Cloudflare பல ஆண்டுகளாக 16 கூட்டாளர் பொது CA-க்களைச் சார்ந்திருந்தது, ஆனால் தானே ஒருமுறைகூட பொது நம்பிக்கை பெற்ற சான்றிதழை வழங்கியதில்லை. இப்போது அது தானே ஒரு CA ஆக விரும்புகிறது, சுவாரஸ்யமான பகுதி அதன் வடிவமைப்பு: ஒரே CA-வின் கீழ் மரபுச் சான்றிதழ்களும் Merkle Tree Certificates-உம், தொடக்கத்திலிருந்தே தோல்வியைக் கட்டுப்படுத்தும் ஏற்பாடும்.
சான்றிதழ் நுகர்வோர் வழங்குநராகிறது #
பெரும்பாலான உள்கட்டமைப்பு நிறுவனங்கள் சான்றிதழ் உறவின் ஒரு பக்கத்திலேயே இருக்கின்றன. அவை சான்றிதழ்களைக் கோருகின்றன, நிறுவுகின்றன, ஒரு CA-வில் ஏதேனும் சம்பவம் நடந்தால் புகார் செய்கின்றன. Cloudflare உறுதியாக நுகர்வோர் பக்கத்திலேயே இருந்துள்ளது. அதன் சொந்தக் கூற்றுப்படி, அது தானே ஒருமுறைகூட பொது நம்பிக்கை பெற்ற சான்றிதழை வழங்கியதில்லை.
அது மாறப்போகிறது, அல்லது குறைந்தபட்சம் அதுவே தன் நோக்கம் என்று Cloudflare கூறுகிறது. நிறுவனம் பொதுச் சான்றிதழ் அதிகார அமைப்பாகும் தன் நோக்கத்தை அறிவிக்கிறது. இன்றைய நிலை என்ன என்பதில் அறிவிப்பு கவனமாக இருக்கிறது, இந்தக் கட்டுரையும் அப்படியே இருக்க வேண்டும். Cloudflare இன்னும் சான்றிதழ்களை வழங்கவில்லை. சேவையின் நடத்தை குறித்த அனைத்தும், அதன் ACME இடைமுகம் முதல் புதுப்பித்தல் விதிகள், Merkle Tree Certificate ஆதரவு வரை, திட்டத்தின் கூற்றே தவிர இயங்கும் அமைப்பின் விவரிப்பு அல்ல.
அறிவிப்பை நம்பத்தகுந்ததாக்குவது பேராசை அல்ல, ஏற்கெனவே தெரியும் அடித்தளப் பணி. Cloudflare, Chrome, Apple, Microsoft, Mozilla ஆகியவற்றின் ரூட் திட்டங்களில் சேர்க்கப்பட விண்ணப்பித்துள்ளது. இணையத்தின் ஒவ்வொரு முதன்மை ரூட் கீ திட்டத்துடனும் விண்ணப்ப, ஒப்புதல் செயல்முறையில் ஈடுபட்டுள்ளதாக அது கூறுகிறது, இந்தச் செயல்முறைகள் வெளிப்படையாக நடக்கின்றன என்றும் குறிப்பிடுகிறது. கொள்கையளவில் விண்ணப்பம் வெற்றி பெறுகிறதா என்பதை யார் வேண்டுமானாலும் கவனிக்கலாம்.
இந்தக் கேள்வியை எழுப்பும் நிலையில் Cloudflare ஏன் உள்ளது #
CA அமைப்பதற்கான Cloudflare-இன் வாதம் வாடிக்கையாளராக அதன் நிலையிலிருந்து தொடங்குகிறது. உலகளாவிய இணையக் கோரிக்கைப் போக்குவரத்தில் 20 சதவீதத்துக்கும் மேலானதன் முன் அது நிற்கிறது. லட்சக்கணக்கான டொமைன்களுக்கு TLS-ஐ முடித்துவைக்கிறது, ஆண்டுதோறும் லட்சக்கணக்கான சான்றிதழ்களைச் சார்ந்துள்ளது. Universal SSL மூலம் தன் வாடிக்கையாளர்களுக்குச் சான்றிதழ் தொகுப்புகளை வழங்குகிறது, தன் சொந்த அமைப்புகளையும் உள் செயல்பாடுகளையும் இயக்கப் பல்வேறு CA-க்களிடமிருந்து சான்றிதழ்களையும் பெறுகிறது.
வாடிக்கையாளர் சேவைகள் இயங்கிக்கொண்டிருக்க, Cloudflare இந்தச் சான்றிதழ்களைப் பல CA-க்கள் வழியாக, முதன்மை மற்றும் காப்புப் பாதைகளுடன் பெறுகிறது, இதனால் CA செயலிழப்புகளிலும் திரும்பப்பெறல் நிகழ்வுகளிலும் வாடிக்கையாளர் சேவைகள் தொடர்கின்றன. பல ஆண்டுகளாக அது சார்ந்திருக்கும் கூட்டாளர் பொது CA-க்களின் எண்ணிக்கை 16.
