Cloudflare fẹ́ di CA: ewu gbígbẹ́kẹ̀lé CA ọ̀fẹ́ kan ṣoṣo

Fún ọ̀pọ̀ ọdún ni Cloudflare ti gbẹ́kẹ̀lé CA gbogbogbò 16 tí ó ń bá ṣiṣẹ́ láìjẹ́ pé ó fúnra rẹ̀ ti gbé ìwé-ẹ̀rí kan tí gbogbo ènìyàn gbẹ́kẹ̀lé jáde rí. Ó ti pinnu báyìí láti di ọ̀kan, àti pé ohun tó dùn mọ́ni ni ètò rẹ̀: àwọn ìwé-ẹ̀rí àtijọ́ àti Merkle Tree Certificates lábẹ́ CA kan, pẹ̀lú ìdènà ìbàjẹ́ láti ìbẹ̀rẹ̀.

Olùlò ìwé-ẹ̀rí di olùgbé ìwé-ẹ̀rí jáde #

Ọ̀pọ̀ ilé-iṣẹ́ amáyédẹrùn máa ń dúró sí ẹ̀gbẹ́ kan nínú ìbáṣepọ̀ ìwé-ẹ̀rí. Wọ́n ń béèrè fún ìwé-ẹ̀rí, wọ́n ń fi wọ́n sí ipò, wọ́n sì ń ráhùn nígbà tí CA kan bá ní ìṣẹ̀lẹ̀. Cloudflare ti wà ní ẹ̀gbẹ́ olùlò dáadáa. Gẹ́gẹ́ bí àlàyé tirẹ̀, kò tíì gbé ìwé-ẹ̀rí kan ṣoṣo tí gbogbo ènìyàn gbẹ́kẹ̀lé jáde rí.

Ìyẹn fẹ́ yí padà, tàbí ó kéré tán Cloudflare sọ pé ó ní èrò bẹ́ẹ̀. Ilé-iṣẹ́ náà ń kéde èrò rẹ̀ láti di aláṣẹ ìwé-ẹ̀rí gbogbogbò. Ìkéde náà ṣọ́ra nípa ibi tí nǹkan wà lónìí, bẹ́ẹ̀ ló sì yẹ kí àpilẹ̀kọ yìí ṣe. Cloudflare kò tíì máa gbé ìwé-ẹ̀rí jáde. Gbogbo ohun tó jẹ mọ́ ìhùwàsí iṣẹ́ náà, láti ọ̀nà ACME rẹ̀ dé àwọn òfin àtúnṣe àti àtìlẹ́yìn rẹ̀ fún Merkle Tree Certificates, jẹ́ gbólóhùn ètò, kì í ṣe àpèjúwe ètò kan tó ń ṣiṣẹ́.

Ohun tó mú kí ìkéde náà ṣeé gbàgbọ́ kì í ṣe ìfẹ́-ọkàn, bí kò ṣe ìpìlẹ̀ tí a ti lè rí. Cloudflare ti béèrè fún ìfisí nínú àwọn ètò root ti Chrome, Apple, Microsoft àti Mozilla. Ó sọ pé òun ń la ìlànà ìbéèrè àti ìfọwọ́sí kọjá pẹ̀lú ọ̀kọ̀ọ̀kan nínú àwọn ètò kọ́kọ́rọ́ root pàtàkì ti ayélujára, ó sì ṣàkíyèsí pé àwọn ìlànà wọ̀nyí ń wáyé ní gbangba. Ẹnikẹ́ni, ní ìlànà, lè máa wò bóyá ìbéèrè náà yóò yọrí sí rere.

Ìdí tí Cloudflare fi wà ní ipò láti béèrè ìbéèrè yìí #

Àríyànjiyàn Cloudflare fún kíkọ́ CA bẹ̀rẹ̀ láti ipò rẹ̀ gẹ́gẹ́ bí oníbàárà. Ó dúró níwájú ohun tó ju ìdá 20 nínú ọgọ́rùn-ún ìrìnnà ìbéèrè Íńtánẹ́ẹ̀tì àgbáyé. Ó ń parí TLS fún mílíọ̀nù àwọn àgbègbè, ó sì ń gbẹ́kẹ̀lé mílíọ̀nù ìwé-ẹ̀rí lọ́dọọdún. Ó ń pèsè àwọn àpò ìwé-ẹ̀rí nípasẹ̀ Universal SSL fún àwọn oníbàárà rẹ̀, ó sì tún ń lo ìwé-ẹ̀rí láti ọ̀dọ̀ ọ̀pọ̀lọpọ̀ CA láti ṣiṣẹ́ àwọn ètò àti iṣẹ́ inú rẹ̀.

Kí iṣẹ́ àwọn oníbàárà lè máa bá a lọ, Cloudflare ń gba àwọn ìwé-ẹ̀rí wọ̀nyẹn nípasẹ̀ ọ̀pọ̀ CA, pẹ̀lú ọ̀nà àkọ́kọ́ àti ọ̀nà ìpamọ́ kí iṣẹ́ àwọn oníbàárà lè dúró láìka ìdádúró CA àti ìfagilé ìwé-ẹ̀rí sí. Nẹ́tíwọ́ọ̀kì àwọn CA gbogbogbò alábàáṣiṣẹ́ tí ó ti gbẹ́kẹ̀lé fún ọ̀pọ̀ ọdún jẹ́ 16.

