Cloudflare ఏళ్ల తరబడి 16 భాగస్వామి పబ్లిక్ CAలపై ఆధారపడింది, కానీ తానే ఒక్కసారి కూడా బహిరంగంగా విశ్వసనీయమైన సర్టిఫికెట్ జారీ చేయలేదు. ఇప్పుడు అది సొంతంగా ఒక CA కావాలనుకుంటోంది, ఆసక్తికరమైన భాగం దాని డిజైన్: ఒకే CA కింద సంప్రదాయ సర్టిఫికెట్లు, Merkle Tree Certificates, మొదటి నుంచే వైఫల్యాన్ని పరిమితం చేసే ఏర్పాటు.
సర్టిఫికెట్ వినియోగదారు జారీదారుగా మారుతోంది #
చాలా ఇన్‌ఫ్రాస్ట్రక్చర్ కంపెనీలు సర్టిఫికెట్ సంబంధంలో ఒకే వైపు ఉంటాయి. అవి సర్టిఫికెట్లు అభ్యర్థిస్తాయి, వాటిని ఇన్‌స్టాల్ చేస్తాయి, ఏదైనా CAకి ఘటన జరిగితే ఫిర్యాదు చేస్తాయి. Cloudflare దృఢంగా వినియోగదారు వైపే ఉంది. దాని సొంత మాటల్లో, అది తానే ఒక్కసారి కూడా బహిరంగంగా విశ్వసనీయమైన సర్టిఫికెట్ జారీ చేయలేదు.
అది మారబోతోంది, లేదా కనీసం తన ఉద్దేశం అదేనని Cloudflare చెబుతోంది. కంపెనీ పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనే తన ఉద్దేశాన్ని ప్రకటిస్తోంది. ఈ రోజు పరిస్థితి ఎక్కడ ఉందనే దాని గురించి ప్రకటన జాగ్రత్తగా ఉంది, ఈ వ్యాసం కూడా అలాగే ఉండాలి. Cloudflare ఇంకా సర్టిఫికెట్లు జారీ చేయడం లేదు. సేవ ప్రవర్తన గురించిన ప్రతిదీ, దాని ACME ఇంటర్‌ఫేస్ నుంచి పునరుద్ధరణ నియమాలు, Merkle Tree Certificate సపోర్ట్ వరకు, ప్రణాళికా ప్రకటనే తప్ప నడుస్తున్న వ్యవస్థ వివరణ కాదు.
ప్రకటనను నమ్మదగినదిగా చేసేది ఆకాంక్ష కాదు, ఇప్పటికే కనిపిస్తున్న పునాది పని. Cloudflare, Chrome, Apple, Microsoft, Mozilla రూట్ ప్రోగ్రామ్‌లలో చేరడానికి దరఖాస్తు చేసింది. వెబ్‌లోని ప్రతి ప్రధాన రూట్ కీ ప్రోగ్రామ్‌తో దరఖాస్తు, ఆమోద ప్రక్రియ ద్వారా వెళ్తున్నామని అది చెబుతోంది, ఈ ప్రక్రియలు బహిరంగంగా జరుగుతాయని కూడా పేర్కొంటోంది. సూత్రప్రాయంగా దరఖాస్తు విజయవంతమవుతుందో లేదో ఎవరైనా గమనించవచ్చు.
ఈ ప్రశ్న అడిగే స్థితిలో Cloudflare ఎందుకు ఉంది #
CA నిర్మించడానికి Cloudflare వాదన కస్టమర్‌గా దాని స్థానం నుంచి మొదలవుతుంది. ప్రపంచ ఇంటర్నెట్ అభ్యర్థనల ట్రాఫిక్‌లో 20 శాతానికి పైగా దాని ముందు నుంచే వెళ్తుంది. అది లక్షలాది డొమైన్లకు TLSను ముగిస్తుంది, ఏటా లక్షలాది సర్టిఫికెట్లపై ఆధారపడుతుంది. Universal SSL ద్వారా తన కస్టమర్లకు సర్టిఫికెట్ ప్యాక్‌లు అందిస్తుంది, తన సొంత వ్యవస్థలు, అంతర్గత కార్యకలాపాలు నడపడానికి అనేక వేర్వేరు CAల నుంచి సర్టిఫికెట్లు కూడా తీసుకుంటుంది.
కస్టమర్ సేవలు నడుస్తూ ఉండేందుకు Cloudflare ఈ సర్టిఫికెట్లను అనేక CAల ద్వారా, ప్రాథమిక, బ్యాకప్ మార్గాలతో పొందుతుంది, తద్వారా CA అంతరాయాలు, రద్దు ఘటనల సమయంలోనూ కస్టమర్ సేవలు కొనసాగుతాయి. అనేక సంవత్సరాలుగా అది ఆధారపడిన భాగస్వామి పబ్లిక్ CAల సంఖ్య 16.