காப்பு ஏற்பாட்டை நெருக்கமாகப் பார்ப்பது தகும், ஏனெனில் தோல்வி பற்றி Cloudflare எப்படிச் சிந்திக்கிறது என்பதை அது காட்டுகிறது. ஒவ்வொரு Universal SSL சான்றிதழுடனும் ஏற்கெனவே ஒரு காப்புச் சான்றிதழ் வருகிறது, அது தனி விசையால் மூடப்பட்டு வேறொரு அதிகார அமைப்பால் வழங்கப்பட்டது. முதன்மைச் சான்றிதழ் எப்போதாவது திரும்பப்பெறப்பட்டாலோ சமரசம் செய்யப்பட்டாலோ, காப்பு தானாகப் பயன்பாட்டுக்கு வரத் தயாராக இருக்கிறது. இது எந்த ஒரு CA தவறினாலும் அதற்கு எதிரான பாதுகாப்பு, உறவின் வாடிக்கையாளர் பக்கத்திலிருந்து கட்டப்பட்டது.
இந்தப் பாதுகாப்புக்கும் ஒரு வரம்பு உண்டு. இருக்கும் CA-க்களுக்குள் மட்டுமே பன்முகப்படுத்த முடியும், திறமையான CA-க்களின் இருப்பு தோன்றுவதைவிடக் குறைவு என்பது மூலத்தின் வாதம்.
குவிப்புச் சிக்கல் #
அந்த வாதத்தின் பின்னுள்ள எண்கள் வியக்கவைக்கின்றன. Let's Encrypt நாளொன்றுக்குச் சுமார் ஒரு கோடி சான்றிதழ்களை வழங்குகிறது. அது 50 கோடிக்கும் மேற்பட்ட தளங்களுக்குச் சேவை செய்கிறது, 2025-இல் 400 கோடி செயலில் உள்ள சான்றிதழ்களைக் கடந்தது. இவை ஒரே இலவச CA-வின் எண்கள், இவை தன் குறியாக்கத்துக்கு ஒரே அமைப்பைப் பெரிதும் சார்ந்திருக்கும் ஓர் இணையத்தை விவரிக்கின்றன.
மூலம் வெளிப்படையான முடிவை, பொருத்தமான எச்சரிக்கையுடன் எடுக்கிறது: முன்னணி இலவசச் சான்றிதழ் அதிகார அமைப்புக்கு ஒரு மோசமான வாரம் அமைந்தால், சுமையை ஏற்க ஒப்பிடத்தக்க இலவச, தானியங்கி மாற்று இணையத்தின் பெரும்பகுதிக்குத் தயாராக இருக்காது. இது ஒரு கற்பனைச் சூழல் பற்றிய கூற்று, Cloudflare அதை அப்படியே முன்வைக்கிறது. அத்தகைய வாரம் நிகழ்ந்துவிட்டதாகவோ, வரப்போவதாகவோ அது கூறவில்லை.
ஆனாலும் தர்க்கத்தைப் பின்பற்றுவது எளிது. ஒரு இலவச, தானியங்கி CA அவசரநிலைக்கு முன்பே இருந்தால் மட்டுமே மீள்திறன் தேர்வாகும். பெரிய அளவில் இரண்டாவது ஒன்றைத் தர முடியும் என்பதே Cloudflare-இன் முன்மொழிவு. அறிவிப்பில் இதுவே மிக வலுவான வணிக, தொழில்நுட்பக் காரணம் என்பது என் வாதம், அது திட்டத்தின் ஊகமான பகுதிகள் எதையும் சார்ந்திருக்கவில்லை. ஒரு முன்னணி இலவச CA-வும் வேறு அதிகம் இல்லாததுமான இணையம், அந்த CA-வின் செயல்பாடு எவ்வளவு சிறப்பாக இருந்தாலும், ஒற்றைத் தோல்விப் புள்ளி கொண்ட இணையமே.
| பரிமாணம் | மரபு இலவச தானியங்கி CA (Let's Encrypt) | முன்மொழியப்பட்ட Cloudflare பொது CA |
|---|---|---|
| நம்பிக்கை அடிப்படை உத்தி | ISRG Root X1 / X2 (2015 முதல் நிறுவப்பட்ட சொந்த ரூட்கள்) | வாங்கிய GlobalSign ரூட் (2012 முதல் நம்பப்படுவது) + புதிய ரூட் |
| வழங்கல் நெறிமுறை | நிலையான ACME (RFC 8555) | கட்டாய ARI (RFC 9773) அமலாக்கத்துடன் ACME |
| திரும்பப்பெறல் முறை | CRL / OCSP + அவசரகால மொத்தச் சந்தாதாரர் மாற்றீடு | ARI முனைகள் வழியாக ஒருங்கிணைந்த புதுப்பித்தல் முன்கொணர்தல் |
| குவாண்டத்துக்குப் பிந்தைய பாதை | கலப்பு X.509 கையொப்பங்கள் மதிப்பீட்டில் | மரபு X.509-உடன் இணைந்திருக்கும் நேரடி Merkle Tree Certificates (MTCs) |
| அளவும் தொடக்கச் சுமையும் | 50 கோடி+ தளங்களில் நாளொன்றுக்கு ~1 கோடி சான்றிதழ்கள் | உலக இணையப் போக்குவரத்தின் 20%+ முழுவதும் Customer Zero சரிபார்ப்பு |
காத்திருப்பதற்குப் பதில் ரூட்டை வாங்குதல் #
அறிவிப்பின் மிக நடைமுறையான முடிவு ரூட் பற்றியது. GlobalSign-இடமிருந்து நிறுவப்பட்ட, பரவலாக நம்பப்படும் ஒரு ரூட்டை வாங்கும் இறுதி ஒப்பந்தத்தில் கையெழுத்திட்டதாக Cloudflare கூறுகிறது. மூலம் காரணத்தை நேரடியாகத் தருகிறது: புத்தம் புதிய ரூட் பல ஆண்டுகளுக்குப் பரவலாகப் பயன்படாது. மாறாக, இருக்கும் GlobalSign ரூட் 2012 முதல் உலாவிகள், இயக்க முறைமைகள், சாதனங்கள் எங்கும் நம்பப்படுகிறது.