Ètò ìpamọ́ náà yẹ fún àyẹ̀wò tímọ́tímọ́ nítorí ó fi bí Cloudflare ṣe ń ronú nípa ìkùnà hàn. Gbogbo ìwé-ẹ̀rí Universal SSL ti ní ìwé-ẹ̀rí ìpamọ́ pẹ̀lú rẹ̀, tí a fi kọ́kọ́rọ́ mìíràn dì, tí aláṣẹ mìíràn sì gbé jáde. Bí a bá fagilé tàbí bí ẹnìkan bá ba ti àkọ́kọ́ jẹ́, ti ìpamọ́ ti ṣetán láti lò láìfọwọ́kàn. Ìyẹn jẹ́ ààbò lòdì sí àṣìṣe CA kan ṣoṣo, tí a kọ́ láti ẹ̀gbẹ́ oníbàárà nínú ìbáṣepọ̀ náà.

Ààbò yìí tún ní òpin. O lè pín ewu káàkiri àwọn CA tí ó wà nìkan, orísun náà sì jiyàn pé iye àwọn tí ó ní agbára kéré ju bí ó ti ń hàn lọ.

Ìṣòro ìkójọpọ̀ #

Àwọn nọ́mbà tó wà lẹ́yìn àríyànjiyàn yẹn yani lẹ́nu. Let's Encrypt ń gbé ìwé-ẹ̀rí tó tó mílíọ̀nù mẹ́wàá jáde lójoojúmọ́. Ó ń ṣiṣẹ́ fún ohun tó ju ojú-òpó 500 mílíọ̀nù lọ, ó sì kọjá bílíọ̀nù mẹ́rin ìwé-ẹ̀rí tó ń ṣiṣẹ́ ní 2025. Àwọn nọ́mbà fún CA ọ̀fẹ́ kan ṣoṣo nìyẹn, wọ́n sì ṣàpèjúwe ayélujára kan tí ìfi-àṣírí-pamọ́ rẹ̀ gbára lé àjọ kan ṣoṣo púpọ̀.

Orísun náà fa ìparí èrò tó hàn gbangba, pẹ̀lú ìṣọ́ra tó yẹ: bí aláṣẹ ìwé-ẹ̀rí ọ̀fẹ́ tó gbajúmọ̀ jùlọ bá ní ọ̀sẹ̀ burúkú, apá ńlá nínú ayélujára kò ní ní ọ̀nà mìíràn tó jọ ọ́ tí ó jẹ́ ọ̀fẹ́ àti aládàáṣiṣẹ́ tó ṣetán láti gbé ẹrù náà. Gbólóhùn nípa ohun àròsọ ni èyí, Cloudflare sì gbé e kalẹ̀ bẹ́ẹ̀. Kò sọ pé irú ọ̀sẹ̀ bẹ́ẹ̀ ti ṣẹlẹ̀, tàbí pé ọ̀kan ń bọ̀.

Síbẹ̀, èrò náà rọrùn láti tẹ̀lé. CA ọ̀fẹ́ aládàáṣiṣẹ́ jẹ́ àṣàyàn ìfaradà nìkan bí ó bá ti wà kí pàjáwìrì tó dé. Ohun tí Cloudflare ń gbé kalẹ̀ ni pé òun lè pèsè ìkejì ní ìwọ̀n ńlá. Mo rò pé ìyẹn ni ìdí ìṣòwò àti ìmọ̀ ẹ̀rọ tó lágbára jùlọ nínú ìkéde náà, kò sì gbára lé èyíkéyìí nínú àwọn apá ètò náà tó jẹ́ àròsọ jù. Ayélujára tí ó ní CA ọ̀fẹ́ kan ṣoṣo tó gbajúmọ̀ àti díẹ̀ mìíràn jẹ́ ayélujára tí ó ní ibi kan ṣoṣo tí ìkùnà ti lè wá, bó ti wù kí iṣẹ́ CA yẹn dára tó.

