Cloudflare заключила окончательное соглашение о покупке доверенного корневого сертификата у GlobalSign и подала заявки в корневые программы Chrome, Apple, Microsoft и Mozilla. Так один из крупнейших потребителей TLS-сертификатов, которые защищают соединение сайта с браузером, готовится стать публичным центром сертификации.
Корневой сертификат служит точкой доверия: его наличие в браузере или операционной системе позволяет устройству признавать выпущенные на его основе сертификаты сайтов. По данным блога Cloudflare, приобретаемый корень GlobalSign поддерживается браузерами, операционными системами и устройствами с 2012 года. Благодаря этому будущие сертификаты компании смогут работать в том числе на старых устройствах, которые уже не получают обновления.
Cloudflare пока не выпускает собственные сертификаты и не называет дату запуска. Заявки в корневые программы также еще должны пройти проверку. Компания планирует автоматизировать выдачу и продление через ACME, открытый протокол управления сертификатами. Пользователи других бесплатных центров смогут переключиться на Cloudflare без замены инструментов, изменив адрес сервиса.
Cloudflare обслуживает более 20% мирового трафика интернет-запросов и ежегодно использует миллионы сертификатов для миллионов доменов. Сейчас она получает их у нескольких сторонних центров, сохраняя резервные варианты на случай сбоев или отзыва сертификатов. Черновик рабочей группы IETF по TLS отдельно показывает, почему переходы между центрами доверия сложны: разные устройства признают разные наборы корней, особенно если давно не обновлялись.
Что это значит
- Для вас. Обычным пользователям и владельцам сайтов пока ничего не изменится. После запуска Cloudflare сможет сама выдавать публично доверенные сертификаты, что усилит ее влияние на их выдачу и инфраструктуру веб-доверия.
- Что сделать. Ничего делать не нужно. Cloudflare еще не начала выдачу, а действующие сертификаты и настройки сайтов продолжают работать как раньше.
- За чем следить. Главные маркеры: одобрение нового корня программами Chrome, Apple, Microsoft и Mozilla, завершение покупки корня GlobalSign и объявление даты начала выдачи сертификатов.