Cloudflare заявила о намерении создать собственный публичный центр сертификации (CA) для самостоятельного выпуска бесплатных TLS-сертификатов, предназначенных для веб-сайтов. В настоящее время организация уже направила запросы на внесение своих корневых сертификатов в программы доверия, поддерживаемые Chrome, Apple, Microsoft и Mozilla.

Чтобы обеспечить взаимодействие с устаревшими устройствами, Cloudflare заключила соглашение о приобретении действующего корневого сертификата у GlobalSign. Этот сертификат поддерживается браузерами и операционными системами начиная с 2012 года. Данный шаг призван избежать распространенной проблемы, возникающей при создании новых центров сертификации: процесс распространения корневых сертификатов на различные устройства может затягиваться на годы, а устаревшая техника зачастую не получает необходимые обновления.

Одновременно с этим Cloudflare ведет разработку собственных корневых сертификатов, ориентированных на будущие требования браузеров и операционных систем. Таким образом, сертификат GlobalSign предназначен для обеспечения совместимости с максимально возможным количеством устройств, в то время как новые корни будут поддерживать стабильную работу сервиса в долгосрочной перспективе.

Процесс получения и продления сертификатов будет автоматизирован посредством открытого протокола ACME, который уже используется другими бесплатными центрами сертификации. По заявлению Cloudflare, пользователям существующих решений потребуется лишь изменить адрес ACME-каталога, что исключает необходимость установки новых инструментов или перестройки серверной инфраструктуры.

Причинами создания собственного центра сертификации компания называет существующую зависимость интернета от небольшого числа организаций, выдающих сертификаты. Let’s Encrypt обслуживает свыше полумиллиарда веб-сайтов и ежедневно выпускает около десяти миллионов сертификатов. Cloudflare полагает, что серьезный сбой в работе крупнейшего бесплатного центра сертификации может негативно повлиять на значительную часть сети Интернет, поскольку альтернатив сопоставимого масштаба практически не существует.

Сам провайдер Cloudflare также зависит от сторонних организаций: через его инфраструктуру проходит более двадцати процентов мирового веб-трафика, а ежегодно компания получает миллионы сертификатов от внешних центров сертификации. Для Universal SSL уже предусмотрена система резервирования: наряду с основным сертификатом используется запасной, полученный от другого центра сертификации, который может быть активирован в случае компрометации или отзыва основного.

Собственный центр сертификации Cloudflare будет использовать аналогичный подход к обеспечению отказоустойчивости. Сертификаты планируется выдавать исключительно клиентам, поддерживающим автоматическое продление через протокол ACME и механизм передачи информации об обновлении (ARI). Это позволит оперативно заменять скомпрометированные экземпляры без необходимости проведения массового принудительного отзыва сертификатов в случае обнаружения уязвимости или инцидента.

Компания также гарантирует прозрачность функционирования центра сертификации, включая публикацию воспроизводимых сборок программного обеспечения, используемого для подписи сертификатов, раскрытие информации об аппаратных модулях безопасности (HSM), где хранятся ключи, а также запуск общедоступной панели мониторинга, отображающей информацию о выдаче сертификатов и возникающих инцидентах.

В числе приоритетных задач — подготовка к эре постквантовой криптографии. Компания Cloudflare намерена стать одним из пионеров в этой области, войдя в число первых удостоверяющих центров, выдающих Merkle Tree Certificates (MTC). Ожидается, что первые сертификаты данного типа появятся уже в первом квартале 2027 года. Данная технология рассматривается как более эффективный и компактный способ аутентификации для постквантового TLS, поскольку традиционные цепочки сертификатов могут значительно разрастись.

Тем не менее, классические TLS-сертификаты останутся в использовании. Cloudflare планирует поддерживать стандартную WebPKI наряду с MTC в рамках единой инфраструктуры, что позволит осуществлять плавный переход к постквантовым технологиям.

Конкретные сроки запуска собственного удостоверяющего центра пока не объявлены. Cloudflare необходимо получить одобрение от ведущих браузеров и операционных систем, прежде чем приступить к полноценной работе. До получения этого разрешения компания продолжит использовать сертификаты своих текущих партнеров.