Ìwọ̀n	CA ọ̀fẹ́ aládàáṣiṣẹ́ àtijọ́ (Let's Encrypt)	CA gbogbogbò tí Cloudflare dábàá
Ètò ìdákọ̀ró ìgbẹ́kẹ̀lé	ISRG Root X1 / X2 (root inú ilé tí a dá sílẹ̀ láti 2015)	Root GlobalSign tí a rà (tí a gbẹ́kẹ̀lé láti 2012) + root tuntun
Ìlànà ìgbéjáde	ACME bó ṣe wà (RFC 8555)	ACME pẹ̀lú ìmúṣẹ ARI tí ó jẹ́ dandan (RFC 9773)
Ọ̀nà ìfagilé	CRL / OCSP + ìrọ́pò pàjáwìrì fún ọ̀pọ̀ olùsanwó	Mímú àtúnṣe ṣáájú ní ìṣọ̀kan nípasẹ̀ àwọn endpoint ARI
Ọ̀nà lẹ́yìn kúáńtọ̀mù	Ìbuwọ́lù X.509 àdàpọ̀ ṣì wà lábẹ́ àyẹ̀wò	Merkle Tree Certificates (MTC) abínibí pẹ̀lú X.509 àtijọ́
Ìwọ̀n àti ẹrù iṣẹ́ àkọ́kọ́	~ìwé-ẹ̀rí 10M lójúmọ́ káàkiri ojú-òpó 500M+	Ìfìdímúlẹ̀ gẹ́gẹ́ bí Customer Zero lórí 20%+ ìrìnnà ayélujára àgbáyé

Rírà root dípò dídúró de tuntun #

Ìpinnu tó wúlò jùlọ nínú ìkéde náà jẹ mọ́ root. Cloudflare sọ pé òun ti fọwọ́ sí àdéhùn ìkẹyìn láti ra root kan tí a ti fìdí rẹ̀ múlẹ̀ tí a sì gbẹ́kẹ̀lé káàkiri lọ́wọ́ GlobalSign. Orísun náà sọ ìdí rẹ̀ tààrà: root tuntun kò wúlò káàkiri fún ọ̀pọ̀ ọdún. Ní òdì kejì, root GlobalSign tó wà tẹ́lẹ̀ ti ní ìgbẹ́kẹ̀lé ní àwọn aṣàwákiri, ẹ̀rọ ìṣiṣẹ́ àti àwọn ẹ̀rọ láti 2012.

Ìgbẹ́kẹ̀lé root máa ń lọ́ra nítorí a fi sínú àwọn ẹ̀rọ, àwọn ẹ̀rọ sì máa ń ṣe àfikún-ìmúdójúìwọ̀n lọ́ra. Gbogbo ètò lè gba root tuntun kan síbẹ̀ kí ó kùnà láti fìdí múlẹ̀ lórí fóònù àtijọ́ tàbí ẹ̀rọ tí a kọ́ sínú nǹkan. Rírà root tí ó ti wà lẹ́nu iṣẹ́ láti 2012 yẹra fún ìdúró yẹn, ó kéré tán ní ọ̀nà tí orísun náà gbà ṣàlàyé rẹ̀.

Cloudflare kò pa ọ̀nà root tuntun tì pátápátá. Ó tún máa fi root tuntun sílẹ̀ fún ìfisí nínú àwọn ètò kọ́kọ́rọ́ root, èyí tí ó ṣàpèjúwe gẹ́gẹ́ bí èyí tí a kọ́ fún ibi tí ètò àyíká náà ń lọ, pẹ̀lú àwọn ètò tí ó ti bẹ̀rẹ̀ sí í fi òpin sí bí root tí a gbẹ́kẹ̀lé ṣe lè pẹ́ tó. Kúlẹ̀kúlẹ̀ ìkẹyìn yẹn jẹ́ ìránnilétí tó wúlò pé ọjọ́ orí ní ojú méjì. Ọjọ́ orí root tí a gbẹ́kẹ̀lé jẹ́ ohun-ìní fún dídé ọ̀pọ̀ ẹ̀rọ, àwọn ètò kan sì ń sún mọ́ òpin lórí bí root tí a gbẹ́kẹ̀lé ṣe lè pẹ́ tó. Ṣíṣiṣẹ́ root tí a rà àti èyí tuntun tí a fi sílẹ̀ papọ̀ dà bí ìdáhùn sí ìfàsẹ́yìn yẹn, bí orísun náà kò tilẹ̀ ṣàlàyé ìrònú náà ní àwọn ọ̀rọ̀ wọ̀nyẹn.

Iṣẹ́ tí ACME kọ́kọ́ ṣáájú, pẹ̀lú àwọn àdéhùn #

Ìgbàwọlé ni ibi tí ọ̀pọ̀ ìkéde CA ti máa ń ṣókùnkùn. Cloudflare sọ̀rọ̀ ní pàtó. CA gbogbogbò rẹ̀ yóò jẹ́ ACME-first, èyí túmọ̀ sí pé yóò sọ èdè ìlànà Automated Certificate Management Environment tí ìdáṣiṣẹ́ tó wà tẹ́lẹ̀ ti ń lò. Ẹ̀tọ́ tí a gbà ni pé ẹnikẹ́ni tí ó ti tọ́ka sí CA ọ̀fẹ́ kan tó wà tẹ́lẹ̀ lè yí padà sí CA Cloudflare nípa yíyí URL directory kan padà, láìsí irinṣẹ́ tuntun àti láìsí ohun kankan láti tún kọ́. Ètò ni ìyẹn, kì í ṣe ọ̀nà ìṣípòpadà tí a ti dánwò, ó sì yẹ kí a kà á bẹ́ẹ̀. Ṣùgbọ́n àyípadà ìṣètò ìlà kan ni àfojúsùn tó tọ́, nítorí iye owó ìṣípòpadà ló ń mú kí àwọn ènìyàn dúró lórí ohun àbáláyé.

