως λέει η ίδια, δεν έχει εκδώσει ποτέ ούτε ένα δημόσια έμπιστο πιστοποιητικό.

Αυτό πρόκειται να αλλάξει, ή τουλάχιστον η Cloudflare λέει ότι αυτή είναι η πρόθεσή της. Η εταιρεία ανακοινώνει την πρόθεσή της να γίνει δημόσια αρχή πιστοποίησης. Η ανακοίνωση είναι προσεκτική ως προς το πού βρίσκονται σήμερα τα πράγματα, και το ίδιο οφείλει να είναι και αυτό το άρθρο. Η Cloudflare δεν εκδίδει ακόμη πιστοποιητικά. Ό,τι αφορά τη συμπεριφορά της υπηρεσίας, από τη διεπαφή ACME έως τους κανόνες ανανέωσης και την υποστήριξη των Merkle Tree Certificates, είναι δήλωση σχεδίου και όχι περιγραφή ενός συστήματος σε λειτουργία.

Αυτό που κάνει την ανακοίνωση αξιόπιστη δεν είναι η φιλοδοξία αλλά η προεργασία που ήδη φαίνεται. Η Cloudflare έχει υποβάλει αίτηση ένταξης στα root programs των Chrome, Apple, Microsoft και Mozilla. Λέει ότι προχωρά τη διαδικασία αίτησης και έγκρισης με καθένα από τα βασικά προγράμματα ριζικών κλειδιών του ιστού, και σημειώνει ότι οι διαδικασίες αυτές γίνονται δημόσια. Ο καθένας μπορεί, κατ' αρχήν, να παρακολουθήσει αν η αίτηση θα πετύχει.

Γιατί η Cloudflare είναι σε θέση να θέσει το ερώτημα #

Το επιχείρημα της Cloudflare για τη δημιουργία μιας CA ξεκινά από τη θέση της ως πελάτη. Βρίσκεται μπροστά από περισσότερο από το 20 τοις εκατό της παγκόσμιας κίνησης αιτημάτων στο διαδίκτυο. Τερματίζει TLS για εκατομμύρια τομείς και βασίζεται σε εκατομμύρια πιστοποιητικά τον χρόνο. Παρέχει στους πελάτες της πακέτα πιστοποιητικών μέσω του Universal SSL και χρησιμοποιεί επίσης πιστοποιητικά από πολλές διαφορετικές CA για να λειτουργεί τα δικά της συστήματα και τις εσωτερικές της εργασίες.

Για να μένουν σε λειτουργία οι υπηρεσίες των πελατών, η Cloudflare προμηθεύεται αυτά τα πιστοποιητικά μέσω πολλών CA, με κύριες και εφεδρικές διαδρομές, ώστε οι υπηρεσίες να αντέχουν τις διακοπές των CA και τις ανακλήσεις. Το δίκτυο συνεργαζόμενων δημόσιων CA στο οποίο βασίζεται εδώ και πολλά χρόνια αριθμεί 16.

Ο εφεδρικός μηχανισμός αξίζει μια πιο προσεκτική ματιά, γιατί δείχνει πώς σκέφτεται η Cloudflare την αστοχία. Κάθε πιστοποιητικό Universal SSL συνοδεύεται ήδη από ένα εφεδρικό πιστοποιητικό, με ξεχωριστό κλειδί και εκδομένο από άλλη αρχή. Αν το κύριο ανακληθεί ή παραβιαστεί ποτέ, το εφεδρικό είναι έτοιμο να αναπτυχθεί αυτόματα. Είναι μια αντιστάθμιση απέναντι στην αστοχία οποιασδήποτε μεμονωμένης CA, χτισμένη από την πλευρά του πελάτη.

Είναι όμως και μια αντιστάθμιση με ταβάνι. Μπορείς να διαφοροποιηθείς μόνο ανάμεσα στις CA που υπάρχουν, και η πηγή υποστηρίζει ότι η προσφορά ικανών CA είναι πιο περιορισμένη απ' ό,τι φαίνεται.