బ్యాకప్ ఏర్పాటును దగ్గరగా చూడటం మంచిది, ఎందుకంటే వైఫల్యం గురించి Cloudflare ఎలా ఆలోచిస్తుందో అది చూపిస్తుంది. ప్రతి Universal SSL సర్టిఫికెట్‌తో ఇప్పటికే ఒక బ్యాకప్ సర్టిఫికెట్ వస్తుంది, అది వేరే కీతో చుట్టబడి వేరే అథారిటీ నుంచి జారీ అయినది. ప్రాథమిక సర్టిఫికెట్ ఎప్పుడైనా రద్దయినా లేదా రాజీపడినా, బ్యాకప్ స్వయంచాలకంగా అమలులోకి రావడానికి సిద్ధంగా ఉంటుంది. ఇది ఏ ఒక్క CA తప్పుదారి పట్టినా దానికి వ్యతిరేకంగా రక్షణ, సంబంధంలోని కస్టమర్ వైపు నుంచి నిర్మించినది.
ఈ రక్షణకు ఒక పరిమితి కూడా ఉంది. ఉన్న CAల మధ్యనే వైవిధ్యం తీసుకురాగలం, సమర్థవంతమైన CAల సరఫరా కనిపించే దానికంటే తక్కువని మూలం వాదిస్తుంది.
కేంద్రీకరణ సమస్య #
ఆ వాదన వెనుక ఉన్న అంకెలు ఆశ్చర్యపరుస్తాయి. Let's Encrypt రోజుకు సుమారు కోటి సర్టిఫికెట్లు జారీ చేస్తుంది. అది 50 కోట్లకు పైగా సైట్లకు సేవలందిస్తుంది, 2025లో 400 కోట్ల క్రియాశీల సర్టిఫికెట్ల మైలురాయిని దాటింది. ఇవి ఒకే ఉచిత CA అంకెలు, తన ఎన్‌క్రిప్షన్ కోసం ఒకే సంస్థపై భారీగా ఆధారపడిన వెబ్‌ను ఇవి వర్ణిస్తాయి.
మూలం స్పష్టమైన నిర్ధారణకు వస్తుంది, తగిన జాగ్రత్తతో: ఆధిపత్య ఉచిత సర్టిఫికెట్ అథారిటీకి ఒక చెడ్డ వారం ఎదురైతే, భారాన్ని మోయడానికి పోల్చదగిన ఉచిత, స్వయంచాలక ప్రత్యామ్నాయం వెబ్‌లో అధిక భాగానికి సిద్ధంగా ఉండదు. ఇది ఊహాత్మక పరిస్థితి గురించిన ప్రకటన, Cloudflare దాన్ని అలాగే ప్రదర్శిస్తుంది. అలాంటి వారం జరిగిందని గానీ, రాబోతోందని గానీ అది చెప్పడం లేదు.
అయినప్పటికీ తర్కాన్ని అనుసరించడం సులభం. ఉచిత, స్వయంచాలక CA అత్యవసర పరిస్థితికి ముందే ఉంటేనే అది స్థితిస్థాపకత ఎంపిక. పెద్ద స్థాయిలో రెండో దాన్ని అందించగలనన్నదే Cloudflare ప్రతిపాదన. ప్రకటనలో ఇదే అత్యంత బలమైన వాణిజ్య, సాంకేతిక కారణమని నా వాదన, ఇది ప్రణాళికలోని మరింత ఊహాజనిత భాగాలపై ఆధారపడదు. ఒక ఆధిపత్య ఉచిత CA, మరేమీ పెద్దగా లేని వెబ్, ఆ CA కార్యకలాపాల నాణ్యత ఎంత బాగున్నా, ఒకే వైఫల్య బిందువు ఉన్న వెబ్.
| కొలమానం | సంప్రదాయ ఉచిత స్వయంచాలక CA (Let's Encrypt) | ప్రతిపాదిత Cloudflare పబ్లిక్ CA |
|---|---|---|
| విశ్వాస ఆధార వ్యూహం | ISRG Root X1 / X2 (2015 నుంచి స్థాపించిన సొంత రూట్లు) | కొనుగోలు చేసిన GlobalSign రూట్ (2012 నుంచి విశ్వసనీయం) + కొత్త రూట్ |
| జారీ ప్రోటోకాల్ | ప్రామాణిక ACME (RFC 8555) | తప్పనిసరి ARI (RFC 9773) అమలుతో ACME |
| రద్దు విధానం | CRL / OCSP + అత్యవసర సామూహిక చందాదారు భర్తీ | ARI ఎండ్‌పాయింట్ల ద్వారా సమన్వయంతో పునరుద్ధరణను ముందుకు తేవడం |
| పోస్ట్-క్వాంటం మార్గం | హైబ్రిడ్ X.509 సంతకాలు మూల్యాంకనంలో | సంప్రదాయ X.509తో పాటు స్థానిక Merkle Tree Certificates (MTCs) |
| స్థాయి, ప్రారంభ భారం | 50 కోట్లు+ సైట్లలో రోజుకు ~1 కోటి సర్టిఫికెట్లు | ప్రపంచ వెబ్ ట్రాఫిక్‌లో 20%+ అంతటా Customer Zero ధ్రువీకరణ |
ఎదురుచూడకుండా రూట్‌ను కొనడం #
ప్రకటనలో అత్యంత ఆచరణాత్మక నిర్ణయం రూట్‌కు సంబంధించినది. GlobalSign నుంచి స్థిరపడిన, విస్తృతంగా విశ్వసనీయమైన రూట్‌ను కొనుగోలు చేసే తుది ఒప్పందంపై సంతకం చేశామని Cloudflare చెబుతోంది. మూలం కారణాన్ని నేరుగా చెబుతుంది: సరికొత్త రూట్ ఏళ్ల తరబడి విస్తృతంగా ఉపయోగపడదు. దీనికి భిన్నంగా, ఇప్పటికే ఉన్న GlobalSign రూట్ 2012 నుంచి బ్రౌజర్లు, ఆపరేటింగ్ సిస్టమ్‌లు, పరికరాల్లో విశ్వసనీయంగా ఉంది.