Ìdíwọ́ náà jẹ́ ohun tí a béèrè tí ọ̀pọ̀ olùlò ACME kò tíì ní láti mú ṣẹ. Cloudflare yóò gbé ìwé-ẹ̀rí jáde fún àwọn oníbàárà tí ó ṣe àtìlẹ́yìn fún ACME Renewal Information, tàbí ARI, nìkan, èyí tí a ṣe ní ìlànà nínú RFC 9773. Àwọn olùsanwó gbọ́dọ̀ máa tọ́jú ìdáṣiṣẹ́ tí ó ń béèrè lọ́wọ́ endpoint àtúnṣe Cloudflare, tí ó ń ṣiṣẹ́ lórí àwọn fèrèsé àtúnṣe tí Cloudflare ń tẹ̀ jáde, tí ó sì ń dárúkọ ìwé-ẹ̀rí tí ó ń rọ́pò.

Ipò tó dúró ṣinṣin ni èyí, mo sì rò pé òun ni ó tọ́. Ó tún gbé ìbéèrè tó tọ́ dìde nípa ìgbàwọlé: CA tí ó ń ṣiṣẹ́ fún àwọn oníbàárà tí ó lè lo ARI nìkan dín kù ju èyí tí ó ń ṣiṣẹ́ fún ẹnikẹ́ni tí ó ní ìkàwé ACME. Orísun náà kò sọ iye oníbàárà tí èyí yọ kúrò lónìí, nítorí náà n kò ní ṣe àmọ̀tán. Ohun tí ó sọ ni ìdí tí Cloudflare fi fẹ́ ìdíwọ́ yìí.

Ìfagilé láìba àwọn ojú-òpó jẹ́ #

Cloudflare sọ pé òun ti ṣàkíyèsí àwọn nǹkan ní ọdún 16 sẹ́yìn, ìṣàkíyèsí kan sì ló ń darí ètò yìí. Ó ti rí àwọn aláṣẹ ìwé-ẹ̀rí tí ó há sí àárín ìfagilé ní àkókò àti mímú kí ojú-òpó àwọn olùsanwó wọn wà lórí ayélujára.

Ìfàsẹ́yìn yẹn jẹ́ òótọ́ fún CA èyíkéyìí. Fífagilé ìwé-ẹ̀rí kíákíá ń dáàbò bo gbogbo ènìyàn, ṣùgbọ́n ó lè dá gbogbo ojú-òpó tí ó gbára lé ìwé-ẹ̀rí yẹn dúró, bí olùsanwó kò bá lè rọ́pò rẹ̀ kíákíá. CA tí ó há sí àárín yálà yóò fagilé pẹ́ tàbí yóò ba àwọn oníbàárà jẹ́.

ARI ni ìdáhùn Cloudflare. Nígbà tí a bá ní láti fẹ̀yìn àwọn ìwé-ẹ̀rí tì, Cloudflare sọ pé òun lè mú àwọn fèrèsé àtúnṣe ṣáájú fún àwọn ìwé-ẹ̀rí tí ọ̀rọ̀ kàn. Nítorí a béèrè pé kí àwọn olùsanwó máa béèrè lọ́wọ́ endpoint àtúnṣe kí wọ́n sì ṣiṣẹ́ lórí àwọn fèrèsé tí ó ń tẹ̀ jáde, CA lè darí wọn sí ìrọ́pò kí ìfagilé líle tó dé. A ṣàpèjúwe ètò yìí gẹ́gẹ́ bí agbára tí Cloudflare ní èrò láti ní, kì í ṣe èyí tí ó ti fi hàn gẹ́gẹ́ bí CA. Síbẹ̀, èrò náà wà ní ìṣọ̀kan: ohun tí a béèrè nípa bíbéèrè wà kí ọ̀pá ìdarí yìí lè ṣiṣẹ́.

Ìrònú kan náà hàn nínú àfojúsùn ètò tó gbòòrò jù. Cloudflare ní èrò láti kọ́ aláṣẹ ìwé-ẹ̀rí kan tí ìgbẹ́kẹ̀lé rẹ̀ kò gbára lé yíyẹra fún àṣìṣe nìkan, bí kò ṣe, bí ó ti rí pẹ̀lú àwọn ọjà Cloudflare mìíràn, lórí kíkùnà ní kékeré àti dídín ipa ìṣòro kọ̀ọ̀kan kù. Yíyẹra fún àṣìṣe jẹ́ dandan fún CA, kò sì sí CA tí ó lè ṣèlérí rẹ̀ láìkù síbì kan. Ṣíṣe ètò kí àṣìṣe lè wà ní àhámọ́ ni ìdúró ìmọ̀ ẹ̀rọ tó jẹ́ òtítọ́ jù.