Το πρόβλημα της συγκέντρωσης #

Οι αριθμοί πίσω από αυτό το επιχείρημα είναι εντυπωσιακοί. Η Let's Encrypt εκδίδει της τάξης των δέκα εκατομμυρίων πιστοποιητικών την ημέρα. Εξυπηρετεί περισσότερους από 500 εκατομμύρια ιστότοπους και ξεπέρασε τα τέσσερα δισεκατομμύρια ενεργά πιστοποιητικά το 2025. Αυτά είναι στοιχεία μίας μόνο δωρεάν CA, και περιγράφουν έναν ιστό του οποίου η κρυπτογράφηση στηρίζεται έντονα σε έναν οργανισμό.

Η πηγή βγάζει το προφανές συμπέρασμα, με μια επιφύλαξη που είναι εύλογη: αν η κυρίαρχη δωρεάν αρχή πιστοποίησης περνούσε μια κακή εβδομάδα, μεγάλο μέρος του ιστού δεν θα είχε συγκρίσιμη δωρεάν, αυτοματοποιημένη εναλλακτική έτοιμη να αναλάβει το φορτίο. Πρόκειται για δήλωση για ένα υποθετικό σενάριο, και η Cloudflare την παρουσιάζει ως τέτοια. Δεν ισχυρίζεται ότι μια τέτοια εβδομάδα συνέβη ή ότι έρχεται.

Ακόμη κι έτσι, η λογική είναι εύκολη στην παρακολούθηση. Μια δωρεάν, αυτοματοποιημένη CA αποτελεί επιλογή ανθεκτικότητας μόνο αν υπάρχει πριν από την έκτακτη ανάγκη. Η πρόταση της Cloudflare είναι ότι μπορεί να προσφέρει μια δεύτερη σε μεγάλη κλίμακα. Θα υποστήριζα ότι αυτός είναι ο ισχυρότερος εμπορικός και τεχνικός λόγος της ανακοίνωσης, και δεν εξαρτάται από κανένα από τα πιο εικαστικά μέρη του σχεδίου. Ένας ιστός με μία κυρίαρχη δωρεάν CA και ελάχιστα άλλα είναι ένας ιστός με ένα μοναδικό σημείο αστοχίας, όποια κι αν είναι η ποιότητα λειτουργίας αυτής της CA.

Διάσταση	Παραδοσιακή δωρεάν αυτοματοποιημένη CA (Let's Encrypt)	Προτεινόμενη δημόσια CA της Cloudflare
Στρατηγική άγκυρας εμπιστοσύνης	ISRG Root X1 / X2 (ίδια roots από το 2015 και μετά)	Αποκτημένο root της GlobalSign (έμπιστο από το 2012) + νέο root
Πρωτόκολλο έκδοσης	Τυπικό ACME (RFC 8555)	ACME με υποχρεωτική επιβολή του ARI (RFC 9773)
Μοντέλο ανάκλησης	CRL / OCSP + έκτακτη μαζική αντικατάσταση στους συνδρομητές	Συντονισμένη επίσπευση ανανεώσεων μέσω των τελικών σημείων ARI
Μετακβαντική πορεία	Υβριδικές υπογραφές X.509 υπό αξιολόγηση	Εγγενή Merkle Tree Certificates (MTC) που συνυπάρχουν με το κλασικό X.509
Κλίμακα και αρχικό φορτίο	~10 εκατ. πιστοποιητικά/ημέρα σε 500+ εκατ. ιστότοπους	Επικύρωση με την Cloudflare ως πελάτη μηδέν σε 20%+ της παγκόσμιας κίνησης ιστού

Αγορά ενός root αντί για αναμονή #

Η πιο πρακτική απόφαση της ανακοίνωσης αφορά το root. Η Cloudflare λέει ότι υπέγραψε οριστική συμφωνία για την απόκτηση ενός καθιερωμένου, ευρέως έμπιστου root από τη GlobalSign. Η πηγή δίνει τον λόγο ευθέως: ένα ολοκαίνουργιο root δεν είναι ευρέως χρήσιμο για χρόνια. Το υπάρχον root της GlobalSign, αντίθετα, είναι έμπιστο σε προγράμματα περιήγησης, λειτουργικά συστήματα και συσκευές από το 2012.

Η εμπιστοσύνη σε ένα root κερδίζεται αργά, επειδή εγκαθίσταται σε συσκευές, και οι συσκευές ενημερώνονται αργά. Ένα νέο root μπορεί να γίνει δεκτό από κάθε πρόγραμμα και παρ' όλα αυτά να μην επικυρώνεται σε ένα παλαιότερο τηλέφωνο ή σε ένα ενσωματωμένο σύστημα. Η απόκτηση ενός root που κυκλοφορεί ήδη από το 2012 παρακάμπτει αυτή την αναμονή, τουλάχιστον όπως το παρουσιάζει η πηγή.

Η Cloudflare δεν εγκαταλείπει εντελώς τον δρόμο του νέου root. Θα υποβάλει επίσης ένα νέο root για ένταξη στα προγράμματα ριζικών κλειδιών, το οποίο περιγράφει ως σχεδιασμένο για την κατεύθυνση προς την οποία κινείται το οικοσύστημα, συμπεριλαμβανομένων προγραμμάτων που αρχίζουν να θέτουν όριο στο πόσο παλιό μπορεί να είναι ένα έμπιστο root. Αυτή η τελευταία λεπτομέρεια υπενθυμίζει χρήσιμα ότι η ηλικία κόβει και από τις δύο πλευρές. Η ηλικία ενός έμπιστου root είναι πλεονέκτημα για την κάλυψη συσκευών, και ορισμένα προγράμματα κινούνται προς όρια για το πόσο παλιό μπορεί να είναι ένα έμπιστο root. Η παράλληλη λειτουργία ενός αποκτημένου root και μιας νέας υποβολής μοιάζει με απάντηση σε αυτή την ένταση, αν και η πηγή δεν διατυπώνει το σκεπτικό με αυτούς τους όρους.

Μια υπηρεσία πρώτα ACME, με όρους #

Η υιοθέτηση είναι το σημείο όπου πολλές ανακοινώσεις CA γίνονται αόριστες. Η Cloudflare είναι συγκεκριμένη. Η δημόσια CA της θα είναι πρώτα ACME, δηλαδή θα μιλά το πρωτόκολλο Automated Certificate Management Environment που ήδη χρησιμοποιεί ο υπάρχων αυτοματισμός. Ο ισχυρισμός είναι ότι όποιος ήδη χρησιμοποιεί μια υπάρχουσα δωρεάν CA μπορεί να μεταφερθεί στην CA της Cloudflare αλλάζοντας ένα URL καταλόγου, χωρίς νέα εργαλεία και χωρίς ανασχεδιασμό. Είναι σχέδιο, όχι δοκιμασμένη διαδρομή μετάβασης, και έτσι πρέπει να διαβάζεται. Όμως μια αλλαγή ρύθμισης μίας γραμμής είναι ο σωστός στόχος, γιατί το κόστος της μετάβασης είναι αυτό που κρατά τους ανθρώπους στην προεπιλογή.

Η παγίδα είναι μια απαίτηση που οι περισσότεροι χρήστες του ACME δεν χρειάστηκε να καλύψουν. Η Cloudflare θα εκδίδει μόνο σε πελάτες λογισμικού που υποστηρίζουν το ACME Renewal Information, ή ARI, το οποίο είναι τυποποιημένο στο RFC 9773. Οι συνδρομητές πρέπει να διατηρούν αυτοματισμό που ερωτά το τελικό σημείο ανανέωσης της Cloudflare, ενεργεί σύμφωνα με τα παράθυρα ανανέωσης που δημοσιεύει η Cloudflare και προσδιορίζει το πιστοποιητικό που αντικαθιστά.

