Cloudflare พึ่งพา CA สาธารณะที่เป็นพันธมิตร 16 รายมาหลายปี โดยไม่เคยออกใบรับรองที่ได้รับความเชื่อถือสาธารณะด้วยตัวเองแม้แต่ใบเดียว ตอนนี้บริษัทตั้งใจจะเป็น CA เอง และส่วนที่น่าสนใจคือการออกแบบ: ใบรับรองแบบดั้งเดิมและ Merkle Tree Certificates ภายใต้ CA เดียว พร้อมการจำกัดความเสียหายเมื่อเกิดความผิดพลาดตั้งแต่ต้น
ผู้ใช้ใบรับรองกลายเป็นผู้ออกใบรับรอง #
บริษัทโครงสร้างพื้นฐานส่วนใหญ่อยู่ฝั่งเดียวของความสัมพันธ์เรื่องใบรับรอง พวกเขาขอใบรับรอง ติดตั้ง และบ่นเมื่อ CA เกิดเหตุขัดข้อง Cloudflare อยู่ฝั่งผู้ใช้มาโดยตลอด ตามที่บริษัทระบุเอง บริษัทไม่เคยออกใบรับรองที่ได้รับความเชื่อถือสาธารณะด้วยตัวเองแม้แต่ใบเดียว
สิ่งนี้กำลังจะเปลี่ยน หรืออย่างน้อย Cloudflare ก็บอกว่าตั้งใจเช่นนั้น บริษัทกำลังประกาศความตั้งใจที่จะเป็นผู้ออกใบรับรองสาธารณะ ประกาศนี้ระมัดระวังเรื่องสถานะในปัจจุบัน และบทความนี้ก็ควรระมัดระวังเช่นกัน Cloudflare ยังไม่ได้ออกใบรับรอง ทุกอย่างเกี่ยวกับพฤติกรรมของบริการ ตั้งแต่อินเทอร์เฟซ ACME ไปจนถึงกฎการต่ออายุและการรองรับ Merkle Tree Certificate เป็นการแถลงแผน ไม่ใช่คำอธิบายระบบที่ใช้งานอยู่จริง
สิ่งที่ทำให้ประกาศนี้น่าเชื่อถือไม่ใช่ความทะเยอทะยาน แต่เป็นงานเตรียมการที่มองเห็นได้แล้ว Cloudflare ได้ยื่นสมัครเข้าโครงการรูทของ Chrome, Apple, Microsoft และ Mozilla บริษัทระบุว่ากำลังดำเนินกระบวนการสมัครและอนุมัติกับโครงการกุญแจรูทหลักของเว็บแต่ละแห่ง และชี้ว่ากระบวนการเหล่านี้เกิดขึ้นอย่างเปิดเผย ในทางหลักการ ใครก็ติดตามได้ว่าการสมัครจะสำเร็จหรือไม่
ทำไม Cloudflare จึงอยู่ในฐานะที่จะตั้งคำถามนี้ #
เหตุผลของ Cloudflare ในการสร้าง CA เริ่มจากฐานะของบริษัทในฐานะลูกค้า บริษัทอยู่ด้านหน้าทราฟฟิกคำขออินเทอร์เน็ตทั่วโลกมากกว่าร้อยละ 20 บริษัททำ TLS termination ให้โดเมนหลายล้านโดเมนและพึ่งพาใบรับรองหลายล้านใบต่อปี บริษัทให้ชุดใบรับรองผ่าน Universal SSL แก่ลูกค้า และยังใช้ใบรับรองจาก CA หลายรายเพื่อขับเคลื่อนระบบและการดำเนินงานภายในของตัวเอง
เพื่อให้บริการของลูกค้าทำงานต่อเนื่อง Cloudflare จัดหาใบรับรองเหล่านั้นผ่าน CA หลายราย โดยมีเส้นทางหลักและเส้นทางสำรอง เพื่อให้บริการของลูกค้ายังทำงานได้ระหว่างที่ CA ขัดข้องหรือเกิดเหตุเพิกถอน เครือข่าย CA สาธารณะที่เป็นพันธมิตรซึ่งบริษัทพึ่งพามาหลายปีมีทั้งหมด 16 ราย
กลไกสำรองนี้ควรพิจารณาให้ละเอียด เพราะแสดงให้เห็นว่า Cloudflare คิดเรื่องความล้มเหลวอย่างไร ใบรับรอง Universal SSL ทุกใบมาพร้อมใบรับรองสำรองอยู่แล้ว ซึ่งใช้กุญแจแยกต่างหากและออกโดยผู้ออกใบรับรองอีกราย หากใบหลักถูกเพิกถอนหรือถูกเจาะ ใบสำรองก็พร้อมใช้งานโดยอัตโนมัติ นี่คือการป้องกันความเสี่ยงที่ CA รายใดรายหนึ่งจะผิดพลาด ซึ่งสร้างขึ้นจากฝั่งลูกค้าของความสัมพันธ์
