شرکت Cloudflare رسماً قصد خود را برای تبدیل شدن به یک مرجع صدور گواهینامه عمومی یا Certificate Authority (CA) اعلام کرد. این اقدام با هدف کاهش وابستگی اینترنت به تعداد محدودی از صادرکنندگان گواهینامه و افزایش تاب‌آوری زیرساخت‌های رمزنگاری وب صورت می‌گیرد.
استراتژی تامین اعتماد و دسترسی گسترده
برای اطمینان از سازگاری با تمامی دستگاه‌ها و مرورگرها، Cloudflare دو مسیر موازی را دنبال می‌کند:
- اکتساب ریشه (Root) موجود: این شرکت توافقی را برای خرید یک Root شناخته‌شده از GlobalSign امضا کرده است تا گواهینامه‌هایش از همان روز اول در دستگاه‌های قدیمی و سیستم‌عامل‌های به‌روز نشده نیز مورد اعتماد باشند.
- درخواست برای Root جدید: همزمان درخواست‌های لازم برای ورود به برنامه‌های Root در Chrome، Apple، Microsoft و Mozilla ارسال شده است تا استانداردهای آینده‌نگرانه و سیاست‌های جدید امنیتی را پوشش دهد.
کاهش ریسک سیستمیک و اتوماسیون با ACME
در حال حاضر بخش بزرگی از وب به Let’s Encrypt وابسته است. Cloudflare معتقد است تمرکز بالای صدور گواهینامه‌های رایگان در یک سازمان، یک ریسک سیستمیک ایجاد می‌کند. برای حل این مشکل، Cloudflare قصد دارد یک جایگزین رایگان و خودکار ایجاد کند که بر پایه پروتکل استاندارد ACME (Automated Certificate Management Environment) باشد. این یعنی کاربرانی که از CAهای رایگان فعلی استفاده می‌کنند، می‌توانند تنها با تغییر یک URL، بدون نیاز به تغییر زیرساخت، به سرویس Cloudflare منتقل شوند.
تمرکز بر امنیت پساکوانتوم (Post-Quantum)
یکی از برجسته‌ترین اهداف این پروژه، پیشگامی در صدور گواهینامه‌های مقاوم در برابر محاسبات کوانتومی است. Cloudflare برنامه‌ریزی کرده تا یکی از اولین صادرکنندگان Merkle Tree Certificates (MTCs) باشد. انتظار می‌رود اولین گواهینامه‌های MTC در سه ماهه اول سال 2027 صادر شوند. این فرمت جدید و فشرده، برای دنیایی طراحی شده که در آن زنجیره‌های گواهینامه سنتی به دلیل حجم زیاد، باعث کندی TLS Handshake می‌شوند.
طراحی برای تاب‌آوری و شفافیت
این شرکت متعهد شده است که مدل Fail Small را در CA خود پیاده کند تا اثر هرگونه خطا به حداقل برسد. برخی از اقدامات پیش‌بینی شده عبارتند از:
- الزامی کردن اتوماسیون تمدید (Renewal) از طریق استاندارد ARI (RFC 9773).
- انتشار نسخه‌های قابل بازتولید (Reproducible Builds) از نرم‌افزارهای امضاکننده.
- تایید سخت‌افزارهای امنیتی (HSM) که کلیدها در آن‌ها نگهداری می‌شوند.
- راه‌اندازی داشبورد عمومی برای نظارت بر سلامت صدور گواهینامه‌ها در لحظه.