Είναι μια σταθερή θέση, και νομίζω ότι είναι η σωστή. Εγείρει όμως και ένα εύλογο ερώτημα για την υιοθέτηση: μια CA που εξυπηρετεί μόνο πελάτες λογισμικού με δυνατότητα ARI είναι στενότερη από μια που εξυπηρετεί όποιον έχει μια βιβλιοθήκη ACME. Η πηγή δεν λέει πόσους πελάτες αποκλείει αυτό σήμερα, οπότε δεν θα μαντέψω. Λέει όμως γιατί η Cloudflare θέλει αυτόν τον περιορισμό.

Ανάκληση χωρίς να χαλάνε οι ιστότοποι #

Η Cloudflare δηλώνει ότι έχει παρατηρήσει διάφορα τα τελευταία 16 χρόνια, και μία παρατήρηση καθοδηγεί αυτόν τον σχεδιασμό. Έχει δει αρχές πιστοποίησης παγιδευμένες ανάμεσα στην έγκαιρη ανάκληση και στη διατήρηση των ιστοτόπων των συνδρομητών σε λειτουργία.

Αυτή η ένταση είναι πραγματική για κάθε CA. Η γρήγορη ανάκληση ενός πιστοποιητικού προστατεύει το κοινό, αλλά μπορεί να ρίξει κάθε ιστότοπο που εξαρτάται από αυτό, αν ο συνδρομητής δεν μπορεί να το αντικαταστήσει αρκετά γρήγορα. Μια CA παγιδευμένη στη μέση είτε ανακαλεί αργά είτε χαλά τους πελάτες της.

Το ARI είναι η απάντηση της Cloudflare. Όταν πρέπει να αποσυρθούν πιστοποιητικά, η Cloudflare λέει ότι μπορεί να φέρει νωρίτερα τα παράθυρα ανανέωσης για τα επηρεαζόμενα πιστοποιητικά. Επειδή οι συνδρομητές υποχρεούνται να ερωτούν το τελικό σημείο ανανέωσης και να ενεργούν σύμφωνα με τα παράθυρα που δημοσιεύει, η CA μπορεί να τους κατευθύνει προς την αντικατάσταση πριν επέλθει μια σκληρή ανάκληση. Ο μηχανισμός περιγράφεται ως δυνατότητα που η Cloudflare σκοπεύει να έχει, όχι ως δυνατότητα που έχει αποδείξει ως CA. Παρ' όλα αυτά η λογική στέκει: η απαίτηση ερωτήματος υπάρχει ώστε αυτός ο μοχλός να λειτουργεί.

Η ίδια σκέψη φαίνεται σε έναν ευρύτερο σχεδιαστικό στόχο. Η Cloudflare σκοπεύει να χτίσει μια αρχή πιστοποίησης της οποίας η αξιοπιστία δεν εξαρτάται μόνο από την αποφυγή λαθών αλλά, όπως και στα υπόλοιπα προϊόντα της Cloudflare, από το να αστοχεί σε μικρή κλίμακα και να περιορίζει τον αντίκτυπο κάθε μεμονωμένου προβλήματος. Η αποφυγή λαθών είναι απαραίτητη για μια CA, και καμία CA δεν μπορεί να την υποσχεθεί απόλυτα. Ο σχεδιασμός ώστε ένα λάθος να μένει περιορισμένο είναι η πιο έντιμη μηχανική στάση.

Διαφάνεια πέρα από τον έλεγχο #

Οι δημόσιες CA κρίνονται συνήθως από ελέγχους. Η πηγή είναι ευθεία για τα όριά τους: οι έλεγχοι αφορούν μια συγκεκριμένη στιγμή και σου λένε ότι μια CA πέρασε. Δεν σου λένε τι κάνει η CA μια τυχαία Τρίτη αργότερα.

Η απάντηση της Cloudflare είναι η δήλωση ότι θα δημοσιεύει αναπαραγώγιμες εκδόσεις του λογισμικού που υπογράφει τα πιστοποιητικά. Αυτό παρουσιάζεται ως δέσμευση, όχι ως ολοκληρωμένο παραδοτέο. Οι αναπαραγώγιμες εκδόσεις επιτρέπουν σε τρίτους να ελέγξουν ότι το εκτελέσιμο που τρέχει στη διαδρομή υπογραφής αντιστοιχεί στον δημοσιευμένο πηγαίο κώδικα, κάτι που είναι συνεχής ιδιότητα με τρόπο που μια έκθεση ελέγχου δεν είναι. Το αν αυτό θα αποδειχθεί αρκετό θα εξαρτηθεί από το τι θα δημοσιεύει πράγματι η Cloudflare και από το αν άλλοι θα το ελέγχουν.