ரூட் நம்பிக்கை மெதுவானது, ஏனெனில் அது சாதனங்களில் நிறுவப்படுகிறது, சாதனங்கள் மெதுவாகவே புதுப்பிக்கப்படுகின்றன. புதிய ரூட் ஒவ்வொரு திட்டத்தாலும் ஏற்கப்பட்டாலும் பழைய தொலைபேசியிலோ உட்பொதி அமைப்பிலோ சரிபார்க்கத் தவறலாம். 2012 முதல் களத்தில் இருக்கும் ரூட்டை வாங்குவது அந்தக் காத்திருப்பைத் தவிர்க்கிறது, குறைந்தபட்சம் மூலம் அதை முன்வைக்கும் விதத்தில்.
Cloudflare புதிய ரூட் வழியை முழுமையாகக் கைவிடவில்லை. ரூட் கீ திட்டங்களில் சேர்க்க ஒரு புதிய ரூட்டையும் அது சமர்ப்பிக்கும், அதைச் சூழலமைப்பு செல்லும் திசைக்காகக் கட்டப்பட்டது என்று விவரிக்கிறது, நம்பப்படும் ரூட் எவ்வளவு பழையதாக இருக்கலாம் என்பதற்கு வரம்பு விதிக்கத் தொடங்கியுள்ள திட்டங்கள் உட்பட. அந்தக் கடைசி விவரம் வயதுக்கு இரு பக்கங்கள் உண்டு என்பதை நினைவூட்டுகிறது. நம்பப்படும் ரூட்டின் வயது சாதனப் பரவலுக்குச் சொத்து, சில திட்டங்கள் நம்பப்படும் ரூட் எவ்வளவு பழையதாக இருக்கலாம் என்பதற்கான வரம்புகளை நோக்கி நகர்கின்றன. வாங்கிய ரூட்டையும் புதிய சமர்ப்பிப்பையும் சேர்த்து நடத்துவது அந்த இழுபறிக்கான பதிலாகத் தெரிகிறது, ஆனால் மூலம் அந்தக் காரணத்தை இந்தச் சொற்களில் சொல்லவில்லை.
நிபந்தனைகளுடன் ACME-முதன்மைச் சேவை #
ஏற்பு பற்றிய கேள்வியில் பல CA அறிவிப்புகள் தெளிவற்றுப் போகின்றன. Cloudflare துல்லியமாக இருக்கிறது. அதன் பொது CA ACME-முதன்மையாக இருக்கும், அதாவது இருக்கும் தானியக்கம் ஏற்கெனவே பயன்படுத்தும் Automated Certificate Management Environment நெறிமுறையை அது பேசும். ஏற்கெனவே இருக்கும் இலவச CA-வை நோக்கி அமைத்துள்ள எவரும் ஒரு directory URL-ஐ மாற்றுவதன் மூலம், புதிய கருவிகள் இல்லாமலும் எதையும் மறுகட்டமைக்காமலும், Cloudflare-இன் CA-க்கு மாறலாம் என்பது கூற்று. இது திட்டம், சோதிக்கப்பட்ட இடப்பெயர்வுப் பாதை அல்ல, அப்படியே படிக்கப்பட வேண்டும். ஆனால் ஒற்றை வரி உள்ளமைவு மாற்றமே சரியான இலக்கு, ஏனெனில் இடப்பெயர்வுச் செலவே மக்களை இயல்புநிலையில் வைத்திருக்கிறது.
சிக்கல் பெரும்பாலான ACME பயனர்கள் நிறைவேற்ற வேண்டியிராத ஒரு நிபந்தனையில் உள்ளது. ACME Renewal Information, அதாவது ARI, ஆதரவுள்ள கிளையன்ட்களுக்கு மட்டுமே Cloudflare சான்றிதழ் வழங்கும், இது RFC 9773-இல் தரப்படுத்தப்பட்டுள்ளது. Cloudflare-இன் புதுப்பித்தல் முனையைத் தொடர்ந்து வினவி, Cloudflare வெளியிடும் புதுப்பித்தல் சாளரங்களின்படி செயல்பட்டு, தான் மாற்றும் சான்றிதழை அடையாளம் காட்டும் தானியக்கத்தைச் சந்தாதாரர்கள் பராமரிக்க வேண்டும்.
இது உறுதியான நிலைப்பாடு, அதுவே சரி என்று நான் நினைக்கிறேன். இது ஏற்பு குறித்த நியாயமான கேள்வியையும் எழுப்புகிறது: ARI திறனுள்ள கிளையன்ட்களுக்கு மட்டுமே சேவை செய்யும் CA, ACME நூலகம் வைத்திருக்கும் எவருக்கும் சேவை செய்யும் CA-வைவிடக் குறுகியது. இன்று இது எத்தனை கிளையன்ட்களை விலக்குகிறது என்பதை மூலம் சொல்லவில்லை, எனவே நான் ஊகிக்கமாட்டேன். Cloudflare ஏன் இந்தக் கட்டுப்பாட்டை விரும்புகிறது என்பதை மட்டும் அது சொல்கிறது.
தளங்களை உடைக்காமல் திரும்பப்பெறல் #
கடந்த 16 ஆண்டுகளில் பல விஷயங்களைக் கவனித்துள்ளதாக Cloudflare கூறுகிறது, அவற்றில் ஒரு கவனிப்பு இந்த வடிவமைப்பை இயக்குகிறது. சரியான நேரத்தில் திரும்பப்பெறுவதற்கும் சந்தாதாரர்களின் தளங்களை இயக்கத்தில் வைத்திருப்பதற்கும் இடையில் சான்றிதழ் அதிகார அமைப்புகள் சிக்கிக்கொள்வதை அது கண்டுள்ளது.
அந்த இழுபறி எந்த CA-வுக்கும் உண்மையானது. சான்றிதழை விரைவாகத் திரும்பப்பெறுவது பொதுமக்களைப் பாதுகாக்கிறது, ஆனால் சந்தாதாரர் அதை விரைவாக மாற்ற முடியாவிட்டால், அந்தச் சான்றிதழைச் சார்ந்த ஒவ்வொரு தளமும் முடங்கக்கூடும். நடுவில் சிக்கிய CA தாமதமாகத் திரும்பப்பெறுகிறது, அல்லது வாடிக்கையாளர்களை உடைக்கிறது.
ARI தான் Cloudflare-இன் பதில். சான்றிதழ்களை ஓய்வுபெறச் செய்ய வேண்டியபோது, பாதிக்கப்பட்ட சான்றிதழ்களின் புதுப்பித்தல் சாளரங்களை முன்கொணர முடியும் என்று Cloudflare கூறுகிறது. சந்தாதாரர்கள் புதுப்பித்தல் முனையை வினவி வெளியிடப்படும் சாளரங்களின்படி செயல்பட வேண்டியது கட்டாயம் என்பதால், கடுமையான திரும்பப்பெறல் வருவதற்கு முன்பே CA அவர்களை மாற்றீட்டை நோக்கி வழிநடத்த முடியும். இந்த ஏற்பாடு Cloudflare பெற விரும்பும் திறனாக விவரிக்கப்படுகிறது, CA ஆக அது நிரூபித்ததாக அல்ல. இருப்பினும் தர்க்கம் பொருந்துகிறது: இந்த நெம்புகோல் வேலை செய்யவே வினவல் நிபந்தனை உள்ளது.
அதே சிந்தனை ஒரு பரந்த வடிவமைப்பு இலக்கிலும் தெரிகிறது. தவறுகளைத் தவிர்ப்பதை மட்டுமல்லாமல், Cloudflare-இன் மற்ற தயாரிப்புகளைப் போலவே, சிறிய அளவில் தோல்வியடைவதையும் எந்த ஒரு சிக்கலின் தாக்கத்தையும் கட்டுப்படுத்துவதையும் சார்ந்த நம்பகத்தன்மை கொண்ட சான்றிதழ் அதிகார அமைப்பை உருவாக்க Cloudflare விரும்புகிறது. தவறுகளைத் தவிர்ப்பது CA-வுக்கு அவசியம், எந்த CA-வும் அதை முழுமையாக உறுதியளிக்க முடியாது. தவறு கட்டுக்குள் இருக்கும்படி வடிவமைப்பதே நேர்மையான பொறியியல் நிலைப்பாடு.
தணிக்கைக்கு அப்பால் வெளிப்படைத்தன்மை #
பொது CA-க்கள் வழக்கமாகத் தணிக்கைகளால் மதிப்பிடப்படுகின்றன. அவற்றின் வரம்புகள் குறித்து மூலம் வெளிப்படையாக இருக்கிறது: தணிக்கைகள் ஒரு குறிப்பிட்ட நேரத்துக்கானவை, CA தேர்ச்சி பெற்றது என்று மட்டுமே சொல்கின்றன. அதன் பிறகு ஏதோ ஒரு சாதாரண செவ்வாய்க்கிழமை CA என்ன செய்கிறது என்பதை அவை சொல்வதில்லை.
சான்றிதழ்களில் கையொப்பமிடும் மென்பொருளின் reproducible builds-ஐ வெளியிடுவதாகச் சொல்வதே Cloudflare-இன் பதில். இது முடிக்கப்பட்ட பணியாக அல்ல, வாக்குறுதியாக முன்வைக்கப்படுகிறது. கையொப்பப் பாதையில் இயங்கும் பைனரி வெளியிடப்பட்ட மூலக் குறியீட்டுடன் பொருந்துகிறதா என்று வெளியாட்கள் சரிபார்க்க reproducible builds அனுமதிக்கின்றன, இது தணிக்கை அறிக்கை இல்லாத வகையில் தொடர்ச்சியான பண்பு. அது போதுமானதா என்பது Cloudflare உண்மையில் எதை வெளியிடுகிறது, மற்றவர்கள் அதைச் சரிபார்க்கிறார்களா என்பதைப் பொறுத்தது.
அறிவிப்பின் இரண்டாம் பாதி: Merkle Tree Certificates #
குவாண்டத்துக்குப் பிந்தைய பகுதியில்தான் அறிவிப்பு மிகத் தொலைவு முன்னோக்குகிறது. குவாண்டத்துக்குப் பிந்தைய சான்றிதழ்களை வழங்கும் முதல் CA-க்களில் ஒன்றாக இருக்கும் திட்டத்தை Cloudflare அறிவிக்கிறது, 2027-இன் முதல் காலாண்டில் தன் முதல் Merkle Tree Certificates-ஐ வழங்கத் திட்டமிடுகிறது. முதல் MTCs 2027 தொடக்கத்தில் எதிர்பார்க்கப்படுவதாக மூலத்தின் இன்னொரு பகுதி கூறுகிறது. இரண்டுமே திட்டங்கள்.
பொது நம்பிக்கை பெற்ற சான்றிதழ்களை வழங்கும் புதிய, மிகவும் கச்சிதமான வழி என்று MTCs-ஐ மூலம் விவரிக்கிறது. அந்தச் சொற்றொடர் ஒரு விவரிப்பு, நான் பயன்படுத்தும் பகுதிகளில் மூலம் அளவீடுகளைத் தரவில்லை, எனவே எவ்வளவு கச்சிதமானது என்று என்னால் சொல்ல முடியாது. IETF-இல் MTCs-க்கான தரநிலை அடிப்படையிலான முன்மொழிவை முன்னெடுத்து வருவதாக Cloudflare கூறுகிறது. இந்த ஆண்டின் தொடக்கத்தில் Chrome, குவாண்டத்துக்குப் பிந்தைய அங்கீகாரத்துக்கு MTCs-ஐ விருப்பப் பாதையாகக் குறிப்பிட்டதாகவும் அது தெரிவிக்கிறது. இது நிகழ்ந்த நிகழ்வு, முக்கியமானது, ஏனெனில் உலாவி நிறுவனத்தின் அறிவிக்கப்பட்ட விருப்பமே ஒரு முன்மொழிவை CA திட்டமிடக்கூடிய ஒன்றாக மாற்றுகிறது.
மாற்றம் திடீரென நிகழும் என்று Cloudflare எதிர்பார்க்கவில்லை. இணையத்தின் பெரும்பகுதி இன்னும் பல ஆண்டுகளுக்கு மரபுச் சான்றிதழ்களையும் இருக்கும் WebPKI-ஐயும் சார்ந்திருக்கும் என்று அது எதிர்பார்க்கிறது. அந்தக் காலம் முழுவதும் வழங்கலில் MTCs-இன் பங்கு சீராக வளரும் என்றும் எதிர்பார்க்கிறது. இவை எதிர்பார்ப்புகள், மூலமும் அவற்றை அப்படியே குறிப்பிடுகிறது.
ஒரு CA, ஒரு வாழ்க்கைச் சுழற்சி #
இதிலிருந்து வரும் கட்டமைப்புத் தேர்வே எனக்கு மிகவும் ஏற்புடையதாகத் தோன்றுகிறது. புதிய CA, மரபுச் சான்றிதழ்களையும் Merkle Tree Certificates-ஐயும் ஒரே CA-வின் கீழ், ஒரே வாழ்க்கைச் சுழற்சியுடனும் ஒரே உத்தரவாதத் தொகுப்புடனும் சுமக்க வடிவமைக்கப்பட்டுள்ளது. அப்போது வாடிக்கையாளர்கள் தங்களுக்கு ஏற்ற வேகத்தில் ஏற்கலாம், கடுமையான திடீர் மாற்றம் இல்லாமல் இணையம் இந்தக் கடப்பைச் செய்ய உதவலாம்.
மாற்று வழி, இரண்டு இணையான CA-க்கள், இரண்டு நடைமுறைத் தொகுப்புகள், ஏதோ ஒரு கட்டத்தில் கட்டாய இடப்பெயர்வு. கடுமையான திடீர் மாற்றமே சான்றிதழ் சூழலமைப்பை மாற்றும் மிக ஆபத்தான வழி, அதைத் தவிர்ப்பதே மூலத்தின் அறிவிக்கப்பட்ட நோக்கம். சொற்கள் எச்சரிக்கையாக உள்ளன, அது சரியே: இது இன்னும் வழங்கத் தொடங்காத CA-வின் வடிவமைப்பு நோக்கம்.
இது ஊக்கக் காரணிகளின் சித்திரத்துக்கும் பொருந்துகிறது. அதிகபட்ச செல்லுபடிக் காலங்கள் குறைவதாலும், முகவர் செயல்பாடு அதிகரிப்பதாலும், குவாண்டத்துக்குப் பிந்தைய சான்றிதழ்கள் பிரதான நீரோட்டத்துக்கு வருவதாலும், ஆண்டுதோறும் தான் சார்ந்திருக்கும் சான்றிதழ்களின் எண்ணிக்கை தொடர்ந்து வளரும் என்று Cloudflare எதிர்பார்க்கிறது. அதிகச் சான்றிதழ்கள், அடிக்கடி வழங்கப்படுவது, தானியக்கத்துக்கும் புதுப்பித்தலை முதன்மைச் செயல்பாடாகக் கருதும் CA-வுக்கும் ஆதரவாக வாதிடுகின்றன. ARI-ஐயும் ஒரே வாழ்க்கைச் சுழற்சியையும் சுற்றிக் கட்டப்பட்ட அமைப்பு அந்த எதிர்பார்ப்புக்கு நியாயமான பதில், ஆனால் எதிர்பார்ப்பே ஒரு முன்கணிப்பு, அளவீடு அல்ல.
Customer Zero #
பொதுமக்கள் சார்ந்திருக்கும் முன் ஒரு CA-வை எப்படிச் சோதிப்பது? தானே தன் முதல் வாடிக்கையாளராக இருப்பதே Cloudflare-இன் பதில். புதிய CA-வுக்கும் அதன் சான்றிதழ்களுக்கும், WebPKI, MTC இரண்டுக்கும், அது Customer Zero ஆக இருக்கும். புதிய அமைப்புகள், செயல்முறைகளின் அனைத்து அம்சங்களும் Cloudflare-இன் உயர்ந்த உள் தரங்களை நிறைவு செய்வதை உறுதிசெய்வதும், CA-வின் உள்கட்டமைப்பு Cloudflare அளவில் சோதிக்கப்படுவதும் அறிவிக்கப்பட்ட நோக்கம்.
முந்தைய எண்களைக் கருத்தில் கொண்டால் இது கடினமான உள் சுமை: ஆண்டுக்கு லட்சக்கணக்கான சான்றிதழ்கள், உலகளாவிய கோரிக்கைப் போக்குவரத்தில் 20 சதவீதத்துக்கும் மேலானதன் முன் நிற்கும் நிறுவனத்தில். செயல்பாட்டின் முதல் ஆண்டுகள் சுமுகமாகப் போகுமா என்பதைக் கூற்றுகள் சொல்ல முடியாது. அவை காட்டுவது விவேகமான செயல்முறை வரிசை. தான் கட்டும் ஒன்றின் பெரும் பயனராக நிறுவனம் தொடங்குகிறது, பின்னால் பல-CA வழங்கல், காப்புப் பாதைகள், 16 கூட்டாளர் CA-க்களின் வரலாறு உள்ளது.
எது இல்லை என்பதில் தெளிவாக இருப்பது தகும். Cloudflare-இன் சொந்த CA-வுக்கான வழங்கல் அளவுகள், பிழை விகிதங்கள், சரிபார்ப்புத் தாமதம், சம்பவ வரலாறு எதுவும் மூலத்தில் இல்லை, ஏனெனில் அத்தகைய வரலாறு இன்னும் இல்லை. அறிவிப்பு என்பது விண்ணப்பங்கள், ஒரு கையகப்படுத்தல் ஒப்பந்தம், ஒரு வடிவமைப்பு ஆகியவற்றால் ஆதரிக்கப்படும் நோக்கக் கூற்று. அது சாதனைப் பதிவு அல்ல.
கவனிக்க வேண்டியவை #
இது WebPKI-க்கு அர்த்தமுள்ள சேர்க்கையா, வெறும் சுவாரஸ்யமான அறிவிப்பா என்பதை மூன்று விஷயங்கள் தீர்மானிக்கும்.
முதலாவது ரூட் திட்டங்கள். Cloudflare, Chrome, Apple, Microsoft, Mozilla ஆகியவற்றுக்கு விண்ணப்பித்துள்ளது, செயல்முறைகள் வெளிப்படையாக நடக்கின்றன. திட்டம் எவ்வளவு முன்னேறியுள்ளது என்பதைப் பார்க்க அவற்றைக் கவனிப்பதே மிக நேரடியான வழி, அதன் முடிவை எந்தக் கூற்றும் என்னை முன்கணிக்க அனுமதிக்கவில்லை.
இரண்டாவது ARI நிபந்தனை. RFC 9773 ஆதரவை வலியுறுத்தும் CA, புதுப்பித்தல் தானியக்கத்தைத் தன் சந்தாதாரர் தளம் முழுவதும் முன்னெடுக்க முடியும் என்று பந்தயம் கட்டுகிறது. பந்தயம் சரியானால், சான்றிதழ்களை ஓய்வுபெறச் செய்ய வேண்டியபோது புதுப்பித்தல் சாளரங்களை முன்கொணரும் திறன் Cloudflare-க்குக் கிடைக்கிறது, இதுவே அது கண்ட திரும்பப்பெறல் இக்கட்டுக்கான அறிவிக்கப்பட்ட பதில். தவறானால், ஒற்றை வரி இடப்பெயர்வுக் கதை குறிப்பதைவிட ஏற்பு மெதுவாக இருக்கும்.
மூன்றாவது 2027-இன் முதல் காலாண்டு. அப்போதுதான் Cloudflare தன் முதல் Merkle Tree Certificates-ஐத் திட்டமிடுகிறது. இணையத்தின் பெரும்பகுதி இன்னும் பல ஆண்டுகள் மரபுச் சான்றிதழ்களிலேயே இருக்கும் என்ற அதன் சொந்தக் கருத்தைக் கணக்கில் கொண்டால், அது எதிர்பார்க்கும் சீராக வளரும் பங்கு உண்மையில் எவ்வளவு விரைவாக வளரும் என்பதே திறந்த கேள்வி. இந்தக் கடப்புக்குக் கடுமையான திடீர் மாற்றம் தேவைப்படக்கூடாது என்று நிறுவனம் கூறியுள்ளது. இரு வகைச் சான்றிதழ்களையும் சுமக்கும் ஒரு CA அதை உண்மையாக்க முடியுமா என்பதைப் பார்க்கும் முதல் வாய்ப்பு 2027-இன் முதல் காலாண்டு.
துறைவாரியாக இதன் பொருள் #
ஓர் எட்ஜ் உள்கட்டமைப்பு வழங்குநரிடமிருந்து பெரிய அளவிலான, தானியங்கி பொதுச் சான்றிதழ் அதிகார அமைப்பு உருவாவது பல தொழில்நுட்பத் துறைகளில் செயல்பாட்டு இடரையும் PKI திட்டமிடலையும் மாற்றுகிறது.
கிளவுட் உள்கட்டமைப்பும் எட்ஜ் வலையமைப்புகளும் #
எட்ஜ் அளவில் பொது CA-வை இயக்குவது மூன்றாம் தரப்புச் சரிபார்ப்பு API-கள், CRL-கள் மீதான வெளிச் சார்பைக் குறைக்கிறது. reverse-proxy எட்ஜ் முடிவுறுத்தலைத் தானியங்கி ACME ARI புதுப்பித்தல்களுடன் இணைப்பதன் மூலம், உள்கட்டமைப்பு வழங்குநர்கள் தங்கள் வாடிக்கையாளர்களை மேல்நிலைச் சான்றிதழ் அதிகார அமைப்புகளின் செயலிழப்புகளிலிருந்து காக்க முடியும்.
நிறுவன PKI, DevOps குழுக்கள் #
பொது முனைகளுக்கு Let's Encrypt-ஐச் சார்ந்திருக்கும் நிறுவனங்களுக்கு நம்பத்தகுந்த, தானியங்கி மாற்று கிடைக்கிறது. இருப்பினும் RFC 9773 (ARI)-இன் கட்டாய அமலாக்கம் என்பதன் பொருள், directory முனைகளை மாற்றும் முன் குழுக்கள் தங்கள் ACME கிளையன்ட்களை (Certbot, Lego, Caddy, Traefik) தணிக்கை செய்து ARI ஆதரவு செயலில் உள்ளதை உறுதிசெய்ய வேண்டும்.
உலாவி நிறுவனங்களும் ரூட் ஆளுகையும் #
ரூட் திட்டங்கள் (Chrome, Mozilla, Apple, Microsoft) பெரிய அளவிலான தானியங்கி CA-க்களின் விரிவடையும் சூழலமைப்பை எதிர்கொள்கின்றன. இரட்டைப் பாதை ரூட் அணுகுமுறை (2012-இன் பழைய ரூட்டை வாங்குவதும் ஒரு நவீன ரூட்டைச் சமர்ப்பிப்பதும்) ரூட் சான்றிதழ் ஆயுளை மேலும் மேலும் கட்டுப்படுத்தும் உலாவிக் கொள்கைகளுக்கு இடையே வழி காண்கிறது, பழைய சாதனங்களுக்குப் பின்னோக்கிய இணக்கத்தையும் பேணுகிறது.
முடிவுரை #
பொதுச் சான்றிதழ் அதிகார அமைப்பாகும் Cloudflare-இன் நகர்வு நவீன WebPKI-இன் உண்மையான கட்டமைப்புப் பலவீனத்தைக் கையாள்கிறது: இலவச, தானியங்கிச் சான்றிதழ் வழங்கலில் தீவிரக் குவிப்பு. நிறுவப்பட்ட GlobalSign ரூட், கண்டிப்பான ARI புதுப்பித்தல் தானியக்கம், குவாண்டத்துக்குப் பிந்தைய Merkle Tree Certificates-க்கான பாலம் ஆகியவற்றை இணைப்பதன் மூலம், வடிவமைப்பு வெறும் சான்றிதழ் வழங்கலை அல்லாமல் செயல்பாட்டு மீள்திறனைக் கையாள்கிறது. ரூட் திட்ட ஒப்புதல்களும், 2027 வெளியீட்டுக்கு முன் கிளையன்ட் கருவிகள் ARI தரநிலைகளை எவ்வளவு விரைவாக ஏற்கின்றன என்பதும் வெற்றியைத் தீர்மானிக்கும்.
அடிக்கடி கேட்கப்படும் கேள்விகள் #
இன்றே என் ACME கிளையன்ட்டை Cloudflare-இன் CA-க்கு மாற்ற முடியுமா?
இன்னும் இல்லை. Cloudflare தன் நோக்கத்தை அறிவித்துள்ளது, ரூட் கையகப்படுத்தல் ஒப்பந்தத்தில் கையெழுத்திட்டுள்ளது, முக்கிய ரூட் திட்டங்களுக்கு விண்ணப்பங்களைச் சமர்ப்பித்துள்ளது. ரூட் திட்ட ஒப்புதல்களுக்குப் பிறகு பொது வழங்கல் தொடங்கத் திட்டமிடப்பட்டுள்ளது.
ACME Renewal Information (ARI) என்றால் என்ன, அது ஏன் முக்கியம்?
ARI (RFC 9773) என்பது ACME நெறிமுறையின் நீட்டிப்பு, ஒரு சான்றிதழை எப்போது புதுப்பிக்க வேண்டும் என்று சான்றிதழ் அதிகார அமைப்புகள் சந்தாதாரர்களுக்கு அறிவுறுத்த அது உதவுகிறது. இதனால் திட்டமிட்ட திரும்பப்பெறல்களுக்கு முன்பே முன்கூட்டிய புதுப்பித்தல்களை CA-க்கள் சுமுகமாக ஒருங்கிணைக்க முடிகிறது, தள முடக்கங்கள் தவிர்க்கப்படுகின்றன.
Merkle Tree Certificates (MTCs) நிலையான X.509 சான்றிதழ்களிலிருந்து எப்படி வேறுபடுகின்றன?
MTCs மரபான தனித்தனி மறையியல் கையொப்பங்களுக்குப் பதிலாக, பொதுவில் சரிபார்க்கக்கூடிய பதிவேட்டில் நங்கூரமிடப்பட்ட Merkle உள்ளடக்கச் சான்றுகளைப் பயன்படுத்துகின்றன. இது சான்றிதழ் அளவையும் அனுப்புதல் சுமையையும் கணிசமாகக் குறைக்கிறது, அவற்றைக் குவாண்டத்துக்குப் பிந்தைய TLS அங்கீகாரத்துக்கான விருப்பத் தேர்வாக்குகிறது.
துணைநூற்பட்டியல் #
- Cloudflare, (2026). முழு இணையத்துக்குமான சான்றிதழ் அதிகார அமைப்பை உருவாக்குதல் ⧉. Cloudflare Blog.
- IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
- IETF, (2025). TLS-க்கான Merkle Tree Certificates ⧉. IETF.
- Chrome Root Program, (2026). குவாண்டத்துக்குப் பிந்தைய அங்கீகாரம் குறித்த கொள்கையும் பரிசீலனைகளும் ⧉. Chromium Projects.
கடைசியாக மதிப்பாய்வு செய்யப்பட்டது .
கடைசியாக மதிப்பாய்வு செய்யப்பட்டது .
இந்தக் கட்டுரையைக் குறுக்கு-பதிவிடுங்கள்
Medium-க்கு வடிவமைத்து நகலெடு
# Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/](https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/) Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/
Mastodon-க்கு வடிவமைத்து நகலெடு
Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க. https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/
LinkedIn-க்கு வடிவமைத்து நகலெடு
Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க. முக்கிய மூலோபாயக் கருத்துகள் இங்கே: - சான்றிதழ் நுகர்வோர் வழங்குநராகிறது. பெரும்பாலான உள்கட்டமைப்பு நிறுவனங்கள் சான்றிதழ் உறவின் ஒரு பக்கத்திலேயே இருக்கின்றன. - இந்தக் கேள்வியை எழுப்பும் நிலையில் Cloudflare ஏன் உள்ளது. CA அமைப்பதற்கான Cloudflare-இன் வாதம் வாடிக்கையாளராக அதன் நிலையிலிருந்து தொடங்குகிறது. - குவிப்புச் சிக்கல். அந்த வாதத்தின் பின்னுள்ள எண்கள் வியக்கவைக்கின்றன. - காத்திருப்பதற்குப் பதில் ரூட்டை வாங்குதல். அறிவிப்பின் மிக நடைமுறையான முடிவு ரூட் பற்றியது. இந்தக் கட்டுரையில் விவரிக்கப்பட்ட சவால்களுக்கு உங்கள் நிறுவனத்தின் அணுகுமுறை என்ன? → https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/ #Cloudflare #சான்றிதழ்அதிகாரஅமைப்பு #பொதுCa #Let'sEncrypt #Globalsign Sebastien Rousseau | CC-BY-4.0
இந்தக் கட்டுரையை மேற்கோள் காட்டுங்கள்
Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau
Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க.
BibTeX
@online{rousseau2026cloudflare,
author = {Rousseau, Sebastien},
title = {{Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/ ER -
Vancouver
Rousseau S. Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/
Chicago
Rousseau, Sebastien. "Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/.
APA
Rousseau, S. (2026, September 20). Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/
இந்தக் கட்டுரையை மறுபிரசுரம் செய்யுங்கள்
Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau
Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க.
இந்தக் கட்டுரை பின்வரும் உரிமத்தின் கீழ் வழங்கப்படுகிறது Creative Commons Attribution 4.0 International. மறுபிரசுரத்திற்கு நியமன URL-க்கு காரணப்பொறுப்பு தேவை.
Cloudflare தானே சான்றிதழ்கள் வழங்க விரும்புகிறது: இலவச CA குவிப்பு — Sebastien Rousseau Cloudflare பொதுச் சான்றிதழ் அதிகார அமைப்பாக விரும்புகிறது: GlobalSign ரூட், கட்டாய ARI புதுப்பிப்பு, Merkle Tree Certificates, இலவச CA சார்பைக் குறைக்க. Originally published at https://sebastienrousseau.com/ta/2026-09-20-cloudflare-thane-chanrithazhkal-vazhangka-virumpukirathu-ilavacha/ by Sebastien Rousseau. Licensed under CC-BY-4.0.