రూట్ విశ్వాసం నెమ్మదిగా వస్తుంది, ఎందుకంటే అది పరికరాల్లో ఇన్‌స్టాల్ అవుతుంది, పరికరాలు నెమ్మదిగా అప్‌డేట్ అవుతాయి. కొత్త రూట్‌ను ప్రతి ప్రోగ్రామ్ ఆమోదించినా పాత ఫోన్‌లో లేదా ఎంబెడెడ్ సిస్టమ్‌లో అది ధ్రువీకరణలో విఫలం కావచ్చు. 2012 నుంచి వాడుకలో ఉన్న రూట్‌ను కొనడం ఆ ఎదురుచూపును తప్పిస్తుంది, కనీసం మూలం దాన్ని చూపించే విధంగా.
Cloudflare కొత్త రూట్ మార్గాన్ని పూర్తిగా వదులుకోవడం లేదు. రూట్ కీ ప్రోగ్రామ్‌లలో చేర్చడానికి ఒక కొత్త రూట్‌ను కూడా సమర్పిస్తుంది, దాన్ని వ్యవస్థ వెళ్తున్న దిశకు తగినట్లుగా నిర్మించినదని వర్ణిస్తుంది, విశ్వసనీయ రూట్ ఎంత పాతదిగా ఉండవచ్చనే దానిపై పరిమితి విధించడం మొదలుపెట్టిన ప్రోగ్రామ్‌లు సహా. ఆ చివరి వివరం వయస్సుకు రెండు వైపులా ఉంటాయని గుర్తు చేస్తుంది. విశ్వసనీయ రూట్ వయస్సు పరికరాల కవరేజీకి ఆస్తి, కొన్ని ప్రోగ్రామ్‌లు విశ్వసనీయ రూట్ ఎంత పాతదిగా ఉండవచ్చనే దానిపై పరిమితుల దిశగా కదులుతున్నాయి. కొనుగోలు చేసిన రూట్‌ను, కొత్త సమర్పణను రెండింటినీ కలిపి నడపడం ఆ ఉద్రిక్తతకు స్పందనగా కనిపిస్తుంది, అయితే మూలం ఆ తర్కాన్ని ఈ పదాల్లో చెప్పడం లేదు.
షరతులతో ACME-ప్రథమ సేవ #
స్వీకరణ విషయంలో చాలా CA ప్రకటనలు అస్పష్టంగా మారతాయి. Cloudflare నిర్దిష్టంగా ఉంది. దాని పబ్లిక్ CA ACME-ప్రథమంగా ఉంటుంది, అంటే ఇప్పటికే ఉన్న ఆటోమేషన్ వాడే Automated Certificate Management Environment ప్రోటోకాల్‌ను అది మాట్లాడుతుంది. ఇప్పటికే ఉన్న ఉచిత CA వైపు సెట్ చేసిన ఎవరైనా ఒక directory URLను మార్చడం ద్వారా, కొత్త సాధనాలు లేకుండా, దేన్నీ మళ్లీ నిర్మించకుండా Cloudflare CAకి మారవచ్చన్నది వాదన. ఇది ప్రణాళిక, పరీక్షించిన వలస మార్గం కాదు, అలాగే చదవాలి. కానీ ఒక్క లైన్ కాన్ఫిగరేషన్ మార్పే సరైన లక్ష్యం, ఎందుకంటే వలస ఖర్చే ప్రజలను డిఫాల్ట్‌పై ఉంచుతుంది.
అసలు చిక్కు చాలా మంది ACME వినియోగదారులు తీర్చాల్సిన అవసరం రాని ఒక షరతులో ఉంది. ACME Renewal Information, అంటే ARI, సపోర్ట్ చేసే క్లయింట్లకు మాత్రమే Cloudflare జారీ చేస్తుంది, ఇది RFC 9773లో ప్రామాణీకరించబడింది. Cloudflare పునరుద్ధరణ ఎండ్‌పాయింట్‌ను క్రమం తప్పకుండా ప్రశ్నించే, Cloudflare ప్రచురించే పునరుద్ధరణ విండోలకు అనుగుణంగా పనిచేసే, తాను భర్తీ చేస్తున్న సర్టిఫికెట్‌ను గుర్తించే ఆటోమేషన్‌ను చందాదారులు నిర్వహించాలి.
ఇది దృఢమైన వైఖరి, ఇదే సరైనదని నేను భావిస్తున్నాను. ఇది స్వీకరణ గురించి న్యాయమైన ప్రశ్నను కూడా లేవనెత్తుతుంది: ARI సామర్థ్యమున్న క్లయింట్లకు మాత్రమే సేవ చేసే CA, ACME లైబ్రరీ ఉన్న ఎవరికైనా సేవ చేసే CA కంటే ఇరుకైనది. ఇది ఈ రోజు ఎన్ని క్లయింట్లను మినహాయిస్తుందో మూలం చెప్పడం లేదు, కాబట్టి నేను ఊహించను. Cloudflare ఈ షరతును ఎందుకు కోరుకుంటోందో మాత్రం అది చెబుతుంది.
సైట్లను పడగొట్టకుండా రద్దు #
గత 16 సంవత్సరాల్లో అనేక విషయాలు గమనించామని Cloudflare చెబుతోంది, వాటిలో ఒక పరిశీలన ఈ డిజైన్‌ను నడిపిస్తుంది. సకాలంలో రద్దు చేయడం, చందాదారుల సైట్లను ఆన్‌లైన్‌లో ఉంచడం మధ్య సర్టిఫికెట్ అథారిటీలు ఇరుక్కుపోవడాన్ని అది చూసింది.
ఆ ఉద్రిక్తత ఏ CAకైనా నిజమైనదే. సర్టిఫికెట్‌ను త్వరగా రద్దు చేయడం ప్రజలను కాపాడుతుంది, కానీ చందాదారు దాన్ని త్వరగా భర్తీ చేయలేకపోతే, ఆ సర్టిఫికెట్‌పై ఆధారపడిన ప్రతి సైట్ పడిపోవచ్చు. మధ్యలో ఇరుక్కున్న CA ఆలస్యంగా రద్దు చేస్తుంది, లేదా కస్టమర్లను దెబ్బతీస్తుంది.
ARI Cloudflare సమాధానం. సర్టిఫికెట్లను విరమింపజేయాల్సి వచ్చినప్పుడు, ప్రభావిత సర్టిఫికెట్ల పునరుద్ధరణ విండోలను ముందుకు తీసుకురాగలమని Cloudflare చెబుతోంది. చందాదారులు పునరుద్ధరణ ఎండ్‌పాయింట్‌ను ప్రశ్నించి ప్రచురించిన విండోలకు అనుగుణంగా పనిచేయడం తప్పనిసరి కాబట్టి, కఠినమైన రద్దు రాకముందే CA వారిని భర్తీ వైపు నడిపించగలదు. ఈ యంత్రాంగాన్ని Cloudflare కలిగి ఉండాలనుకుంటున్న సామర్థ్యంగా వర్ణించారు, CAగా అది నిరూపించినదిగా కాదు. అయినప్పటికీ తర్కం సరిపోతుంది: ఈ లివర్ పనిచేసేందుకే ప్రశ్నించే షరతు ఉంది.
అదే ఆలోచన ఒక విస్తృత డిజైన్ లక్ష్యంలోనూ కనిపిస్తుంది. తప్పులను నివారించడంపై మాత్రమే కాకుండా, Cloudflare ఇతర ఉత్పత్తుల్లాగే, చిన్నగా విఫలమవడంపై, ఏ ఒక్క సమస్య ప్రభావాన్నైనా పరిమితం చేయడంపై విశ్వసనీయత ఆధారపడే సర్టిఫికెట్ అథారిటీని నిర్మించాలని Cloudflare భావిస్తోంది. తప్పులను నివారించడం CAకి అవసరం, ఏ CA దాన్ని సంపూర్ణంగా వాగ్దానం చేయలేదు. తప్పు అదుపులో ఉండేలా డిజైన్ చేయడమే మరింత నిజాయితీ గల ఇంజినీరింగ్ వైఖరి.
ఆడిట్‌కు మించిన పారదర్శకత #
పబ్లిక్ CAలను సాధారణంగా ఆడిట్ల ద్వారా అంచనా వేస్తారు. వాటి పరిమితుల గురించి మూలం సూటిగా చెబుతుంది: ఆడిట్లు ఒక నిర్దిష్ట సమయానికి సంబంధించినవి, CA ఉత్తీర్ణమైందని మాత్రమే చెబుతాయి. ఆ తర్వాత ఏదో ఒక సాధారణ మంగళవారం CA ఏం చేస్తోందో అవి చెప్పవు.
సర్టిఫికెట్లపై సంతకం చేసే సాఫ్ట్‌వేర్ reproducible buildsను ప్రచురిస్తామని చెప్పడమే Cloudflare స్పందన. దీన్ని పూర్తయిన పనిగా కాకుండా, నిబద్ధతగా చెప్పారు. సంతకం మార్గంలో నడుస్తున్న బైనరీ ప్రచురించిన సోర్స్‌కు సరిపోతుందో లేదో బయటివారు తనిఖీ చేయడానికి reproducible builds వీలు కల్పిస్తాయి, ఇది ఆడిట్ నివేదిక కాని విధంగా నిరంతర లక్షణం. అది సరిపోతుందో లేదో Cloudflare వాస్తవంగా ఏం ప్రచురిస్తుంది, ఇతరులు దాన్ని తనిఖీ చేస్తారా అనే దానిపై ఆధారపడి ఉంటుంది.
ప్రకటనలోని రెండో సగం: Merkle Tree Certificates #
పోస్ట్-క్వాంటం భాగంలోనే ప్రకటన అత్యంత దూరం ముందుకు చూస్తుంది. పోస్ట్-క్వాంటం సర్టిఫికెట్లు అందించే తొలి CAలలో ఒకటిగా ఉండాలనే ప్రణాళికను Cloudflare ప్రకటిస్తుంది, 2027 మొదటి త్రైమాసికంలో తన తొలి Merkle Tree Certificatesను జారీ చేయాలని ప్రణాళిక వేసింది. తొలి MTCs 2027 ప్రారంభంలో వస్తాయని మూలంలోని మరో భాగం చెబుతుంది. రెండూ ప్రణాళికలే.
బహిరంగంగా విశ్వసనీయమైన సర్టిఫికెట్లను అందించే కొత్త, చాలా సంక్షిప్తమైన మార్గంగా MTCsను మూలం వర్ణిస్తుంది. ఆ పదజాలం ఒక వర్ణన, నేను ఆధారపడుతున్న భాగాల్లో మూలం కొలతలు ఇవ్వడం లేదు, కాబట్టి ఎంత సంక్షిప్తమో నేను చెప్పలేను. IETFలో MTCs కోసం ప్రమాణాల ఆధారిత ప్రతిపాదనను ముందుకు తీసుకెళ్తున్నామని Cloudflare చెబుతోంది. ఈ ఏడాది ప్రారంభంలో Chrome పోస్ట్-క్వాంటం ప్రామాణీకరణకు MTCsను ప్రాధాన్య మార్గంగా పేర్కొందని కూడా అది నివేదిస్తుంది. ఇది జరిగిన సంఘటన, ఇది ముఖ్యం, ఎందుకంటే బ్రౌజర్ తయారీదారు ప్రకటించిన ప్రాధాన్యతే ఒక ప్రతిపాదనను CA ప్రణాళిక వేయగలిగే దానిగా మారుస్తుంది.
పరివర్తన ఆకస్మికంగా ఉంటుందని Cloudflare ఆశించడం లేదు. ఇంటర్నెట్‌లో అధిక భాగం ఇంకా చాలా ఏళ్ల పాటు సంప్రదాయ సర్టిఫికెట్లు, ఇప్పటికే ఉన్న WebPKIపై ఆధారపడుతుందని అది ఆశిస్తోంది. ఆ కాలమంతా జారీలో MTCs వాటా క్రమంగా పెరుగుతుందని అది ఆశిస్తోంది. ఇవి అంచనాలు, మూలం వాటిని అలాగే పేర్కొంటుంది.
ఒక CA, ఒక జీవితచక్రం #
దీని నుంచి వచ్చే నిర్మాణ ఎంపికే నాకు అత్యంత నమ్మకం కలిగిస్తుంది. కొత్త CAని సంప్రదాయ సర్టిఫికెట్లను, Merkle Tree Certificatesను ఒకే CA కింద, ఒకే జీవితచక్రంతో, ఒకే హామీల సమితితో మోయడానికి డిజైన్ చేశారు. అప్పుడు కస్టమర్లు తమకు అనువైన వేగంతో స్వీకరించవచ్చు, ఆకస్మిక మార్పు లేకుండా వెబ్ ఈ దాటడాన్ని పూర్తిచేయడానికి సహాయపడవచ్చు.
ప్రత్యామ్నాయం రెండు సమాంతర CAలు, రెండు విధాన సమితులు, ఏదో ఒక దశలో బలవంతపు వలస. ఆకస్మిక మార్పే సర్టిఫికెట్ వ్యవస్థను మార్చే అత్యంత ప్రమాదకర మార్గం, దాన్ని నివారించడమే మూలం ప్రకటిత లక్ష్యం. పదజాలం జాగ్రత్తగా ఉంది, అది సరైనదే: ఇది ఇంకా జారీ చేయని CA డిజైన్ ఉద్దేశం.
ఇది ప్రోత్సాహకాల చిత్రానికి కూడా సరిపోతుంది. గరిష్ఠ చెల్లుబాటు కాలాలు తగ్గడం, ఏజెంటిక్ కార్యకలాపాలు పెరగడం, పోస్ట్-క్వాంటం సర్టిఫికెట్లు ప్రధాన స్రవంతిలోకి రావడంతో, ఏటా తాను ఆధారపడే సర్టిఫికెట్ల సంఖ్య పెరుగుతూనే ఉంటుందని Cloudflare ఆశిస్తోంది. మరిన్ని సర్టిఫికెట్లు, మరింత తరచుగా జారీ కావడం, ఆటోమేషన్‌కు, పునరుద్ధరణను ప్రథమ శ్రేణి కార్యకలాపంగా చూసే CAకి అనుకూలంగా వాదిస్తాయి. ARI, ఒకే జీవితచక్రం చుట్టూ నిర్మించిన వ్యవస్థ ఆ అంచనాకు సహేతుకమైన స్పందన, అయితే ఆ అంచనా స్వయంగా ఒక భవిష్యద్వాణి, కొలత కాదు.
Customer Zero #
ప్రజలు ఆధారపడక ముందే ఒక CAని ఎలా పరీక్షించాలి? తానే తన తొలి కస్టమర్‌గా ఉండటమే Cloudflare సమాధానం. కొత్త CAకి, దాని సర్టిఫికెట్లకు, WebPKI, MTC రెండింటికీ, అది Customer Zeroగా ఉంటుంది. కొత్త వ్యవస్థలు, ప్రక్రియల అన్ని అంశాలు Cloudflare ఉన్నత అంతర్గత ప్రమాణాలను అందుకుంటున్నాయని నిర్ధారించడం, CA ఇన్‌ఫ్రాస్ట్రక్చర్‌ను Cloudflare స్థాయిలో పరీక్షించడం ప్రకటిత ఉద్దేశం.
ముందరి అంకెలను బట్టి ఇది కష్టమైన అంతర్గత భారం: ఏటా లక్షలాది సర్టిఫికెట్లు, ప్రపంచ అభ్యర్థనల ట్రాఫిక్‌లో 20 శాతానికి పైగా ముందు నిలిచిన కంపెనీలో. కార్యకలాపాల తొలి సంవత్సరాలు సాఫీగా సాగుతాయో లేదో ప్రకటనలు మనకు చెప్పలేవు. అవి చూపించేది ఒక వివేకవంతమైన కార్యక్రమ క్రమం. కంపెనీ తాను నిర్మిస్తున్న దానికి భారీ వినియోగదారుగా మొదలవుతుంది, దాని వెనుక బహుళ-CA సమకూర్పు, బ్యాకప్ మార్గాలు, 16 భాగస్వామి CAల చరిత్ర ఉంది.
ఏది లేదో స్పష్టంగా చెప్పడం మంచిది. Cloudflare సొంత CA జారీ పరిమాణాలు, లోపాల రేట్లు, ధ్రువీకరణ జాప్యం, ఘటనల చరిత్ర వంటివేవీ మూలంలో లేవు, ఎందుకంటే అలాంటి చరిత్ర ఇంకా లేదు. ప్రకటన దరఖాస్తులు, ఒక కొనుగోలు ఒప్పందం, ఒక డిజైన్ ఆధారంగా ఉన్న ఉద్దేశ ప్రకటన. ఇది పనితీరు రికార్డు కాదు.
ఏం గమనించాలి #
ఇది WebPKIకి అర్థవంతమైన చేరికా, లేక కేవలం ఆసక్తికరమైన ప్రకటనా అనేది మూడు విషయాలు నిర్ణయిస్తాయి.
మొదటిది రూట్ ప్రోగ్రామ్‌లు. Cloudflare, Chrome, Apple, Microsoft, Mozillaలకు దరఖాస్తు చేసింది, ప్రక్రియలు బహిరంగంగా జరుగుతున్నాయి. ప్రణాళిక ఎంతవరకు వచ్చిందో చూడటానికి వాటిని గమనించడమే అత్యంత సూటి మార్గం, దాని ఫలితాన్ని ఏ ప్రకటనా నన్ను ముందే చెప్పనివ్వదు.
రెండోది ARI షరతు. RFC 9773 సపోర్ట్‌పై పట్టుబట్టే CA, పునరుద్ధరణ ఆటోమేషన్‌ను తన చందాదారుల స్థావరమంతటా ముందుకు నెట్టవచ్చని పందెం కాస్తోంది. పందెం సరైతే, సర్టిఫికెట్లను విరమింపజేయాల్సినప్పుడు పునరుద్ధరణ విండోలను ముందుకు తీసుకొచ్చే సామర్థ్యం Cloudflareకి లభిస్తుంది, ఇదే అది చూసిన రద్దు సందిగ్ధతకు ప్రకటిత సమాధానం. తప్పైతే, ఒక్క లైన్ వలస కథ సూచించే దానికంటే స్వీకరణ నెమ్మదిగా ఉంటుంది.
మూడోది 2027 మొదటి త్రైమాసికం. అప్పుడే Cloudflare తన తొలి Merkle Tree Certificatesకు ప్రణాళిక వేసింది. ఇంటర్నెట్‌లో అధిక భాగం ఇంకా చాలా ఏళ్ల పాటు సంప్రదాయ సర్టిఫికెట్లపైనే ఉంటుందన్న దాని సొంత అభిప్రాయాన్ని బట్టి, అది ఆశిస్తున్న క్రమంగా పెరిగే వాటా నిజంగా ఎంత వేగంగా పెరుగుతుందన్నదే బహిరంగ ప్రశ్న. ఈ దాటడానికి ఆకస్మిక మార్పు అవసరం కాకూడదని కంపెనీ చెప్పింది. రెండు రకాల సర్టిఫికెట్లను మోసే ఒక CA దాన్ని నిజం చేయగలదో లేదో చూసే తొలి అవకాశం 2027 మొదటి త్రైమాసికం.
రంగాల వారీగా దీని అర్థం #
ఎడ్జ్ ఇన్‌ఫ్రాస్ట్రక్చర్ ప్రొవైడర్ నుంచి భారీ పరిమాణంలో, స్వయంచాలకంగా పనిచేసే పబ్లిక్ సర్టిఫికెట్ అథారిటీ ఆవిర్భావం అనేక సాంకేతిక రంగాల్లో కార్యాచరణ ప్రమాదాన్ని, PKI ప్రణాళికను మారుస్తుంది.
క్లౌడ్ ఇన్‌ఫ్రాస్ట్రక్చర్, ఎడ్జ్ నెట్‌వర్క్‌లు #
ఎడ్జ్ స్థాయిలో పబ్లిక్ CAను నడపడం మూడో పక్ష ధ్రువీకరణ APIలు, CRLలపై బాహ్య ఆధారాన్ని తగ్గిస్తుంది. reverse-proxy ఎడ్జ్ టెర్మినేషన్‌ను స్వయంచాలక ACME ARI పునరుద్ధరణలతో జోడించడం ద్వారా, ఇన్‌ఫ్రాస్ట్రక్చర్ ప్రొవైడర్లు తమ కస్టమర్లను ఎగువ సర్టిఫికెట్ అథారిటీ అంతరాయాల నుంచి కాపాడగలరు.
ఎంటర్‌ప్రైజ్ PKI, DevOps బృందాలు #
పబ్లిక్ ఎండ్‌పాయింట్ల కోసం Let's Encryptపై ఆధారపడే సంస్థలకు నమ్మదగిన, స్వయంచాలక ప్రత్యామ్నాయం లభిస్తుంది. అయితే RFC 9773 (ARI) తప్పనిసరి అమలు అంటే, directory ఎండ్‌పాయింట్లను మార్చే ముందు బృందాలు తమ ACME క్లయింట్లను (Certbot, Lego, Caddy, Traefik) ఆడిట్ చేసి ARI సపోర్ట్ క్రియాశీలంగా ఉందని నిర్ధారించుకోవాలి.
బ్రౌజర్ తయారీదారులు, రూట్ పాలన #
రూట్ ప్రోగ్రామ్‌లు (Chrome, Mozilla, Apple, Microsoft) భారీ పరిమాణ స్వయంచాలక CAల విస్తరిస్తున్న వ్యవస్థను ఎదుర్కొంటున్నాయి. ద్వంద్వ మార్గ రూట్ విధానం (2012 నాటి పాత రూట్‌ను కొనడం, అదే సమయంలో ఆధునిక రూట్‌ను సమర్పించడం) రూట్ సర్టిఫికెట్ జీవితకాలాలను మరింతగా పరిమితం చేస్తున్న బ్రౌజర్ విధానాల మధ్య దారి చేసుకుంటుంది, పాత పరికరాలకు వెనుకటి అనుకూలతను కాపాడుతుంది.
ముగింపు #
పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనే Cloudflare అడుగు ఆధునిక WebPKIలోని ఒక నిజమైన నిర్మాణ బలహీనతను పరిష్కరిస్తుంది: ఉచిత, స్వయంచాలక సర్టిఫికెట్ జారీలో తీవ్ర కేంద్రీకరణ. స్థిరపడిన GlobalSign రూట్, కఠినమైన ARI పునరుద్ధరణ ఆటోమేషన్, పోస్ట్-క్వాంటం Merkle Tree Certificates వైపు వంతెనను కలపడం ద్వారా, డిజైన్ కేవలం సర్టిఫికెట్ సమకూర్పును కాకుండా కార్యాచరణ స్థితిస్థాపకతను లక్ష్యంగా చేసుకుంటుంది. రూట్ ప్రోగ్రామ్ ఆమోదాలు, 2027 విడుదలకు ముందే క్లయింట్ సాధనాలు ARI ప్రమాణాలను ఎంత వేగంగా స్వీకరిస్తాయనేవే విజయాన్ని నిర్ణయిస్తాయి.
తరచుగా అడిగే ప్రశ్నలు #
నేను ఈ రోజే నా ACME క్లయింట్‌ను Cloudflare CAకి మార్చవచ్చా?
ఇంకా కాదు. Cloudflare తన ఉద్దేశాన్ని ప్రకటించింది, రూట్ కొనుగోలు ఒప్పందంపై సంతకం చేసింది, ప్రధాన రూట్ ప్రోగ్రామ్‌లకు దరఖాస్తులు సమర్పించింది. రూట్ ప్రోగ్రామ్ ఆమోదాల తర్వాత పబ్లిక్ జారీ ప్రారంభం కావాల్సి ఉంది.
ACME Renewal Information (ARI) అంటే ఏమిటి, అది ఎందుకు ముఖ్యం?
ARI (RFC 9773) అనేది ACME ప్రోటోకాల్‌కు ఒక విస్తరణ, సర్టిఫికెట్‌ను ఎప్పుడు పునరుద్ధరించాలో సర్టిఫికెట్ అథారిటీలు చందాదారులకు సూచించడానికి ఇది వీలు కల్పిస్తుంది. దీంతో ప్రణాళికాబద్ధమైన రద్దులకు ముందే ముందస్తు పునరుద్ధరణలను CAలు సాఫీగా సమన్వయం చేయగలుగుతాయి, సైట్ అంతరాయాలను నివారిస్తాయి.
Merkle Tree Certificates (MTCs) ప్రామాణిక X.509 సర్టిఫికెట్ల నుంచి ఎలా భిన్నమైనవి?
MTCs సంప్రదాయ వ్యక్తిగత క్రిప్టోగ్రాఫిక్ సంతకాలకు బదులుగా బహిరంగంగా ధ్రువీకరించదగిన లాగ్‌లో లంగరు వేసిన Merkle చేరిక రుజువులను ఉపయోగిస్తాయి. ఇది సర్టిఫికెట్ పరిమాణాన్ని, ప్రసార భారాన్ని గణనీయంగా తగ్గిస్తుంది, వాటిని పోస్ట్-క్వాంటం TLS ప్రామాణీకరణకు ప్రాధాన్య అభ్యర్థిగా చేస్తుంది.
ఆధారాలు #
- Cloudflare, (2026). మొత్తం ఇంటర్నెట్ కోసం ఒక సర్టిఫికెట్ అథారిటీని నిర్మించడం ⧉. Cloudflare Blog.
- IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
- IETF, (2025). TLS కోసం Merkle Tree Certificates ⧉. IETF.
- Chrome Root Program, (2026). పోస్ట్-క్వాంటం ప్రామాణీకరణపై విధానం, పరిగణనలు ⧉. Chromium Projects.
చివరిగా సమీక్షించబడింది .
చివరిగా సమీక్షించబడింది .
ఈ వ్యాసాన్ని క్రాస్-పోస్ట్ చేయండి
Medium కోసం ఫార్మాట్ చేసి కాపీ చేయండి
# Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/](https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/) Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/
Mastodon కోసం ఫార్మాట్ చేసి కాపీ చేయండి
Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు. https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/
LinkedIn కోసం ఫార్మాట్ చేసి కాపీ చేయండి
Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు. ముఖ్యమైన వ్యూహాత్మక అంశాలు ఇవి: - సర్టిఫికెట్ వినియోగదారు జారీదారుగా మారుతోంది. చాలా ఇన్‌ఫ్రాస్ట్రక్చర్ కంపెనీలు సర్టిఫికెట్ సంబంధంలో ఒకే వైపు ఉంటాయి. - ఈ ప్రశ్న అడిగే స్థితిలో Cloudflare ఎందుకు ఉంది. CA నిర్మించడానికి Cloudflare వాదన కస్టమర్‌గా దాని స్థానం నుంచి మొదలవుతుంది. - కేంద్రీకరణ సమస్య. ఆ వాదన వెనుక ఉన్న అంకెలు ఆశ్చర్యపరుస్తాయి. - ఎదురుచూడకుండా రూట్‌ను కొనడం. ప్రకటనలో అత్యంత ఆచరణాత్మక నిర్ణయం రూట్‌కు సంబంధించినది. ఈ వ్యాసంలో వివరించిన సవాళ్లకు మీ సంస్థ దృక్పథం ఏమిటి? → https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/ #Cloudflare #సర్టిఫికెట్అథారిటీ #పబ్లిక్Ca #Let'sEncrypt #Globalsign Sebastien Rousseau | CC-BY-4.0
ఈ వ్యాసాన్ని ఉదహరించండి
Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau
Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు.
BibTeX
@online{rousseau2026cloudflare,
author = {Rousseau, Sebastien},
title = {{Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/ ER -
Vancouver
Rousseau S. Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/
Chicago
Rousseau, Sebastien. "Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/.
APA
Rousseau, S. (2026, September 20). Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/
ఈ వ్యాసాన్ని పునఃప్రచురించండి
Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau
Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు.
ఈ వ్యాసం కింది లైసెన్స్ కింద ఉంది Creative Commons Attribution 4.0 International. పునఃప్రచురణకు కానానికల్ URLకు ఆపాదన అవసరం.
Cloudflare సొంత సర్టిఫికెట్లు ఇవ్వాలనుకుంటోంది: ఉచిత CA కేంద్రీకరణ — Sebastien Rousseau Cloudflare పబ్లిక్ సర్టిఫికెట్ అథారిటీ కావాలనుకుంటోంది: GlobalSign రూట్, తప్పనిసరి ARI పునరుద్ధరణ, Merkle Tree Certificates, ఉచిత CAపై ఆధారాన్ని తగ్గించేందుకు. Originally published at https://sebastienrousseau.com/te/2026-09-20-cloudflare-somta-sartiphiketlu-ivvalanukumtomdi-uchita/ by Sebastien Rousseau. Licensed under CC-BY-4.0.