การป้องกันนี้ก็มีเพดานเช่นกัน คุณกระจายความเสี่ยงได้เฉพาะในหมู่ CA ที่มีอยู่จริง และแหล่งข้อมูลโต้แย้งว่า CA ที่มีความสามารถนั้นมีน้อยกว่าที่เห็น
ปัญหาการกระจุกตัว #
ตัวเลขเบื้องหลังข้อโต้แย้งนี้น่าตกใจ Let's Encrypt ออกใบรับรองราวสิบล้านใบต่อวัน ให้บริการเว็บไซต์มากกว่า 500 ล้านแห่ง และมีใบรับรองที่ใช้งานอยู่เกินสี่พันล้านใบในปี 2025 ตัวเลขเหล่านี้มาจาก CA ฟรีเพียงรายเดียว และสะท้อนเว็บที่การเข้ารหัสพึ่งพาองค์กรเดียวอย่างหนัก
แหล่งข้อมูลสรุปสิ่งที่เห็นได้ชัด พร้อมข้อสงวนที่เหมาะสม: หากผู้ออกใบรับรองฟรีรายใหญ่เจอสัปดาห์ที่เลวร้าย เว็บส่วนใหญ่จะไม่มีทางเลือกแบบฟรีและอัตโนมัติที่เทียบเคียงได้พร้อมรับภาระแทน นี่เป็นข้อความเกี่ยวกับสถานการณ์สมมติ และ Cloudflare นำเสนอในฐานะนั้น บริษัทไม่ได้อ้างว่าสัปดาห์แบบนั้นเกิดขึ้นแล้ว หรือกำลังจะเกิด
ถึงอย่างนั้น ตรรกะก็เข้าใจง่าย CA ที่ฟรีและอัตโนมัติจะเป็นทางเลือกด้านความยืดหยุ่นได้ก็ต่อเมื่อมีอยู่ก่อนเกิดเหตุฉุกเฉิน ข้อเสนอของ Cloudflare คือบริษัทสามารถเป็นทางเลือกที่สองในระดับใหญ่ได้ ผมเห็นว่านี่คือเหตุผลเชิงธุรกิจและเทคนิคที่หนักแน่นที่สุดในประกาศนี้ และไม่ได้ขึ้นกับส่วนใดของแผนที่ยังเป็นการคาดการณ์ เว็บที่มี CA ฟรีรายใหญ่เพียงรายเดียวและแทบไม่มีอื่นใด คือเว็บที่มีจุดล้มเหลวจุดเดียว ไม่ว่าการดำเนินงานของ CA รายนั้นจะดีเพียงใด
| มิติ | CA ฟรีอัตโนมัติแบบเดิม (Let's Encrypt) | CA สาธารณะของ Cloudflare ที่เสนอ |
|---|---|---|
| กลยุทธ์จุดยึดความเชื่อถือ | ISRG Root X1 / X2 (รูทของตัวเองที่ก่อตั้งตั้งแต่ปี 2015) | รูท GlobalSign ที่ซื้อมา (เชื่อถือได้ตั้งแต่ปี 2012) + รูทใหม่ |
| โปรโตคอลการออกใบรับรอง | ACME มาตรฐาน (RFC 8555) | ACME ที่บังคับใช้ ARI (RFC 9773) |
| แนวทางการเพิกถอน | CRL / OCSP + การเปลี่ยนใบรับรองของผู้ใช้จำนวนมากในกรณีฉุกเฉิน | เลื่อนการต่ออายุให้เร็วขึ้นอย่างประสานกันผ่านเอนด์พอยต์ ARI |
| เส้นทางหลังควอนตัม | ลายมือชื่อ X.509 แบบไฮบริดอยู่ระหว่างการประเมิน | Merkle Tree Certificates (MTCs) โดยตรง ใช้ร่วมกับ X.509 แบบเดิม |
| ขนาดและภาระงานเริ่มต้น | ~10 ล้านใบต่อวัน บนเว็บไซต์ 500 ล้านแห่งขึ้นไป | การตรวจสอบแบบ Customer Zero บนทราฟฟิกเว็บโลกมากกว่า 20% |
ซื้อรูทแทนการรอ #
การตัดสินใจที่ใช้งานได้จริงที่สุดในประกาศเกี่ยวกับรูท Cloudflare ระบุว่าได้ลงนามข้อตกลงที่มีผลผูกพันเพื่อซื้อรูทที่ก่อตั้งมานานและได้รับความเชื่อถืออย่างกว้างขวางจาก GlobalSign แหล่งข้อมูลให้เหตุผลตรง ๆ ว่า รูทใหม่เอี่ยมจะยังใช้งานได้ไม่กว้างขวางไปอีกหลายปี ในทางตรงข้าม รูท GlobalSign ที่มีอยู่ได้รับความเชื่อถือในเบราว์เซอร์ ระบบปฏิบัติการ และอุปกรณ์ต่าง ๆ มาตั้งแต่ปี 2012
ความเชื่อถือในรูทเกิดขึ้นช้าเพราะติดตั้งอยู่ในอุปกรณ์ และอุปกรณ์อัปเดตช้า รูทใหม่อาจได้รับการยอมรับจากทุกโครงการ แต่ยังตรวจสอบไม่ผ่านบนโทรศัพท์รุ่นเก่าหรือระบบฝังตัว การซื้อรูทที่ใช้งานมาตั้งแต่ปี 2012 ช่วยเลี่ยงการรอนั้น อย่างน้อยก็ตามที่แหล่งข้อมูลนำเสนอ
Cloudflare ไม่ได้ทิ้งเส้นทางรูทใหม่ไปเสียทีเดียว บริษัทจะยื่นรูทใหม่เข้าโครงการกุญแจรูทด้วย ซึ่งบริษัทอธิบายว่าสร้างมาเพื่อทิศทางที่ระบบนิเวศกำลังมุ่งไป รวมถึงโครงการที่เริ่มจำกัดอายุสูงสุดของรูทที่เชื่อถือได้ รายละเอียดสุดท้ายนี้เตือนใจว่าอายุมีทั้งสองด้าน อายุของรูทที่เชื่อถือได้เป็นข้อได้เปรียบในการครอบคลุมอุปกรณ์ ขณะที่บางโครงการกำลังขยับไปสู่การจำกัดอายุของรูทที่เชื่อถือได้ การใช้ทั้งรูทที่ซื้อมาและการยื่นรูทใหม่ไปพร้อมกันดูเป็นการตอบสนองต่อแรงตึงนี้ แม้แหล่งข้อมูลจะไม่ได้อธิบายเหตุผลในถ้อยคำเหล่านี้
บริการที่ยึด ACME เป็นหลัก แต่มีเงื่อนไข #
เรื่องการนำไปใช้คือจุดที่ประกาศของ CA จำนวนมากมักคลุมเครือ Cloudflare ระบุชัดเจน CA สาธารณะของบริษัทจะยึด ACME เป็นหลัก หมายความว่าจะใช้โปรโตคอล Automated Certificate Management Environment ที่ระบบอัตโนมัติปัจจุบันใช้อยู่แล้ว คำกล่าวอ้างคือใครก็ตามที่ตั้งค่าชี้ไปที่ CA ฟรีรายเดิมอยู่แล้ว จะย้ายมาใช้ CA ของ Cloudflare ได้ด้วยการเปลี่ยน directory URL เพียงอย่างเดียว ไม่ต้องใช้เครื่องมือใหม่และไม่ต้องออกแบบอะไรใหม่ นี่คือแผน ไม่ใช่เส้นทางย้ายระบบที่ผ่านการทดสอบแล้ว และควรอ่านในฐานะนั้น แต่การเปลี่ยนการตั้งค่าเพียงบรรทัดเดียวคือเป้าหมายที่ถูกต้อง เพราะต้นทุนการย้ายคือสิ่งที่ทำให้ผู้คนยึดติดกับค่าเริ่มต้น
ข้อแม้อยู่ที่เงื่อนไขที่ผู้ใช้ ACME ส่วนใหญ่ไม่เคยต้องปฏิบัติตาม Cloudflare จะออกใบรับรองให้เฉพาะไคลเอนต์ที่รองรับ ACME Renewal Information หรือ ARI ซึ่งเป็นมาตรฐานใน RFC 9773 ผู้ใช้บริการต้องดูแลระบบอัตโนมัติที่คอยสอบถามเอนด์พอยต์การต่ออายุของ Cloudflare ปฏิบัติตามช่วงเวลาการต่ออายุที่ Cloudflare เผยแพร่ และระบุใบรับรองที่กำลังจะถูกแทนที่
นี่เป็นจุดยืนที่หนักแน่น และผมคิดว่าถูกต้อง แต่ก็ทำให้เกิดคำถามที่สมเหตุสมผลเรื่องการนำไปใช้: CA ที่ให้บริการเฉพาะไคลเอนต์ที่รองรับ ARI ย่อมมีขอบเขตแคบกว่า CA ที่ให้บริการทุกคนที่มีไลบรารี ACME แหล่งข้อมูลไม่ได้บอกว่าวันนี้เงื่อนไขนี้กันไคลเอนต์ออกไปกี่ราย ผมจึงจะไม่เดา สิ่งที่แหล่งข้อมูลบอกคือเหตุผลที่ Cloudflare ต้องการข้อจำกัดนี้
เพิกถอนโดยไม่ทำให้เว็บไซต์ล่ม #
Cloudflare ระบุว่าได้สังเกตเห็นหลายสิ่งตลอด 16 ปีที่ผ่านมา และข้อสังเกตหนึ่งเป็นตัวขับเคลื่อนการออกแบบนี้ บริษัทเคยเห็นผู้ออกใบรับรองติดอยู่ระหว่างการเพิกถอนให้ทันเวลา กับการรักษาให้เว็บไซต์ของผู้ใช้บริการออนไลน์ต่อไป
แรงตึงนี้มีอยู่จริงสำหรับ CA ทุกราย การเพิกถอนใบรับรองอย่างรวดเร็วช่วยปกป้องสาธารณะ แต่อาจทำให้ทุกเว็บไซต์ที่พึ่งพาใบรับรองนั้นล่ม หากผู้ใช้บริการเปลี่ยนใบรับรองได้ไม่ทัน CA ที่ติดอยู่ตรงกลางจะต้องเลือกระหว่างเพิกถอนช้า หรือทำให้ลูกค้าเสียหาย
ARI คือคำตอบของ Cloudflare เมื่อต้องปลดใบรับรองออก Cloudflare ระบุว่าสามารถเลื่อนช่วงเวลาการต่ออายุของใบรับรองที่ได้รับผลกระทบให้เร็วขึ้นได้ เนื่องจากผู้ใช้บริการต้องสอบถามเอนด์พอยต์การต่ออายุและปฏิบัติตามช่วงเวลาที่เผยแพร่ CA จึงชี้นำให้เปลี่ยนใบรับรองได้ก่อนที่การเพิกถอนจริงจะมาถึง กลไกนี้ถูกอธิบายว่าเป็นความสามารถที่ Cloudflare ตั้งใจจะมี ไม่ใช่สิ่งที่บริษัทได้แสดงให้เห็นแล้วในฐานะ CA ถึงกระนั้นตรรกะก็สอดคล้อง: เงื่อนไขเรื่องการสอบถามมีอยู่เพื่อให้คันโยกนี้ใช้ได้ผล
แนวคิดเดียวกันปรากฏในเป้าหมายการออกแบบที่กว้างกว่า Cloudflare ตั้งใจสร้างผู้ออกใบรับรองที่ความน่าเชื่อถือไม่ได้ขึ้นอยู่กับการหลีกเลี่ยงความผิดพลาดเพียงอย่างเดียว แต่เช่นเดียวกับผลิตภัณฑ์อื่น ๆ ของ Cloudflare คือขึ้นอยู่กับการล้มเหลวในวงแคบและการจำกัดผลกระทบของปัญหาใดปัญหาหนึ่ง การหลีกเลี่ยงความผิดพลาดเป็นสิ่งจำเป็นสำหรับ CA และไม่มี CA รายใดสัญญาได้อย่างสมบูรณ์ การออกแบบให้ความผิดพลาดถูกจำกัดวงคือจุดยืนทางวิศวกรรมที่ซื่อตรงกว่า
ความโปร่งใสที่มากกว่าการตรวจสอบ #
CA สาธารณะมักถูกตัดสินจากการตรวจสอบ แหล่งข้อมูลพูดตรง ๆ ถึงข้อจำกัดของการตรวจสอบ: การตรวจสอบเป็นภาพ ณ จุดเวลาหนึ่ง และบอกเพียงว่า CA ผ่าน ไม่ได้บอกว่าหลังจากนั้น CA ทำอะไรอยู่ในวันอังคารธรรมดาสักวัน
คำตอบของ Cloudflare คือจะเผยแพร่ reproducible builds ของซอฟต์แวร์ที่ลงนามใบรับรอง สิ่งนี้ถูกวางไว้เป็นคำมั่น ไม่ใช่ผลงานที่เสร็จแล้ว Reproducible builds ทำให้คนภายนอกตรวจสอบได้ว่าไบนารีที่ทำงานอยู่ในเส้นทางการลงนามตรงกับซอร์สที่เผยแพร่ ซึ่งเป็นคุณสมบัติต่อเนื่องในแบบที่รายงานการตรวจสอบไม่ได้เป็น จะเพียงพอหรือไม่ขึ้นอยู่กับว่า Cloudflare เผยแพร่อะไรจริง และมีคนอื่นตรวจสอบหรือไม่
ครึ่งหลังของประกาศ: Merkle Tree Certificates #
เนื้อหาเรื่องหลังควอนตัมคือส่วนที่ประกาศมองไปไกลที่สุด Cloudflare ประกาศแผนที่จะเป็นหนึ่งใน CA กลุ่มแรกที่ให้บริการใบรับรองหลังควอนตัม และวางแผนจะออก Merkle Tree Certificates ชุดแรกในไตรมาสแรกของปี 2027 อีกตอนหนึ่งของแหล่งข้อมูลระบุว่าคาดว่า MTCs ชุดแรกจะมาในช่วงต้นปี 2027 ทั้งสองอย่างเป็นแผน
แหล่งข้อมูลอธิบาย MTCs ว่าเป็นวิธีใหม่และกะทัดรัดกว่ามากในการส่งมอบใบรับรองที่ได้รับความเชื่อถือสาธารณะ ถ้อยคำนี้เป็นคำบรรยาย และแหล่งข้อมูลไม่ได้ให้ตัวเลขการวัดในตอนที่ผมใช้อ้างอิง ผมจึงบอกไม่ได้ว่ากะทัดรัดกว่าเท่าใด Cloudflare ระบุว่าได้ผลักดันข้อเสนอที่อิงมาตรฐานสำหรับ MTCs ใน IETF บริษัทยังรายงานว่า Chrome ระบุให้ MTCs เป็นเส้นทางที่ต้องการสำหรับการยืนยันตัวตนหลังควอนตัมเมื่อต้นปีนี้ นั่นเป็นเหตุการณ์ที่เกิดขึ้นจริง และมีความสำคัญ เพราะความชอบที่ผู้ผลิตเบราว์เซอร์ประกาศคือสิ่งที่เปลี่ยนข้อเสนอให้เป็นสิ่งที่ CA วางแผนรองรับได้
Cloudflare ไม่ได้คาดว่าการเปลี่ยนผ่านจะเกิดขึ้นทันที บริษัทคาดว่าอินเทอร์เน็ตส่วนใหญ่จะยังพึ่งพาใบรับรองแบบดั้งเดิมและ WebPKI ปัจจุบันไปอีกหลายปี ตลอดช่วงนั้น บริษัทคาดว่าสัดส่วนของ MTCs ในการออกใบรับรองจะเพิ่มขึ้นอย่างต่อเนื่อง สิ่งเหล่านี้เป็นการคาดการณ์ และแหล่งข้อมูลก็ระบุไว้เช่นนั้น
CA เดียว วงจรชีวิตเดียว #
ทางเลือกเชิงสถาปัตยกรรมที่ตามมาคือสิ่งที่ผมเห็นว่าน่าเชื่อถือที่สุด CA ใหม่ถูกออกแบบให้รองรับใบรับรองแบบดั้งเดิมและ Merkle Tree Certificates ภายใต้ CA เดียว ด้วยวงจรชีวิตเดียวและชุดการรับประกันชุดเดียว ลูกค้าจึงนำไปใช้ได้ตามจังหวะที่เหมาะกับตน และช่วยให้เว็บข้ามผ่านได้โดยไม่ต้องตัดเปลี่ยนแบบหักดิบ
ทางเลือกอื่นคือ CA สองรายที่ทำงานคู่ขนาน ขั้นตอนสองชุด และการบังคับย้ายระบบในจุดใดจุดหนึ่ง การตัดเปลี่ยนแบบหักดิบเป็นวิธีที่เสี่ยงที่สุดในการเปลี่ยนระบบนิเวศของใบรับรอง และเป้าหมายที่แหล่งข้อมูลระบุคือหลีกเลี่ยงสิ่งนั้น ถ้อยคำมีความระมัดระวัง และสมควรแล้ว: นี่คือเจตนาการออกแบบของ CA ที่ยังไม่ได้ออกใบรับรอง
สิ่งนี้ยังสอดคล้องกับภาพของแรงจูงใจ Cloudflare ระบุว่าคาดว่าจำนวนใบรับรองที่บริษัทพึ่งพาในแต่ละปีจะเพิ่มขึ้นต่อไป เมื่ออายุการใช้งานสูงสุดลดลง กิจกรรมของเอเจนต์เพิ่มขึ้น และใบรับรองหลังควอนตัมกลายเป็นกระแสหลัก ใบรับรองที่มากขึ้นและออกบ่อยขึ้น เป็นเหตุผลสนับสนุนระบบอัตโนมัติ และ CA ที่ถือว่าการต่ออายุเป็นงานหลัก ระบบที่สร้างรอบ ARI และวงจรชีวิตเดียวเป็นการตอบสนองที่สมเหตุสมผลต่อความคาดหวังนั้น แม้ความคาดหวังเองจะเป็นการพยากรณ์ ไม่ใช่การวัด
Customer Zero #
จะทดสอบ CA อย่างไรก่อนที่สาธารณะจะพึ่งพา คำตอบของ Cloudflare คือเป็นลูกค้ารายแรกของตัวเอง บริษัทจะเป็น Customer Zero ของ CA ใหม่และใบรับรองของ CA นี้ ทั้ง WebPKI และ MTC จุดประสงค์ที่ระบุคือเพื่อให้มั่นใจว่าทุกแง่มุมของระบบและกระบวนการใหม่ได้มาตรฐานภายในระดับสูงของ Cloudflare และโครงสร้างพื้นฐานของ CA ได้รับการทดสอบในระดับของ Cloudflare
เมื่อพิจารณาตัวเลขก่อนหน้า นี่เป็นภาระภายในที่หนัก: ใบรับรองหลายล้านใบต่อปี ในบริษัทที่อยู่ด้านหน้าทราฟฟิกคำขอทั่วโลกมากกว่าร้อยละ 20 คำกล่าวอ้างเหล่านี้บอกเราไม่ได้ว่าปีแรก ๆ ของการดำเนินงานจะราบรื่นหรือไม่ สิ่งที่บอกได้คือลำดับการทำงานที่สมเหตุสมผล บริษัทเริ่มจากการเป็นผู้ใช้รายใหญ่ของสิ่งที่ตนกำลังสร้าง โดยมีประวัติการจัดหาใบรับรองจากหลาย CA เส้นทางสำรอง และ CA พันธมิตร 16 รายอยู่เบื้องหลัง
ควรพูดให้ชัดว่าอะไรยังขาดอยู่ แหล่งข้อมูลไม่ได้รายงานปริมาณการออกใบรับรอง อัตราความผิดพลาด ความหน่วงในการตรวจสอบ หรือประวัติเหตุขัดข้องของ CA ของ Cloudflare เอง เพราะยังไม่มีประวัติเช่นนั้น ประกาศนี้เป็นการแถลงเจตนาที่มีการยื่นสมัคร ข้อตกลงซื้อกิจการ และการออกแบบรองรับ ไม่ใช่ผลงานที่พิสูจน์แล้ว
สิ่งที่ต้องจับตา #
มีสามเรื่องที่จะตัดสินว่านี่เป็นส่วนเสริมที่มีความหมายต่อ WebPKI หรือเป็นเพียงประกาศที่น่าสนใจ
เรื่องแรกคือโครงการรูท Cloudflare ยื่นสมัครกับ Chrome, Apple, Microsoft และ Mozilla แล้ว และกระบวนการเกิดขึ้นอย่างเปิดเผย การติดตามโครงการเหล่านี้คือวิธีที่ตรงที่สุดในการดูว่าแผนไปถึงไหนแล้ว และผลลัพธ์ไม่ใช่สิ่งที่คำกล่าวอ้างใดทำให้ผมคาดการณ์ได้
เรื่องที่สองคือเงื่อนไข ARI CA ที่ยืนกรานให้รองรับ RFC 9773 กำลังเดิมพันว่าระบบต่ออายุอัตโนมัติสามารถผลักดันไปทั่วฐานผู้ใช้บริการได้ หากเดิมพันถูก Cloudflare จะสามารถเลื่อนช่วงเวลาต่ออายุให้เร็วขึ้นเมื่อต้องปลดใบรับรอง ซึ่งเป็นคำตอบที่ระบุไว้ต่อทางสองแพร่งเรื่องการเพิกถอนที่บริษัทเคยเห็น หากผิด การนำไปใช้จะช้ากว่าที่เรื่องเล่าการย้ายด้วยบรรทัดเดียวบอกไว้
เรื่องที่สามคือไตรมาสแรกของปี 2027 ซึ่งเป็นช่วงที่ Cloudflare วางแผนออก Merkle Tree Certificates ชุดแรก คำถามที่ยังเปิดอยู่คือสัดส่วนที่บริษัทคาดว่าจะเพิ่มขึ้นอย่างต่อเนื่องนั้นจะโตเร็วเพียงใดในความเป็นจริง เมื่อบริษัทเองมองว่าอินเทอร์เน็ตส่วนใหญ่จะยังใช้ใบรับรองแบบดั้งเดิมไปอีกหลายปี บริษัทกล่าวว่าการข้ามผ่านนี้ไม่ควรต้องตัดเปลี่ยนแบบหักดิบ ไตรมาสแรกของปี 2027 จะเป็นโอกาสแรกที่จะได้เห็นว่า CA เดียวที่รองรับใบรับรองทั้งสองแบบทำให้เป็นจริงได้หรือไม่
ความหมายต่อแต่ละภาคส่วน #
การเกิดขึ้นของผู้ออกใบรับรองสาธารณะแบบอัตโนมัติที่มีปริมาณสูงจากผู้ให้บริการโครงสร้างพื้นฐานระดับ edge เปลี่ยนความเสี่ยงในการดำเนินงานและการวางแผน PKI ในหลายสาขาทางเทคนิค
โครงสร้างพื้นฐานคลาวด์และเครือข่าย edge #
การให้บริการ CA สาธารณะในระดับ edge ลดการพึ่งพา API ตรวจสอบและ CRL ของบุคคลที่สาม เมื่อผนวก edge termination แบบ reverse-proxy เข้ากับการต่ออายุ ACME ARI อัตโนมัติ ผู้ให้บริการโครงสร้างพื้นฐานจะปกป้องลูกค้าจากการขัดข้องของผู้ออกใบรับรองต้นทางได้
ทีม PKI ขององค์กรและ DevOps #
องค์กรที่พึ่งพา Let's Encrypt สำหรับเอนด์พอยต์สาธารณะจะได้ทางเลือกอัตโนมัติที่น่าเชื่อถือ อย่างไรก็ตาม การบังคับใช้ RFC 9773 (ARI) หมายความว่าทีมต้องตรวจสอบไคลเอนต์ ACME ของตน (Certbot, Lego, Caddy, Traefik) ให้แน่ใจว่าเปิดใช้การรองรับ ARI แล้ว ก่อนเปลี่ยน directory endpoint
ผู้ผลิตเบราว์เซอร์และการกำกับดูแลรูท #
โครงการรูท (Chrome, Mozilla, Apple, Microsoft) ต้องเผชิญระบบนิเวศของ CA อัตโนมัติปริมาณสูงที่ขยายตัว แนวทางรูทสองทาง (ซื้อรูทเดิมจากปี 2012 พร้อมกับยื่นรูทสมัยใหม่) ช่วยนำทางผ่านนโยบายเบราว์เซอร์ที่จำกัดอายุของใบรับรองรูทเข้มงวดขึ้นเรื่อย ๆ ขณะที่ยังรักษาความเข้ากันได้ย้อนหลังสำหรับอุปกรณ์รุ่นเก่า
บทสรุป #
การก้าวสู่การเป็นผู้ออกใบรับรองสาธารณะของ Cloudflare จัดการกับจุดอ่อนเชิงโครงสร้างที่มีอยู่จริงใน WebPKI ยุคปัจจุบัน: การกระจุกตัวอย่างสุดขั้วของการออกใบรับรองแบบฟรีและอัตโนมัติ ด้วยการผสานรูท GlobalSign ที่ก่อตั้งมานาน ระบบต่ออายุ ARI ที่เข้มงวด และสะพานไปสู่ Merkle Tree Certificates หลังควอนตัม การออกแบบนี้มุ่งที่ความยืดหยุ่นในการดำเนินงาน ไม่ใช่แค่การจัดหาใบรับรอง ความสำเร็จจะขึ้นอยู่กับการอนุมัติของโครงการรูท และความเร็วที่เครื่องมือฝั่งไคลเอนต์รับมาตรฐาน ARI ก่อนการเปิดตัวในปี 2027
คำถามที่พบบ่อย #
ตอนนี้ผมเปลี่ยนไคลเอนต์ ACME ไปใช้ CA ของ Cloudflare ได้เลยหรือไม่
ยังไม่ได้ Cloudflare ได้ประกาศความตั้งใจ ลงนามข้อตกลงซื้อรูท และยื่นใบสมัครต่อโครงการรูทหลักแล้ว การออกใบรับรองสาธารณะมีกำหนดเริ่มหลังจากได้รับอนุมัติจากโครงการรูท
ACME Renewal Information (ARI) คืออะไร และสำคัญอย่างไร
ARI (RFC 9773) เป็นส่วนขยายของโปรโตคอล ACME ที่ให้ผู้ออกใบรับรองแจ้งผู้ใช้บริการได้ว่าควรต่ออายุใบรับรองเมื่อใด ทำให้ CA ประสานการต่ออายุล่วงหน้าได้อย่างราบรื่นก่อนการเพิกถอนตามแผน และป้องกันไม่ให้เว็บไซต์ล่ม
Merkle Tree Certificates (MTCs) ต่างจากใบรับรอง X.509 มาตรฐานอย่างไร
MTCs ใช้หลักฐานการรวมอยู่ใน Merkle tree ที่ยึดโยงกับบันทึกที่ตรวจสอบได้โดยสาธารณะ แทนลายมือชื่อเข้ารหัสแยกรายใบแบบเดิม ซึ่งช่วยลดขนาดใบรับรองและภาระการส่งข้อมูลได้มาก ทำให้เป็นตัวเลือกที่ได้รับความนิยมสำหรับการยืนยันตัวตน TLS หลังควอนตัม
เอกสารอ้างอิง #
- Cloudflare, (2026). การสร้างผู้ออกใบรับรองสำหรับอินเทอร์เน็ตทั้งหมด ⧉. Cloudflare Blog.
- IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
- IETF, (2025). Merkle Tree Certificates สำหรับ TLS ⧉. IETF.
- Chrome Root Program, (2026). นโยบายและข้อพิจารณาเกี่ยวกับการยืนยันตัวตนหลังควอนตัม ⧉. Chromium Projects.
ทบทวนล่าสุด .
ทบทวนล่าสุด .
เผยแพร่บทความนี้ซ้ำ
คัดลอกรูปแบบสำหรับ Medium
# Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/](https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/) Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/
คัดลอกรูปแบบสำหรับ Mastodon
Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/
คัดลอกที่จัดรูปแบบสำหรับ LinkedIn
Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว. นี่คือประเด็นเชิงกลยุทธ์ที่สำคัญ: - ผู้ใช้ใบรับรองกลายเป็นผู้ออกใบรับรอง. บริษัทโครงสร้างพื้นฐานส่วนใหญ่อยู่ฝั่งเดียวของความสัมพันธ์เรื่องใบรับรอง พวกเขาขอใบรับรอง ติดตั้ง และบ่นเมื่อ CA เกิดเหตุขัดข้อง Cloudflare อยู่ฝั่งผู้ใช้มาโดยตลอด ตามที่บริษัทระบุเอง… - ทำไม Cloudflare จึงอยู่ในฐานะที่จะตั้งคำถามนี้. เหตุผลของ Cloudflare ในการสร้าง CA เริ่มจากฐานะของบริษัทในฐานะลูกค้า บริษัทอยู่ด้านหน้าทราฟฟิกคำขออินเทอร์เน็ตทั่วโลกมากกว่าร้อยละ 20 บริษัททำ TLS termination ให้โดเมนหลายล้านโดเมนและพึ่งพาใบรับรองหลายล้านใบต่อปี… - ปัญหาการกระจุกตัว. ตัวเลขเบื้องหลังข้อโต้แย้งนี้น่าตกใจ Let's Encrypt ออกใบรับรองราวสิบล้านใบต่อวัน ให้บริการเว็บไซต์มากกว่า 500 ล้านแห่ง และมีใบรับรองที่ใช้งานอยู่เกินสี่พันล้านใบในปี 2025 ตัวเลขเหล่านี้มาจาก CA ฟรีเพียงรายเดียว… - ซื้อรูทแทนการรอ. การตัดสินใจที่ใช้งานได้จริงที่สุดในประกาศเกี่ยวกับรูท Cloudflare ระบุว่าได้ลงนามข้อตกลงที่มีผลผูกพันเพื่อซื้อรูทที่ก่อตั้งมานานและได้รับความเชื่อถืออย่างกว้างขวางจาก GlobalSign แหล่งข้อมูลให้เหตุผลตรง ๆ ว่า… แนวทางขององค์กรของคุณในการรับมือกับความท้าทายที่ระบุไว้ในบทความนี้คืออะไร? → https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/ #Cloudflare #ผู้ออกใบรับรอง #Caสาธารณะ #Let'sEncrypt #Globalsign Sebastien Rousseau | CC-BY-4.0
อ้างอิงบทความนี้
Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau
Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว
BibTeX
@online{rousseau2026cloudflare,
author = {Rousseau, Sebastien},
title = {{Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/ ER -
Vancouver
Rousseau S. Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/
Chicago
Rousseau, Sebastien. "Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/.
APA
Rousseau, S. (2026, September 20). Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/
เผยแพร่บทความนี้ซ้ำ
Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau
Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว
บทความนี้เผยแพร่ภายใต้สัญญาอนุญาต Creative Commons Attribution 4.0 International. การเผยแพร่ซ้ำต้องระบุที่มาเป็น URL ต้นฉบับ
Cloudflare อยากออกใบรับรองเอง แผนนี้อิงปัญหา CA ฟรีที่กระจุกตัว — Sebastien Rousseau Cloudflare ตั้งใจเป็นผู้ออกใบรับรองสาธารณะ ด้วยรูทจาก GlobalSign การต่ออายุแบบ ARI ที่บังคับใช้ และ Merkle Tree Certificates เพื่อลดการพึ่งพา CA ฟรีรายเดียว Originally published at https://sebastienrousseau.com/th/2026-09-20-cloudflare-yak-ok-bairaprong-eng-phaen/ by Sebastien Rousseau. Licensed under CC-BY-4.0.