Ìṣípayá tó kọjá àyẹ̀wò #

A máa ń ṣe ìdájọ́ àwọn CA gbogbogbò nípasẹ̀ àyẹ̀wò. Orísun náà sọ òpin wọn ní gbangba: àyẹ̀wò jẹ́ ti àkókò kan pàtó, ó sì ń sọ fún ọ pé CA kan yege. Kò sọ ohun tí CA náà ń ṣe ní Ọjọ́ Ìṣẹ́gun èyíkéyìí lẹ́yìn náà.

Ìdáhùn Cloudflare ni láti sọ pé òun yóò tẹ àwọn ìkọ́ tí a lè tún ṣe (reproducible builds) ti sọ́fítíwọ̀ tí ń buwọ́lu ìwé-ẹ̀rí jáde. A gbé ìyẹn kalẹ̀ gẹ́gẹ́ bí ìlérí, kì í ṣe iṣẹ́ tí a ti parí. Àwọn ìkọ́ tí a lè tún ṣe ń jẹ́ kí àwọn ará ìta ṣàyẹ̀wò pé bínárì tí ń ṣiṣẹ́ ní ọ̀nà ìbuwọ́lù bá orísun tí a tẹ̀ jáde mu, èyí tí ó jẹ́ ànímọ́ tí ń bá a lọ ní ọ̀nà tí ìròyìn àyẹ̀wò kò lè jẹ́. Bóyá ìyẹn yóò tó yóò dá lórí ohun tí Cloudflare bá tẹ̀ jáde ní tòótọ́, àti bóyá àwọn mìíràn yóò ṣàyẹ̀wò rẹ̀.

Ìdajì kejì ìkéde náà: Merkle Tree Certificates #

Ohun èlò lẹ́yìn kúáńtọ̀mù ni ibi tí ìkéde náà ti wo ọjọ́ iwájú jùlọ. Cloudflare kéde ètò láti jẹ́ ọ̀kan lára àwọn CA àkọ́kọ́ tí yóò pèsè ìwé-ẹ̀rí lẹ́yìn kúáńtọ̀mù, ó sì ń gbèrò láti gbé Merkle Tree Certificates àkọ́kọ́ rẹ̀ jáde ní ìdámẹ́rin àkọ́kọ́ ọdún 2027. Apá mìíràn nínú orísun náà sọ pé a retí MTC àkọ́kọ́ ní ìbẹ̀rẹ̀ 2027. Àwọn méjèèjì jẹ́ ètò.

Orísun náà ṣàpèjúwe MTC gẹ́gẹ́ bí ọ̀nà tuntun tí ó kéré púpọ̀ jù láti fi ìwé-ẹ̀rí tí gbogbo ènìyàn gbẹ́kẹ̀lé ránṣẹ́. Àpèjúwe ni ọ̀rọ̀ yẹn, orísun náà kò sì pèsè ìwọ̀n nínú àwọn apá tí mo ń lò, nítorí náà n kò lè sọ bí ó ṣe kéré tó. Cloudflare sọ pé òun ti ń ṣe agbátẹrù àbá tí ó dá lórí ìlànà fún MTC ní IETF. Ó tún ròyìn pé Chrome dárúkọ MTC gẹ́gẹ́ bí ọ̀nà tí ó fẹ́ràn jù fún ìfìdímúlẹ̀ ìdánimọ̀ lẹ́yìn kúáńtọ̀mù ní ìbẹ̀rẹ̀ ọdún yìí. Ìṣẹ̀lẹ̀ tí a ti fi hàn nìyẹn, ó sì ṣe pàtàkì, nítorí ìfẹ́ tí olùpèsè aṣàwákiri kan sọ jáde ni ó ń sọ àbá di ohun tí CA lè gbèrò lé lórí.

Cloudflare kò retí pé ìyípadà náà yóò ṣẹlẹ̀ lójijì. Ó retí pé apá ńlá nínú Íńtánẹ́ẹ̀tì yóò máa gbẹ́kẹ̀lé àwọn ìwé-ẹ̀rí àtijọ́ àti WebPKI tó wà fún ọ̀pọ̀ ọdún sí i. Ní àkókò yẹn, ó retí pé MTC yóò máa gba ìpín tí ń pọ̀ sí i díẹ̀díẹ̀ nínú ìgbéjáde. Ìretí ni ìwọ̀nyẹn, orísun náà sì pè wọ́n bẹ́ẹ̀.

CA kan, ìgbésí ayé kan #

Àṣàyàn ìṣètò tí ó tẹ̀lé èyí ni èyí tí ó yí mi lọ́kàn padà jùlọ. A ṣe CA tuntun náà láti gbé àwọn ìwé-ẹ̀rí àtijọ́ àti Merkle Tree Certificates lábẹ́ CA kan, pẹ̀lú ìgbésí ayé kan àti àkójọ ìdánilójú kan. Àwọn oníbàárà lè gbà á ní ìwọ̀n ìyára tó bá wọn mu, kí wọ́n sì ran ayélujára lọ́wọ́ láti kọjá láìsí ìgékúrò líle.

Ọ̀nà mìíràn ni CA méjì tó ń ṣiṣẹ́ lẹ́gbẹ̀ẹ́ ara wọn, àkójọ ìlànà méjì, àti ìṣípòpadà tí a fipá mú ní àkókò kan. Ìgékúrò líle ni ọ̀nà tó léwu jùlọ láti yí ètò àyíká ìwé-ẹ̀rí padà, àfojúsùn tí orísun náà sọ jáde sì ni láti yẹra fún un. Àwọn ọ̀rọ̀ náà ṣọ́ra, ó sì tọ́ bẹ́ẹ̀: èrò ìṣètò ni èyí fún CA tí kò tíì gbé nǹkankan jáde.

Ó tún bá àwòrán àwọn ìwúrí mu. Cloudflare sọ pé òun retí pé iye ìwé-ẹ̀rí tí òun ń gbẹ́kẹ̀lé lọ́dọọdún yóò máa pọ̀ sí i bí àkókò ìwúlò tó gùn jùlọ ṣe ń dín kù, iṣẹ́ àwọn aṣojú AI ṣe ń pọ̀ sí i àti bí ìwé-ẹ̀rí lẹ́yìn kúáńtọ̀mù ṣe ń di ohun gbogbogbò. Ìwé-ẹ̀rí púpọ̀ sí i, tí a ń gbé jáde léraléra, ń béèrè fún ìdáṣiṣẹ́ àti CA tí ó ka àtúnṣe sí iṣẹ́ àkọ́kọ́. Ètò tí a kọ́ yí ARI àti ìgbésí ayé kan ká jẹ́ ìdáhùn tó bọ́gbọ́n mu sí ìretí yẹn, bí ìretí náà fúnra rẹ̀ tilẹ̀ jẹ́ àsọtẹ́lẹ̀, kì í ṣe ìwọ̀n.

Customer Zero #

Báwo ni o ṣe lè dán CA kan wò kí gbogbo ènìyàn tó gbẹ́kẹ̀lé e? Ìdáhùn Cloudflare ni láti jẹ́ oníbàárà àkọ́kọ́ tirẹ̀. Yóò jẹ́ Customer Zero fún CA tuntun náà àti àwọn ìwé-ẹ̀rí rẹ̀, ti WebPKI àti ti MTC. Àfojúsùn tí a sọ ni láti rí i dájú pé gbogbo apá àwọn ètò àti ìlànà tuntun bá ìlànà inú gíga Cloudflare mu, àti pé a ń lo amáyédẹrùn CA náà ní ìwọ̀n Cloudflare.

Ní ìbámu pẹ̀lú àwọn nọ́mbà tí a sọ ṣáájú, ẹrù inú tó wúwo ni ìyẹn: mílíọ̀nù ìwé-ẹ̀rí lọ́dọọdún, ní ilé-iṣẹ́ tí ó dúró níwájú ohun tó ju ìdá 20 nínú ọgọ́rùn-ún ìrìnnà ìbéèrè àgbáyé. Bóyá àwọn ọdún àkọ́kọ́ iṣẹ́ yóò lọ dáadáa jẹ́ ohun tí àwọn ẹ̀tọ́ wọ̀nyí kò lè sọ fún wa. Ohun tí wọ́n fi hàn ni ìtẹ̀léra iṣẹ́ tó bọ́gbọ́n mu. Ilé-iṣẹ́ náà bẹ̀rẹ̀ gẹ́gẹ́ bí olùlò ńlá ohun tí ó ń kọ́, pẹ̀lú ìtàn gbígba ìwé-ẹ̀rí láti ọ̀pọ̀ CA, àwọn ọ̀nà ìpamọ́, àti CA alábàáṣiṣẹ́ 16 lẹ́yìn rẹ̀.

Ó tọ́ láti sọ ohun tí ó kù ní gbangba. Kò sí ohun kankan nínú orísun náà tí ó ròyìn iye ìgbéjáde, ìwọ̀n àṣìṣe, ìdádúró ìfìdímúlẹ̀ tàbí ìtàn ìṣẹ̀lẹ̀ fún CA tí Cloudflare fúnra rẹ̀ ní, nítorí kò sí irú ìtàn bẹ́ẹ̀ síbẹ̀. Ìkéde náà jẹ́ gbólóhùn èrò tí àwọn ìbéèrè, àdéhùn ìrà àti ìṣètò kan ṣe àtìlẹ́yìn fún. Kì í ṣe àkọsílẹ̀ iṣẹ́ tí a ti ṣe.

Ohun tí a ó máa wò #

Nǹkan mẹ́ta ni yóò pinnu bóyá èyí jẹ́ àfikún tó nítumọ̀ sí WebPKI tàbí ìkéde tó dùn mọ́ni lásán.

Àkọ́kọ́ ni àwọn ètò root. Cloudflare ti béèrè lọ́wọ́ Chrome, Apple, Microsoft àti Mozilla, àwọn ìlànà náà sì wà ní gbangba. Wíwò wọ́n ni ọ̀nà tààrà jùlọ láti rí bí ètò náà ti lọ jìnnà tó, àbájáde rẹ̀ kì í sì í ṣe ohun tí èyíkéyìí nínú àwọn ẹ̀tọ́ náà jẹ́ kí n lè sọ tẹ́lẹ̀.