Το δεύτερο μισό της ανακοίνωσης: Merkle Tree Certificates #

Το μετακβαντικό κομμάτι είναι εκεί όπου η ανακοίνωση κοιτάζει πιο μακριά. Η Cloudflare ανακοινώνει σχέδια να είναι μία από τις πρώτες CA που θα προσφέρουν μετακβαντικά πιστοποιητικά, και σχεδιάζει να εκδώσει τα πρώτα της Merkle Tree Certificates το πρώτο τρίμηνο του 2027. Άλλο απόσπασμα της πηγής λέει ότι τα πρώτα MTC αναμένονται στις αρχές του 2027. Και τα δύο είναι σχέδια.

Η πηγή περιγράφει τα MTC ως έναν νέο και πολύ πιο συμπαγή τρόπο παράδοσης δημόσια έμπιστων πιστοποιητικών. Η διατύπωση αυτή είναι περιγραφή, και η πηγή δεν παρέχει μετρήσεις στα αποσπάσματα από τα οποία εργάζομαι, οπότε δεν μπορώ να πω πόσο πιο συμπαγή. Η Cloudflare λέει ότι υποστηρίζει ενεργά στην IETF την πρόταση για τα MTC που βασίζεται σε πρότυπα. Αναφέρει επίσης ότι το Chrome ονόμασε νωρίτερα φέτος τα MTC ως την προτιμώμενη οδό για μετακβαντική αυθεντικοποίηση. Αυτό είναι αποδεδειγμένο γεγονός, και μετράει, επειδή η δηλωμένη προτίμηση ενός κατασκευαστή προγράμματος περιήγησης είναι αυτό που μετατρέπει μια πρόταση σε κάτι γύρω από το οποίο μια CA μπορεί να σχεδιάσει.

Η Cloudflare δεν αναμένει η μετάβαση να είναι απότομη. Αναμένει ότι μεγάλο μέρος του διαδικτύου θα συνεχίσει να βασίζεται σε κλασικά πιστοποιητικά και στο υπάρχον WebPKI για πολλά ακόμη χρόνια. Σε αυτό το διάστημα, αναμένει ότι τα MTC θα καταλαμβάνουν σταθερά αυξανόμενο μερίδιο της έκδοσης. Αυτές είναι προσδοκίες, και η πηγή τις χαρακτηρίζει ως τέτοιες.

Μία CA, ένας κύκλος ζωής #

Η αρχιτεκτονική επιλογή που προκύπτει από αυτό είναι αυτή που βρίσκω πιο πειστική. Η νέα CA είναι σχεδιασμένη να φέρει κλασικά πιστοποιητικά και Merkle Tree Certificates κάτω από μία CA, με έναν κύκλο ζωής και ένα σύνολο εγγυήσεων. Οι πελάτες μπορούν τότε να υιοθετήσουν με τον ρυθμό που τους ταιριάζει και να βοηθήσουν τον ιστό να κάνει το πέρασμα χωρίς σκληρή μετάβαση.

Η εναλλακτική είναι δύο παράλληλες CA, δύο σύνολα διαδικασιών και κάποια στιγμή μια αναγκαστική μετάβαση. Μια σκληρή μετάβαση είναι ο πιο ριψοκίνδυνος τρόπος να αλλάξει ένα οικοσύστημα πιστοποιητικών, και ο δηλωμένος στόχος της πηγής είναι να αποφευχθεί. Η διατύπωση είναι επιφυλακτική, και σωστά: πρόκειται για σχεδιαστική πρόθεση μιας CA που δεν εκδίδει ακόμη.

Ταιριάζει επίσης με την εικόνα των κινήτρων. Η Cloudflare λέει ότι αναμένει ο αριθμός των πιστοποιητικών στα οποία βασίζεται ετησίως να συνεχίσει να αυξάνεται καθώς οι μέγιστες περίοδοι ισχύος μειώνονται, η δραστηριότητα πρακτόρων αυξάνεται και τα μετακβαντικά πιστοποιητικά γίνονται συνηθισμένα. Περισσότερα πιστοποιητικά, που εκδίδονται συχνότερα, συνηγορούν υπέρ του αυτοματισμού και μιας CA που αντιμετωπίζει την ανανέωση ως λειτουργία πρώτης γραμμής. Ένα σύστημα χτισμένο γύρω από το ARI και έναν κύκλο ζωής είναι εύλογη απάντηση σε αυτή την προσδοκία, αν και η ίδια η προσδοκία είναι πρόβλεψη, όχι μέτρηση.

Πελάτης μηδέν #

Πώς δοκιμάζεις μια CA πριν βασιστεί πάνω της το κοινό; Η απάντηση της Cloudflare είναι να γίνει ο πρώτος πελάτης του εαυτού της. Θα είναι ο πελάτης μηδέν για τη νέα CA και τα πιστοποιητικά της, τόσο WebPKI όσο και MTC. Ο δηλωμένος σκοπός είναι να διασφαλιστεί ότι όλες οι πτυχές των νέων συστημάτων και διαδικασιών πληρούν τα υψηλά εσωτερικά πρότυπα της Cloudflare και ότι η υποδομή της CA δοκιμάζεται σε κλίμακα Cloudflare.

Δεδομένων των παραπάνω αριθμών, πρόκειται για απαιτητικό εσωτερικό φορτίο: εκατομμύρια πιστοποιητικά τον χρόνο, σε μια εταιρεία που βρίσκεται μπροστά από περισσότερο από το 20 τοις εκατό της παγκόσμιας κίνησης αιτημάτων. Το αν τα πρώτα χρόνια λειτουργίας θα κυλήσουν ομαλά είναι κάτι που οι ισχυρισμοί δεν μπορούν να μας πουν. Αυτό που δείχνουν είναι μια λογική σειρά βημάτων. Η εταιρεία ξεκινά ως εντατικός χρήστης αυτού που χτίζει, με ιστορικό προμήθειας μέσω πολλών CA, εφεδρικές διαδρομές και 16 συνεργαζόμενες CA πίσω της.

Αξίζει να ειπωθεί καθαρά τι λείπει. Τίποτα στην πηγή δεν αναφέρει όγκους έκδοσης, ποσοστά σφαλμάτων, καθυστέρηση επικύρωσης ή ιστορικό συμβάντων για την ίδια την CA της Cloudflare, επειδή τέτοιο ιστορικό δεν υπάρχει ακόμη. Η ανακοίνωση είναι δήλωση πρόθεσης που στηρίζεται σε αιτήσεις, μια συμφωνία απόκτησης και έναν σχεδιασμό. Δεν είναι ιστορικό αποδόσεων.

Τι να παρακολουθήσετε #

Τρία πράγματα θα κρίνουν αν αυτό θα είναι μια ουσιαστική προσθήκη στο WebPKI ή απλώς μια ενδιαφέρουσα ανακοίνωση.

Το πρώτο είναι τα root programs. Η Cloudflare έχει υποβάλει αίτηση στα Chrome, Apple, Microsoft και Mozilla, και οι διαδικασίες γίνονται δημόσια. Η παρακολούθησή τους είναι ο πιο άμεσος τρόπος να δει κανείς πόσο έχει προχωρήσει το σχέδιο, και το αποτέλεσμα δεν είναι κάτι που κάποιος από τους ισχυρισμούς μού επιτρέπει να προβλέψω.

Το δεύτερο είναι η απαίτηση ARI. Μια CA που επιμένει στην υποστήριξη του RFC 9773 στοιχηματίζει ότι ο αυτοματισμός ανανέωσης μπορεί να προωθηθεί σε όλη τη βάση των συνδρομητών της. Αν το στοίχημα είναι σωστό, δίνει στην Cloudflare τη δυνατότητα να φέρνει νωρίτερα τα παράθυρα ανανέωσης όταν πρέπει να αποσυρθούν πιστοποιητικά, που είναι η δηλωμένη απάντηση στο δίλημμα της ανάκλησης που έχει δει. Αν είναι λάθος, η υιοθέτηση θα είναι πιο αργή απ' ό,τι υπονοεί η ιστορία της μετάβασης με μία γραμμή.

Το τρίτο είναι το πρώτο τρίμηνο του 2027. Τότε σχεδιάζει η Cloudflare τα πρώτα της Merkle Tree Certificates. Το ανοιχτό ερώτημα είναι πόσο γρήγορα θα αυξηθεί πράγματι το σταθερά αυξανόμενο μερίδιο που αναμένει, δεδομένης της δικής της άποψης ότι μεγάλο μέρος του διαδικτύου θα μείνει στα κλασικά πιστοποιητικά για πολλά ακόμη χρόνια. Η εταιρεία έχει πει ότι το πέρασμα δεν θα πρέπει να απαιτεί σκληρή μετάβαση. Το πρώτο τρίμηνο του 2027 θα είναι η πρώτη ευκαιρία να φανεί αν μία CA που φέρει και τους δύο τύπους πιστοποιητικών μπορεί να το κάνει πραγματικότητα.

Τι σημαίνει ανά κλάδο #

Η εμφάνιση μιας δημόσιας αρχής πιστοποίησης μεγάλου όγκου και αυτοματοποιημένης από έναν πάροχο υποδομών edge αλλάζει τον επιχειρησιακό κίνδυνο και τον σχεδιασμό PKI σε αρκετούς τεχνικούς τομείς.

Υποδομές cloud και δίκτυα edge #

Η λειτουργία μιας δημόσιας CA σε κλίμακα edge μειώνει την εξωτερική εξάρτηση από API επαλήθευσης και λίστες CRL τρίτων. Συνδυάζοντας τον τερματισμό TLS στους αντίστροφους διακομιστές μεσολάβησης στο edge με αυτοματοποιημένες ανανεώσεις ACME ARI, οι πάροχοι υποδομών μπορούν να προστατεύουν τους πελάτες τους από διακοπές αρχών πιστοποίησης ψηλότερα στην αλυσίδα.

Εταιρικό PKI και ομάδες DevOps #

Οι οργανισμοί που βασίζονται στη Let's Encrypt για δημόσια τελικά σημεία αποκτούν μια αξιόπιστη, αυτοματοποιημένη εναλλακτική. Ωστόσο, η υποχρεωτική επιβολή του RFC 9773 (ARI) σημαίνει ότι οι ομάδες πρέπει να ελέγξουν τους πελάτες ACME τους (Certbot, Lego, Caddy, Traefik) ώστε να βεβαιωθούν ότι η υποστήριξη ARI είναι ενεργή πριν αλλάξουν τελικά σημεία καταλόγου.

Κατασκευαστές προγραμμάτων περιήγησης και διακυβέρνηση των roots #

Τα root programs (Chrome, Mozilla, Apple, Microsoft) αντιμετωπίζουν ένα διευρυνόμενο οικοσύστημα αυτοματοποιημένων CA μεγάλου όγκου. Η προσέγγιση δύο δρόμων για τα roots (απόκτηση ενός παλαιού root του 2012 με ταυτόχρονη υποβολή ενός σύγχρονου) κινείται ανάμεσα σε πολιτικές προγραμμάτων περιήγησης που περιορίζουν όλο και περισσότερο τη διάρκεια ζωής των ριζικών πιστοποιητικών και στην ανάγκη συμβατότητας με παλαιότερες συσκευές.

Συμπέρασμα #

Η κίνηση της Cloudflare να γίνει δημόσια αρχή πιστοποίησης αντιμετωπίζει μια πραγματική δομική ευπάθεια του σημερινού WebPKI: την ακραία συγκέντρωση της δωρεάν, αυτοματοποιημένης έκδοσης πιστοποιητικών. Συνδυάζοντας ένα καθιερωμένο root της GlobalSign, αυστηρό αυτοματισμό ανανέωσης με ARI και μια γέφυρα προς τα μετακβαντικά Merkle Tree Certificates, ο σχεδιασμός στοχεύει στην επιχειρησιακή ανθεκτικότητα και όχι απλώς στην παροχή πιστοποιητικών. Η επιτυχία θα κριθεί από τις εγκρίσεις των root programs και από το πόσο γρήγορα τα εργαλεία πελατών θα υιοθετήσουν τα πρότυπα ARI πριν από τη διάθεση του 2027.

Συχνές ερωτήσεις #

Μπορώ να μεταφέρω σήμερα τον πελάτη ACME μου στην CA της Cloudflare;

Όχι ακόμη. Η Cloudflare έχει ανακοινώσει την πρόθεσή της, έχει υπογράψει τη συμφωνία απόκτησης του root και έχει υποβάλει αιτήσεις στα μεγάλα root programs. Η δημόσια έκδοση προγραμματίζεται μετά τις εγκρίσεις των root programs.

Τι είναι το ACME Renewal Information (ARI) και γιατί έχει σημασία;

Το ARI (RFC 9773) είναι μια επέκταση του πρωτοκόλλου ACME που επιτρέπει στις αρχές πιστοποίησης να ενημερώνουν τους συνδρομητές πότε πρέπει να ανανεωθεί ένα πιστοποιητικό. Έτσι οι CA μπορούν να συντονίζουν ομαλά πρόωρες ανανεώσεις ενόψει προγραμματισμένων ανακλήσεων, αποτρέποντας διακοπές ιστοτόπων.

Σε τι διαφέρουν τα Merkle Tree Certificates (MTC) από τα τυπικά πιστοποιητικά X.509;

Τα MTC αντικαθιστούν τις παραδοσιακές μεμονωμένες κρυπτογραφικές υπογραφές με αποδείξεις ένταξης σε δέντρο Merkle, αγκυρωμένες σε ένα δημόσια επαληθεύσιμο αρχείο καταγραφής. Αυτό μειώνει σημαντικά το μέγεθος του πιστοποιητικού και το κόστος μετάδοσης, καθιστώντας τα προτιμώμενο υποψήφιο για μετακβαντική αυθεντικοποίηση TLS.

Βιβλιογραφία #

Cloudflare, (2026). Η δημιουργία μιας αρχής πιστοποίησης για ολόκληρο το διαδίκτυο ⧉. Cloudflare Blog.
IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
IETF, (2025). Merkle Tree Certificates για το TLS ⧉. IETF.
Chrome Root Program, (2026). Πολιτική και παράμετροι για τη μετακβαντική αυθεντικοποίηση ⧉. Chromium Projects.

Τελευταία αναθεώρηση 2026-09-20.

Τελευταία αναθεώρηση 2026-10-27.

Αναδημοσίευση αυτού του άρθρου

Η Cloudflare θέλει δικά της πιστοποιητικά κόντρα στη συγκέντρωση CA — Sebastien Rousseau

Η Cloudflare θέλει να γίνει δημόσια αρχή πιστοποίησης, υπέβαλε αίτηση στα root programs των Chrome, Apple, Microsoft και Mozilla και αγοράζει ένα root της GlobalSign.

Αυτό το άρθρο διατίθεται με άδεια Creative Commons Attribution 4.0 International. Η αναδημοσίευση απαιτεί αναφορά στην κανονική διεύθυνση URL.

Η Cloudflare θέλει δικά της πιστοποιητικά κόντρα στη συγκέντρωση CA — Sebastien Rousseau

Η Cloudflare θέλει να γίνει δημόσια αρχή πιστοποίησης, υπέβαλε αίτηση στα root programs των Chrome, Apple, Microsoft και Mozilla και αγοράζει ένα root της GlobalSign.

Originally published at https://sebastienrousseau.com/el/2026-09-20-cloudflare-thelei-dika-pistopoiitika-kontra-sti/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER