Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण

Cloudflare अनेक वर्षे १६ भागीदार सार्वजनिक CA वर अवलंबून राहिली आहे आणि तिने स्वतः कधीही एकही सार्वजनिकरीत्या विश्वसनीय प्रमाणपत्र दिलेले नाही. आता ती स्वतः CA बनू इच्छिते, आणि रोचक भाग म्हणजे तिची रचना: एकाच CA खाली पारंपरिक प्रमाणपत्रे आणि Merkle Tree Certificates, आणि सुरुवातीपासूनच अपयश मर्यादित ठेवण्याची व्यवस्था.

प्रमाणपत्रांचा ग्राहक आता देणारा बनणार #

बहुतेक इन्फ्रास्ट्रक्चर कंपन्या प्रमाणपत्रांच्या नात्याच्या एकाच बाजूला राहतात. त्या प्रमाणपत्रे मागवतात, ती बसवतात, आणि एखाद्या CA ला घटना घडली की तक्रार करतात. Cloudflare ठामपणे ग्राहकाच्या बाजूला राहिली आहे. तिच्याच सांगण्यानुसार, तिने स्वतः कधीही एकही सार्वजनिकरीत्या विश्वसनीय प्रमाणपत्र दिलेले नाही.

हे बदलणार आहे, किंवा किमान Cloudflare तसा इरादा असल्याचे सांगते. कंपनी सार्वजनिक प्रमाणपत्र प्राधिकरण बनण्याचा इरादा जाहीर करत आहे. आज परिस्थिती कुठे आहे याबद्दल घोषणा काळजीपूर्वक बोलते, आणि हा लेखही तसाच असला पाहिजे. Cloudflare अजून प्रमाणपत्रे देत नाही. सेवेच्या वर्तनाबद्दलचे सर्व काही, तिच्या ACME इंटरफेसपासून नूतनीकरणाच्या नियमांपर्यंत आणि Merkle Tree Certificate समर्थनापर्यंत, हे योजनेचे विधान आहे, चालू असलेल्या प्रणालीचे वर्णन नाही.

घोषणा विश्वासार्ह ठरते ती महत्त्वाकांक्षेमुळे नव्हे, तर आधीच दिसणाऱ्या पायाभूत कामामुळे. Cloudflare ने Chrome, Apple, Microsoft आणि Mozilla च्या रूट कार्यक्रमांमध्ये समावेशासाठी अर्ज केला आहे. ती सांगते की वेबच्या प्रत्येक मुख्य रूट की कार्यक्रमासोबत ती अर्ज आणि मान्यता प्रक्रियेतून जात आहे, आणि या प्रक्रिया खुलेपणाने होतात हेही ती नमूद करते. तत्त्वतः कोणीही पाहू शकतो की अर्ज यशस्वी होतो की नाही.

हा प्रश्न विचारण्याच्या स्थितीत Cloudflare का आहे #

CA उभारण्याचा Cloudflare चा युक्तिवाद ग्राहक म्हणून तिच्या स्थानापासून सुरू होतो. ती जागतिक इंटरनेट विनंती रहदारीच्या २० टक्क्यांहून अधिक भागासमोर उभी आहे. ती लाखो डोमेनसाठी TLS संपवते आणि दरवर्षी लाखो प्रमाणपत्रांवर अवलंबून असते. ती आपल्या ग्राहकांना Universal SSL द्वारे प्रमाणपत्र पॅक देते, आणि स्वतःच्या प्रणाली व अंतर्गत कामकाज चालवण्यासाठी अनेक वेगवेगळ्या CA कडून प्रमाणपत्रेही घेते.

ग्राहक सेवा चालू ठेवण्यासाठी Cloudflare ही प्रमाणपत्रे अनेक CA मार्फत मिळवते, प्राथमिक आणि राखीव मार्गांसह, जेणेकरून CA बंद पडणे आणि रद्दबातलीच्या घटनांमध्येही ग्राहक सेवा चालू राहतील. ती अनेक वर्षांपासून ज्या भागीदार सार्वजनिक CA वर अवलंबून आहे, त्यांची संख्या १६ आहे.

राखीव व्यवस्थेकडे जवळून पाहणे योग्य ठरते, कारण त्यातून Cloudflare अपयशाबद्दल कसा विचार करते ते दिसते. प्रत्येक Universal SSL प्रमाणपत्रासोबत आधीच एक राखीव प्रमाणपत्र येते, जे वेगळ्या कीने गुंडाळलेले असते आणि वेगळ्या प्राधिकरणाकडून दिलेले असते. प्राथमिक प्रमाणपत्र कधी रद्द झाले किंवा धोक्यात आले, तर राखीव प्रमाणपत्र आपोआप लागू होण्यास तयार असते. हे कोणत्याही एका CA मध्ये बिघाड झाल्यास बचाव आहे, जो नात्याच्या ग्राहक बाजूने उभारलेला आहे.

या बचावालाही एक मर्यादा आहे. जे CA अस्तित्वात आहेत त्यांच्यातच विविधता आणता येते, आणि स्रोताचा युक्तिवाद असा आहे की सक्षम CA चा पुरवठा दिसतो त्यापेक्षा कमी आहे.

केंद्रीकरणाची समस्या #

त्या युक्तिवादामागील आकडे लक्षवेधी आहेत. Let's Encrypt दररोज सुमारे एक कोटी प्रमाणपत्रे देते. ते ५० कोटींहून अधिक साइटना सेवा देते आणि २०२५ मध्ये त्याने चार अब्ज सक्रिय प्रमाणपत्रांचा टप्पा ओलांडला. हे एकाच मोफत CA चे आकडे आहेत, आणि ते अशा वेबचे वर्णन करतात ज्याचे एन्क्रिप्शन एकाच संस्थेवर मोठ्या प्रमाणात टेकलेले आहे.

स्रोत स्पष्ट निष्कर्ष काढतो, योग्य सावधगिरीसह: प्रमुख मोफत प्रमाणपत्र प्राधिकरणाचा एखादा आठवडा वाईट गेला, तर वेबच्या मोठ्या भागाकडे भार उचलण्यासाठी तुलनीय मोफत, स्वयंचलित पर्याय तयार नसेल. हे एका काल्पनिक परिस्थितीबद्दलचे विधान आहे, आणि Cloudflare ते तसेच मांडते. असा आठवडा येऊन गेला आहे किंवा येणार आहे, असा दावा ती करत नाही.

तरीही तर्क समजणे सोपे आहे. मोफत, स्वयंचलित CA हा लवचीकतेचा पर्याय तेव्हाच ठरतो जेव्हा तो आणीबाणीपूर्वी अस्तित्वात असतो. Cloudflare चा प्रस्ताव असा आहे की ती मोठ्या प्रमाणावर दुसरा पर्याय देऊ शकते. माझ्या मते हे घोषणेतील सर्वात भक्कम व्यावसायिक आणि तांत्रिक कारण आहे, आणि ते योजनेच्या कोणत्याही अधिक अनुमानात्मक भागावर अवलंबून नाही. ज्या वेबमध्ये एक प्रमुख मोफत CA आहे आणि बाकी फारसे काही नाही, त्या वेबमध्ये अपयशाचा एकच बिंदू आहे, त्या CA चे कामकाज कितीही चांगले असले तरी.

रूटची वाट पाहण्याऐवजी तो विकत घेणे #

घोषणेतील सर्वात व्यावहारिक निर्णय रूटबद्दल आहे. Cloudflare सांगते की तिने GlobalSign कडून एक प्रस्थापित, व्यापकपणे विश्वसनीय रूट विकत घेण्याचा निश्चित करार केला आहे. स्रोत थेट कारण देतो: अगदी नवा रूट अनेक वर्षे व्यापकपणे उपयोगी ठरत नाही. याउलट विद्यमान GlobalSign रूट २०१२ पासून ब्राउझर, ऑपरेटिंग सिस्टम आणि उपकरणांमध्ये विश्वसनीय आहे.

रूटवरील विश्वास हळूहळू तयार होतो, कारण तो उपकरणांमध्ये बसवलेला असतो, आणि उपकरणे हळूहळू अद्ययावत होतात. नवा रूट प्रत्येक कार्यक्रमात स्वीकारला जाऊ शकतो आणि तरीही जुन्या फोनवर किंवा एम्बेडेड प्रणालीवर पडताळला जाऊ शकत नाही. २०१२ पासून वापरात असलेला रूट विकत घेतल्याने ती वाट टळते, किमान स्रोत ज्या प्रकारे मांडतो त्याप्रमाणे.

Cloudflare नव्या रूटचा मार्ग पूर्णपणे सोडत नाही. ती रूट की कार्यक्रमांमध्ये समावेशासाठी एक नवा रूटही सादर करेल, जो परिसंस्था ज्या दिशेने जात आहे त्यासाठी बनवलेला असल्याचे ती सांगते, ज्यात विश्वसनीय रूट किती जुना असू शकतो यावर मर्यादा घालू लागलेले कार्यक्रमही येतात. हा शेवटचा तपशील उपयुक्त आठवण करून देतो की वयाला दोन्ही बाजू असतात. विश्वसनीय रूटचे वय उपकरणांपर्यंत पोहोचण्यासाठी मालमत्ता आहे, आणि काही कार्यक्रम विश्वसनीय रूट किती जुना असू शकतो यावर मर्यादांकडे जात आहेत. विकत घेतलेला रूट आणि नवा अर्ज दोन्ही एकत्र चालवणे हे त्या ताणाला दिलेले उत्तर दिसते, जरी स्रोत तो तर्क या शब्दांत मांडत नाही.

अटींसह ACME-प्रथम सेवा #

स्वीकाराच्या प्रश्नावर अनेक CA घोषणा अस्पष्ट होतात. Cloudflare नेमकी आहे. तिचे सार्वजनिक CA ACME-प्रथम असेल, म्हणजे ते Automated Certificate Management Environment प्रोटोकॉल वापरेल, जो विद्यमान स्वयंचलन आधीच वापरते. दावा असा आहे की जो कोणी आधीच एखाद्या विद्यमान मोफत CA कडे निर्देश करत आहे, तो एक directory URL बदलून Cloudflare च्या CA कडे जाऊ शकतो, नवी साधने न घेता आणि काहीही पुन्हा न उभारता. ही योजना आहे, चाचणी झालेला स्थलांतर मार्ग नाही, आणि ती तशीच वाचली पाहिजे. पण एका ओळीचा संरचना बदल हे योग्य लक्ष्य आहे, कारण स्थलांतराचा खर्चच लोकांना डीफॉल्टवर टिकवून ठेवतो.

मेख एका अटीत आहे जी बहुतेक ACME वापरकर्त्यांना पूर्ण करावी लागलेली नाही. Cloudflare फक्त ACME Renewal Information, म्हणजे ARI, ला समर्थन देणाऱ्या क्लायंटनाच प्रमाणपत्रे देईल, जे RFC 9773 मध्ये प्रमाणित आहे. ग्राहकांनी असे स्वयंचलन ठेवले पाहिजे जे Cloudflare च्या नूतनीकरण एंडपॉइंटला नियमितपणे विचारते, Cloudflare प्रकाशित करत असलेल्या नूतनीकरण कालावधींनुसार कृती करते, आणि ते कोणते प्रमाणपत्र बदलत आहे ते ओळखते.

ही ठाम भूमिका आहे, आणि मला ती योग्य वाटते. त्यातून स्वीकाराबद्दल एक रास्त प्रश्नही उभा राहतो: फक्त ARI-सक्षम क्लायंटना सेवा देणारे CA हे ACME लायब्ररी असलेल्या कोणालाही सेवा देणाऱ्या CA पेक्षा अरुंद आहे. आज यातून किती क्लायंट वगळले जातात हे स्रोत सांगत नाही, म्हणून मी अंदाज बांधणार नाही. Cloudflare ला ही अट का हवी आहे, हे मात्र तो सांगतो.

साइट न मोडता रद्दबातली #

Cloudflare सांगते की तिने गेल्या १६ वर्षांत अनेक गोष्टी पाहिल्या आहेत, आणि त्यातील एक निरीक्षण या रचनेला दिशा देते. तिने प्रमाणपत्र प्राधिकरणांना वेळेवर रद्दबातली आणि ग्राहकांच्या साइट चालू ठेवणे यांच्या कात्रीत सापडलेले पाहिले आहे.

हा ताण कोणत्याही CA साठी खरा आहे. प्रमाणपत्र लवकर रद्द केल्याने लोकांचे संरक्षण होते, पण ग्राहक ते पुरेसे लवकर बदलू शकला नाही तर त्या प्रमाणपत्रावर अवलंबून असलेली प्रत्येक साइट बंद पडू शकते. मधे सापडलेले CA एकतर उशिरा रद्द करते किंवा ग्राहकांचे नुकसान करते.

ARI हे Cloudflare चे उत्तर आहे. प्रमाणपत्रे सेवेतून काढायची असतील तेव्हा, Cloudflare सांगते, ती बाधित प्रमाणपत्रांचे नूतनीकरण कालावधी आधी आणू शकते. ग्राहकांनी नूतनीकरण एंडपॉइंटला विचारणे आणि प्रकाशित कालावधींनुसार कृती करणे बंधनकारक असल्याने, कठोर रद्दबातली येण्यापूर्वीच CA त्यांना बदलीकडे वळवू शकते. ही व्यवस्था Cloudflare ला हवी असलेली क्षमता म्हणून वर्णन केली आहे, तिने CA म्हणून दाखवलेली नव्हे. तरीही तर्क सुसंगत आहे: विचारत राहण्याची अट याचसाठी आहे की हा लिव्हर काम करावा.

हाच विचार एका व्यापक रचना उद्दिष्टातही दिसतो. Cloudflare असे प्रमाणपत्र प्राधिकरण उभारू इच्छिते ज्याची विश्वासार्हता केवळ चुका टाळण्यावर नव्हे, तर Cloudflare च्या इतर उत्पादनांप्रमाणे, लहान प्रमाणात अपयशी होण्यावर आणि कोणत्याही एका समस्येचा परिणाम मर्यादित ठेवण्यावर अवलंबून असेल. चुका टाळणे CA साठी आवश्यक आहे, आणि कोणतेही CA त्याचे परिपूर्ण वचन देऊ शकत नाही. चूक मर्यादित राहील अशी रचना करणे ही अधिक प्रामाणिक अभियांत्रिकी भूमिका आहे.

लेखापरीक्षणापलीकडे पारदर्शकता #

सार्वजनिक CA चे मूल्यमापन सहसा लेखापरीक्षणांनी होते. स्रोत त्यांच्या मर्यादांबद्दल स्पष्ट आहे: लेखापरीक्षणे एका विशिष्ट क्षणाची असतात आणि CA उत्तीर्ण झाले एवढेच सांगतात. त्यानंतर एखाद्या सामान्य मंगळवारी CA काय करत आहे, हे ती सांगत नाहीत.

Cloudflare चे उत्तर असे आहे की ती प्रमाणपत्रांवर स्वाक्षरी करणाऱ्या सॉफ्टवेअरचे reproducible builds प्रकाशित करेल. हे वचन म्हणून मांडले आहे, पूर्ण झालेले काम म्हणून नाही. Reproducible builds बाहेरच्यांना हे तपासू देतात की स्वाक्षरी मार्गात चालणारी बायनरी प्रकाशित स्रोताशी जुळते, जो लेखापरीक्षण अहवालाप्रमाणे नसून सातत्यपूर्ण गुणधर्म आहे. ते पुरेसे ठरेल की नाही हे Cloudflare प्रत्यक्षात काय प्रकाशित करते आणि इतर ते तपासतात की नाही यावर अवलंबून असेल.

घोषणेचा दुसरा भाग: Merkle Tree Certificates #

पोस्ट-क्वांटम भागात घोषणा सर्वात पुढे पाहते. Cloudflare पोस्ट-क्वांटम प्रमाणपत्रे देणाऱ्या पहिल्या CA पैकी एक होण्याची योजना जाहीर करते, आणि २०२७ च्या पहिल्या तिमाहीत आपली पहिली Merkle Tree Certificates देण्याची योजना आखते. स्रोताचा दुसरा एक उतारा सांगतो की पहिली MTCs २०२७ च्या सुरुवातीला अपेक्षित आहेत. दोन्ही योजना आहेत.

स्रोत MTCs चे वर्णन सार्वजनिकरीत्या विश्वसनीय प्रमाणपत्रे देण्याचा नवा आणि खूपच अधिक संक्षिप्त मार्ग असे करतो. ही शब्दरचना वर्णन आहे, आणि मी ज्या उताऱ्यांवरून काम करत आहे त्यात स्रोत मोजमापे देत नाही, त्यामुळे ते किती अधिक संक्षिप्त आहे हे मी सांगू शकत नाही. Cloudflare सांगते की ती IETF मध्ये MTCs च्या मानक-आधारित प्रस्तावाचा पुरस्कार करत आली आहे. ती हेही नोंदवते की Chrome ने या वर्षाच्या सुरुवातीला MTCs ना पोस्ट-क्वांटम प्रमाणीकरणाचा पसंतीचा मार्ग म्हटले. ही प्रत्यक्ष घडलेली घटना आहे, आणि ती महत्त्वाची आहे, कारण ब्राउझर विक्रेत्याची जाहीर पसंतीच एखाद्या प्रस्तावाला अशी गोष्ट बनवते ज्याभोवती CA योजना आखू शकते.

Cloudflare ला हे संक्रमण अचानक होईल अशी अपेक्षा नाही. इंटरनेटचा मोठा भाग आणखी अनेक वर्षे पारंपरिक प्रमाणपत्रांवर आणि विद्यमान WebPKI वर अवलंबून राहील अशी तिची अपेक्षा आहे. त्या काळात दिल्या जाणाऱ्या प्रमाणपत्रांमध्ये MTCs चा वाटा सातत्याने वाढेल अशी ती अपेक्षा करते. या अपेक्षा आहेत, आणि स्रोत त्यांना तसेच म्हणतो.

एक CA, एक जीवनचक्र #

यातून निघणारा संरचनात्मक निर्णय मला सर्वात पटणारा वाटतो. नवे CA पारंपरिक प्रमाणपत्रे आणि Merkle Tree Certificates एकाच CA खाली, एकाच जीवनचक्रासह आणि हमींच्या एकाच संचासह चालवण्यासाठी रचलेले आहे. मग ग्राहक त्यांना सोयीच्या गतीने स्वीकार करू शकतात आणि कठोर बदलाशिवाय वेबला हे अंतर पार करण्यास मदत करू शकतात.

पर्याय म्हणजे दोन समांतर CA, प्रक्रियांचे दोन संच, आणि कधीतरी सक्तीचे स्थलांतर. कठोर बदल हा प्रमाणपत्र परिसंस्था बदलण्याचा सर्वात धोकादायक मार्ग आहे, आणि तो टाळणे हे स्रोताचे जाहीर उद्दिष्ट आहे. शब्दरचना सावध आहे, आणि ते योग्यच आहे: हा अजून प्रमाणपत्रे न देणाऱ्या CA चा रचनात्मक हेतू आहे.

हे प्रोत्साहनांच्या चित्राशीही जुळते. Cloudflare सांगते की कमाल वैधता कालावधी कमी होत असल्याने, एजंटिक क्रियाकलाप वाढत असल्याने आणि पोस्ट-क्वांटम प्रमाणपत्रे मुख्य प्रवाहात येत असल्याने, ती दरवर्षी ज्या प्रमाणपत्रांवर अवलंबून असते त्यांची संख्या वाढत राहील अशी तिची अपेक्षा आहे. अधिक प्रमाणपत्रे, अधिक वारंवार दिली जाणारी, स्वयंचलनाच्या बाजूने आणि नूतनीकरणाला प्रथम श्रेणीचे काम मानणाऱ्या CA च्या बाजूने युक्तिवाद करतात. ARI आणि एका जीवनचक्राभोवती उभारलेली प्रणाली त्या अपेक्षेला दिलेले वाजवी उत्तर आहे, जरी ती अपेक्षा स्वतः एक अंदाज आहे, मोजमाप नाही.

Customer Zero #

लोक अवलंबून राहण्यापूर्वी CA ची चाचणी कशी करायची? Cloudflare चे उत्तर म्हणजे स्वतःच आपला पहिला ग्राहक होणे. ती नव्या CA आणि त्याच्या प्रमाणपत्रांसाठी, WebPKI आणि MTC दोन्हींसाठी, Customer Zero असेल. नव्या प्रणाली आणि प्रक्रियांचे सर्व पैलू Cloudflare च्या उच्च अंतर्गत मानकांना पूर्ण करतात याची खात्री करणे, आणि CA च्या इन्फ्रास्ट्रक्चरची Cloudflare च्या प्रमाणावर कसोटी होणे, हा जाहीर उद्देश आहे.

आधीचे आकडे पाहता हा कठीण अंतर्गत भार आहे: दरवर्षी लाखो प्रमाणपत्रे, अशा कंपनीत जी जागतिक विनंती रहदारीच्या २० टक्क्यांहून अधिक भागासमोर उभी आहे. कामकाजाची पहिली वर्षे सुरळीत जातील की नाही, हे दावे आपल्याला सांगू शकत नाहीत. ते जे दाखवतात तो कामाचा समंजस क्रम आहे. कंपनी ज्या गोष्टीची उभारणी करत आहे तिची मोठी वापरकर्ती म्हणून सुरुवात करते, तिच्या पाठीशी बहु-CA तरतूद, राखीव मार्ग आणि १६ भागीदार CA चा इतिहास आहे.

काय उणे आहे याबद्दल स्पष्ट असणे योग्य ठरते. स्रोतात Cloudflare च्या स्वतःच्या CA साठी दिलेल्या प्रमाणपत्रांचे प्रमाण, त्रुटी दर, पडताळणी विलंब किंवा घटनांचा इतिहास नाही, कारण असा इतिहास अजून नाही. घोषणा हे इराद्याचे विधान आहे, ज्याला अर्ज, एक संपादन करार आणि एक रचना यांचा आधार आहे. तो कामगिरीचा इतिहास नाही.

कशावर लक्ष ठेवायचे #

हे WebPKI मध्ये अर्थपूर्ण भर आहे की केवळ एक रोचक घोषणा, हे तीन गोष्टी ठरवतील.

पहिली म्हणजे रूट कार्यक्रम. Cloudflare ने Chrome, Apple, Microsoft आणि Mozilla कडे अर्ज केला आहे, आणि प्रक्रिया खुलेपणाने होत आहेत. योजना किती पुढे गेली आहे ते पाहण्याचा त्यांच्यावर लक्ष ठेवणे हा सर्वात थेट मार्ग आहे, आणि त्याचा निकाल कोणत्याही दाव्यावरून मला सांगता येत नाही.

दुसरी म्हणजे ARI ची अट. RFC 9773 समर्थनाचा आग्रह धरणारे CA असा पैज लावत आहे की नूतनीकरण स्वयंचलन त्याच्या संपूर्ण ग्राहक वर्गात पुढे नेता येईल. पैज बरोबर ठरली, तर प्रमाणपत्रे सेवेतून काढायची असताना नूतनीकरण कालावधी आधी आणण्याची क्षमता Cloudflare ला मिळते, जे तिने पाहिलेल्या रद्दबातलीच्या पेचावरचे जाहीर उत्तर आहे. चुकीची ठरली, तर स्वीकार एका ओळीच्या स्थलांतराच्या कथेपेक्षा हळू होईल.

तिसरी म्हणजे २०२७ ची पहिली तिमाही. तेव्हाच Cloudflare आपल्या पहिल्या Merkle Tree Certificates ची योजना आखत आहे. खुला प्रश्न असा आहे की ती अपेक्षित करत असलेला सातत्याने वाढणारा वाटा प्रत्यक्षात किती वेगाने वाढेल, जेव्हा तिचेच मत असे आहे की इंटरनेटचा मोठा भाग आणखी अनेक वर्षे पारंपरिक प्रमाणपत्रांवर राहील. हे अंतर पार करण्यासाठी कठोर बदलाची गरज पडू नये, असे कंपनीने म्हटले आहे. दोन्ही प्रकारची प्रमाणपत्रे चालवणारे एक CA हे खरे करू शकते का, हे पाहण्याची पहिली संधी २०२७ ची पहिली तिमाही असेल.

क्षेत्रनिहाय याचा अर्थ #

एज इन्फ्रास्ट्रक्चर पुरवठादाराकडून मोठ्या प्रमाणावर चालणाऱ्या, स्वयंचलित सार्वजनिक प्रमाणपत्र प्राधिकरणाचा उदय अनेक तांत्रिक क्षेत्रांमध्ये परिचालन जोखीम आणि PKI नियोजन बदलतो.

क्लाउड इन्फ्रास्ट्रक्चर आणि एज नेटवर्क #

एज प्रमाणावर सार्वजनिक CA चालवल्याने तृतीय-पक्ष पडताळणी API आणि CRL वरील बाह्य अवलंबित्व कमी होते. reverse-proxy एज टर्मिनेशनला स्वयंचलित ACME ARI नूतनीकरणाशी जोडून, इन्फ्रास्ट्रक्चर पुरवठादार आपल्या ग्राहकांना वरच्या स्तरावरील प्रमाणपत्र प्राधिकरणाच्या बंद पडण्यापासून वाचवू शकतात.

एंटरप्राइझ PKI आणि DevOps संघ #

सार्वजनिक एंडपॉइंटसाठी Let's Encrypt वर अवलंबून असलेल्या संस्थांना एक विश्वासार्ह, स्वयंचलित पर्याय मिळतो. मात्र RFC 9773 (ARI) च्या अनिवार्य अंमलबजावणीचा अर्थ असा की directory एंडपॉइंट बदलण्यापूर्वी संघांनी आपल्या ACME क्लायंटचे (Certbot, Lego, Caddy, Traefik) परीक्षण करून ARI समर्थन सक्रिय असल्याची खात्री केली पाहिजे.

ब्राउझर विक्रेते आणि रूट प्रशासन #

रूट कार्यक्रमांसमोर (Chrome, Mozilla, Apple, Microsoft) मोठ्या प्रमाणावरील स्वयंचलित CA ची विस्तारणारी परिसंस्था आहे. दुहेरी मार्गाचा रूट दृष्टिकोन (२०१२ चा जुना रूट विकत घेणे आणि त्याच वेळी आधुनिक रूट सादर करणे) रूट प्रमाणपत्रांच्या आयुष्यावर वाढत्या मर्यादा घालणाऱ्या ब्राउझर धोरणांमधून मार्ग काढतो, आणि जुन्या उपकरणांसाठी मागील सुसंगतता टिकवतो.

निष्कर्ष #

सार्वजनिक प्रमाणपत्र प्राधिकरण बनण्याची Cloudflare ची वाटचाल आधुनिक WebPKI मधील एका खऱ्या संरचनात्मक कमकुवतपणाला हात घालते: मोफत, स्वयंचलित प्रमाणपत्र देण्यातील टोकाचे केंद्रीकरण. प्रस्थापित GlobalSign रूट, कडक ARI नूतनीकरण स्वयंचलन आणि पोस्ट-क्वांटम Merkle Tree Certificates कडे जाणारा पूल एकत्र करून, ही रचना केवळ प्रमाणपत्र पुरवठा नव्हे तर परिचालन लवचीकता साधते. यश रूट कार्यक्रमांच्या मान्यतांवर आणि २०२७ च्या अंमलबजावणीपूर्वी क्लायंट साधने ARI मानके किती वेगाने स्वीकारतात यावर ठरेल.

वारंवार विचारले जाणारे प्रश्न #

मी आज माझा ACME क्लायंट Cloudflare च्या CA कडे वळवू शकतो का?

अजून नाही. Cloudflare ने आपला इरादा जाहीर केला आहे, रूट संपादन करारावर स्वाक्षरी केली आहे, आणि प्रमुख रूट कार्यक्रमांकडे अर्ज सादर केले आहेत. रूट कार्यक्रमांच्या मान्यतांनंतर सार्वजनिकरीत्या प्रमाणपत्रे देणे सुरू होणार आहे.

ACME Renewal Information (ARI) म्हणजे काय आणि ते का महत्त्वाचे आहे?

ARI (RFC 9773) हा ACME प्रोटोकॉलचा विस्तार आहे, जो प्रमाणपत्र प्राधिकरणांना ग्राहकांना प्रमाणपत्राचे नूतनीकरण कधी करावे याचा सल्ला देऊ देतो. यामुळे CA नियोजित रद्दबातलीपूर्वी लवकर नूतनीकरणाचे सुरळीत समन्वय करू शकतात, आणि साइट बंद पडणे टळते.

Merkle Tree Certificates (MTCs) मानक X.509 प्रमाणपत्रांपेक्षा कसे वेगळे आहेत?

MTCs पारंपरिक स्वतंत्र क्रिप्टोग्राफिक स्वाक्षऱ्यांऐवजी सार्वजनिकरीत्या पडताळता येणाऱ्या लॉगमध्ये रुजवलेले Merkle समावेश पुरावे वापरतात. यामुळे प्रमाणपत्राचा आकार आणि प्रसारणाचा भार लक्षणीयरीत्या कमी होतो, आणि ते पोस्ट-क्वांटम TLS प्रमाणीकरणासाठी पसंतीचे उमेदवार ठरतात.

संदर्भ #

• Cloudflare, (2026). संपूर्ण इंटरनेटसाठी प्रमाणपत्र प्राधिकरण उभारणे ⧉. Cloudflare Blog.
• IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
• IETF, (2025). TLS साठी Merkle Tree Certificates ⧉. IETF.
• Chrome Root Program, (2026). पोस्ट-क्वांटम प्रमाणीकरणावरील धोरण आणि विचार ⧉. Chromium Projects.

शेवटचे पुनरावलोकन 2026-09-20.

शेवटचे पुनरावलोकन 2026-10-27.

# Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau

> Originally published at [https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/](https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/)

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनू इच्छिते: GlobalSign चा रूट, अनिवार्य ARI नूतनीकरण आणि Merkle Tree Certificates, मोफत CA वरील अवलंबित्व कमी करण्यासाठी.

Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/

Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनू इच्छिते: GlobalSign चा रूट, अनिवार्य ARI नूतनीकरण आणि Merkle Tree Certificates, मोफत CA वरील अवलंबित्व कमी करण्यासाठी.

https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/

Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनू इच्छिते: GlobalSign चा रूट, अनिवार्य ARI नूतनीकरण आणि Merkle Tree Certificates, मोफत CA वरील अवलंबित्व कमी करण्यासाठी.

येथे मुख्य धोरणात्मक मुद्दे आहेत:

- प्रमाणपत्रांचा ग्राहक आता देणारा बनणार. बहुतेक इन्फ्रास्ट्रक्चर कंपन्या प्रमाणपत्रांच्या नात्याच्या एकाच बाजूला राहतात.
- हा प्रश्न विचारण्याच्या स्थितीत Cloudflare का आहे. CA उभारण्याचा Cloudflare चा युक्तिवाद ग्राहक म्हणून तिच्या स्थानापासून सुरू होतो.
- केंद्रीकरणाची समस्या. त्या युक्तिवादामागील आकडे लक्षवेधी आहेत.
- रूटची वाट पाहण्याऐवजी तो विकत घेणे. घोषणेतील सर्वात व्यावहारिक निर्णय रूटबद्दल आहे.

या लेखात मांडलेल्या आव्हानांसाठी तुमच्या संस्थेचा दृष्टिकोन काय आहे?

→ https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/

#Cloudflare #प्रमाणपत्रप्राधिकरण #सार्वजनिकCa #Let'sEncrypt #Globalsign

Sebastien Rousseau | CC-BY-4.0

@online{rousseau2026cloudflare,
  author  = {Rousseau, Sebastien},
  title   = {{Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau}},
  year    = {2026},
  url     = {https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/},
  urldate = {2026}
}

TY  - GEN
AU  - Rousseau, Sebastien
TI  - Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau
PY  - 2026
UR  - https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/
ER  -

Rousseau S. Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/

Rousseau, Sebastien. "Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/.

Rousseau, S. (2026, September 20). Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/

Cloudflare स्वतःची प्रमाणपत्रे देऊ इच्छिते: मोफत CA चे केंद्रीकरण — Sebastien Rousseau

Cloudflare सार्वजनिक प्रमाणपत्र प्राधिकरण बनू इच्छिते: GlobalSign चा रूट, अनिवार्य ARI नूतनीकरण आणि Merkle Tree Certificates, मोफत CA वरील अवलंबित्व कमी करण्यासाठी.

Originally published at https://sebastienrousseau.com/mr/2026-09-20-cloudflare-svathchi-pramanapatre-deu-ichchhite-mophat/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU · FOUNDER · ENGINEER