Ìkejì ni ohun tí a béèrè nípa ARI. CA tí ó tẹnumọ́ àtìlẹ́yìn RFC 9773 ń ta tẹ́tẹ́ pé a lè ti ìdáṣiṣẹ́ àtúnṣe síwájú káàkiri gbogbo àwọn olùsanwó rẹ̀. Bí tẹ́tẹ́ náà bá tọ́, yóò fún Cloudflare ní agbára láti mú àwọn fèrèsé àtúnṣe ṣáájú nígbà tí a bá ní láti fẹ̀yìn ìwé-ẹ̀rí tì, èyí tí ó jẹ́ ìdáhùn tí a sọ sí ìṣòro ìfagilé tí ó ti rí. Bí kò bá tọ́, ìgbàwọlé yóò lọ́ra ju bí ìtàn ìṣípòpadà ìlà kan ṣe dábàá lọ.

Ìkẹta ni ìdámẹ́rin àkọ́kọ́ ọdún 2027. Ìgbà yẹn ni Cloudflare ń gbèrò Merkle Tree Certificates àkọ́kọ́ rẹ̀. Ìbéèrè tí ó ṣí sílẹ̀ ni bí ìpín tí ń pọ̀ sí i díẹ̀díẹ̀ tí ó retí yóò ṣe pọ̀ sí i kíákíá ní tòótọ́, nígbà tí òun fúnra rẹ̀ gbà pé apá ńlá nínú Íńtánẹ́ẹ̀tì yóò dúró lórí ìwé-ẹ̀rí àtijọ́ fún ọ̀pọ̀ ọdún sí i. Ilé-iṣẹ́ náà ti sọ pé ìkọjá náà kò gbọ́dọ̀ nílò ìgékúrò líle. Ìdámẹ́rin àkọ́kọ́ ọdún 2027 yóò jẹ́ àǹfààní àkọ́kọ́ láti rí bóyá CA kan tí ó ń gbé oríṣi ìwé-ẹ̀rí méjèèjì lè mú ìyẹn ṣẹ.

Ohun Tí Èyí Túmọ̀ Sí fún Ẹ̀ka Kọ̀ọ̀kan #

Ìfarahàn aláṣẹ ìwé-ẹ̀rí gbogbogbò aládàáṣiṣẹ́ tí ó ń gbé ọ̀pọ̀ jáde láti ọ̀dọ̀ olùpèsè amáyédẹrùn etí (edge) ń yí ewu iṣẹ́ àti ìgbèrò PKI padà káàkiri ọ̀pọ̀ ẹ̀ka ìmọ̀ ẹ̀rọ.

Amáyédẹrùn ìkùukùu àti àwọn nẹ́tíwọ́ọ̀kì etí #

Ṣíṣiṣẹ́ CA gbogbogbò ní ìwọ̀n etí ń dín ìgbẹ́kẹ̀lé òde lórí àwọn API ìfìdímúlẹ̀ àti CRL ẹgbẹ́ kẹta kù. Nípa síso ìparí TLS ní etí reverse-proxy pọ̀ mọ́ àtúnṣe ACME ARI aládàáṣiṣẹ́, àwọn olùpèsè amáyédẹrùn lè dáàbò bo àwọn oníbàárà wọn lòdì sí ìdádúró àwọn aláṣẹ ìwé-ẹ̀rí òkè.

PKI ilé-iṣẹ́ àti àwọn ẹgbẹ́ DevOps #

Àwọn àjọ tí ó gbára lé Let's Encrypt fún àwọn endpoint gbogbogbò ń rí ọ̀nà mìíràn tí ó ṣeé gbàgbọ́ tí ó sì jẹ́ aládàáṣiṣẹ́. Síbẹ̀, ìmúṣẹ dandan RFC 9773 (ARI) túmọ̀ sí pé àwọn ẹgbẹ́ gbọ́dọ̀ ṣàyẹ̀wò àwọn oníbàárà ACME wọn (Certbot, Lego, Caddy, Traefik) láti rí i dájú pé àtìlẹ́yìn ARI ń ṣiṣẹ́ kí wọ́n tó yí endpoint directory padà.

Àwọn olùpèsè aṣàwákiri àti ìṣàkóso root #

Àwọn ètò root (Chrome, Mozilla, Apple, Microsoft) ń dojú kọ ètò àyíká tí ń gbòòrò ti àwọn CA aládàáṣiṣẹ́ tí ń gbé ọ̀pọ̀ jáde. Ọ̀nà root méjì (rírà root àtijọ́ ti 2012 nígbà tí a ń fi root òde-òní sílẹ̀) ń la àwọn ìlànà aṣàwákiri kọjá tí ń pọ̀ sí i ní dídín ìgbésí ayé ìwé-ẹ̀rí root kù, nígbà tí ó ń pa ìbámu mọ́ fún àwọn ẹ̀rọ àtijọ́.

Ìparí #

Ìgbésẹ̀ Cloudflare láti di aláṣẹ ìwé-ẹ̀rí gbogbogbò dojú kọ àìlera ìgbékalẹ̀ gidi kan nínú WebPKI òde-òní: ìkójọpọ̀ tó pọ̀ jù nínú ìgbéjáde ìwé-ẹ̀rí ọ̀fẹ́ aládàáṣiṣẹ́. Nípa síso root GlobalSign tí a ti fìdí rẹ̀ múlẹ̀, ìdáṣiṣẹ́ àtúnṣe ARI tó le, àti afárá síwájú sí Merkle Tree Certificates lẹ́yìn kúáńtọ̀mù pọ̀, ètò náà ń kojú ìfaradà iṣẹ́ dípò pípèsè ìwé-ẹ̀rí lásán. Àṣeyọrí yóò dá lórí ìfọwọ́sí àwọn ètò root àti bí àwọn irinṣẹ́ oníbàárà ṣe yára gba ìlànà ARI ṣáájú ìfilọ́lẹ̀ 2027.

Àwọn Ìbéèrè Tí A Sábà Ń Bèèrè #

Ṣé mo lè yí oníbàárà ACME mi padà sí CA Cloudflare lónìí?

Kò tíì ṣeé ṣe. Cloudflare ti kéde èrò rẹ̀, ó ti fọwọ́ sí àdéhùn ìrà root, ó sì ti fi ìbéèrè sílẹ̀ fún àwọn ètò root pàtàkì. A ti ṣètò ìgbéjáde gbogbogbò fún lẹ́yìn ìfọwọ́sí àwọn ètò root.

Kí ni ACME Renewal Information (ARI), kí sì nìdí tí ó fi ṣe pàtàkì?

ARI (RFC 9773) jẹ́ àfikún sí ìlànà ACME tí ó ń jẹ́ kí àwọn aláṣẹ ìwé-ẹ̀rí gba àwọn olùsanwó nímọ̀ràn nígbà tí ó yẹ kí a ṣe àtúnṣe ìwé-ẹ̀rí kan. Èyí ń jẹ́ kí àwọn CA ṣètò àtúnṣe ṣáájú ní ìrọ̀rùn kí ìfagilé tí a gbèrò tó dé, láti dènà ìdádúró ojú-òpó.

Báwo ni Merkle Tree Certificates (MTC) ṣe yàtọ̀ sí ìwé-ẹ̀rí X.509 bó ṣe wà?

MTC ń rọ́pò àwọn ìbuwọ́lù kíkọ-àṣírí ẹnìkọ̀ọ̀kan àtijọ́ pẹ̀lú ẹ̀rí ìfisí Merkle tí a dá kọ̀ró sínú àkọsílẹ̀ tí gbogbo ènìyàn lè ṣàyẹ̀wò. Èyí dín ìwọ̀n ìwé-ẹ̀rí àti ẹrù ìfiránṣẹ́ kù púpọ̀, ó sì sọ wọ́n di olùdíje tí a fẹ́ràn jù fún ìfìdímúlẹ̀ TLS lẹ́yìn kúáńtọ̀mù.

Àwọn Ìtọ́kasí #

Cloudflare, (2026). Kíkọ́ Aláṣẹ Ìwé-ẹ̀rí fún Gbogbo Íńtánẹ́ẹ̀tì ⧉. Cloudflare Blog.
IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
IETF, (2025). Merkle Tree Certificates fún TLS ⧉. IETF.
Chrome Root Program, (2026). Ìlànà àti àwọn ìgbèrò lórí ìfìdímúlẹ̀ ìdánimọ̀ lẹ́yìn kúáńtọ̀mù ⧉. Chromium Projects.

Àyẹ̀wò àkọ́kọ́ 2026-09-20.

Àyẹ̀wò àkọ́kọ́ 2026-10-27.

Tun àpilẹkọ yìí jade

Cloudflare fẹ́ di CA: ewu gbígbẹ́kẹ̀lé CA ọ̀fẹ́ kan ṣoṣo — Sebastien Rousseau

Cloudflare ti kéde èrò rẹ̀ láti di CA gbogbogbò. Ó ti béèrè fún ìfisí nínú àwọn ètò root ti Chrome, Apple, Microsoft àti Mozilla, ó sì fẹ́ ra root GlobalSign.

A ti fun àpilẹkọ yìí ni iwe-ẹri labẹ Creative Commons Attribution 4.0 International. Atunjade nilo idanimọ si URL akọkọ.

Cloudflare fẹ́ di CA: ewu gbígbẹ́kẹ̀lé CA ọ̀fẹ́ kan ṣoṣo — Sebastien Rousseau

Cloudflare ti kéde èrò rẹ̀ láti di CA gbogbogbò. Ó ti béèrè fún ìfisí nínú àwọn ètò root ti Chrome, Apple, Microsoft àti Mozilla, ó sì fẹ́ ra root GlobalSign.

Originally published at https://sebastienrousseau.com/yo/2026-09-20-cloudflare-fe-di-ca-ewu-gbigbekele/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER