Создание центра сертификации для всего Интернета29.09.2026 16:00

Двенадцать лет назад, во время Недели дня рождения 2014 года, мы включили Universal SSL и за одну ночь почти вдвое увеличили число зашифрованных сайтов в интернете, предоставив бесплатный TLS каждому сайту за Cloudflare, в том числе тем, которые не заплатили нам ни цента. Шифрование перестало быть дорогостоящим и отнимать много времени — оно стало стандартом.

В Неделю дня рождения в этом году мы делаем следующий шаг на этом пути. Более десяти лет мы входим в число крупнейших потребителей общедоверенных сертификатов в интернете, но сами не выпустили ни одного. Теперь это изменится. Cloudflare объявляет о намерении стать публичным центром сертификации (CA).

Сегодня мы объявляем о первых конкретных этапах этой работы: мы подали заявки на включение в корневые программы Chrome, Apple, Microsoft и Mozilla, а также заключили окончательное соглашение о приобретении у GlobalSign уже действующего корневого сертификата с широким доверием, чтобы с самого начала выпуска предоставлять сертификаты с максимально широким охватом устройств. Кроме того, мы объявляем о планах стать одним из первых центров сертификации, выпускающих постквантовые сертификаты, ориентируясь на недавно анонсированную программу Chrome для устойчивых к квантовым атакам корневых сертификатов.

Пока мы не выпускаем сертификаты, и до этого пройдет некоторое время. Сейчас мы публично берем на себя обязательство выполнить эту работу, рассказывать о достигнутых этапах и точно сообщать, что именно создаем, сотрудничая с корневыми программами и другими участниками сообщества WebPKI.

Два пути к доверию

Новый корневой сертификат не будет широко применим в течение многих лет. Даже после того, как корневая программа примет его, он должен распространиться в операционных системах, браузерах и устройствах по всему миру, но так и не достигнет множества устройств, которые перестали получать обновления или никогда их не получали. На такие старые клиенты приходится значительная часть интернет-трафика в мире, и именно с ними связано множество случаев сбоев, которых можно было бы избежать. Мы считаем, что все клиенты заслуживают максимально высокого уровня безопасности независимо от производителя, операционной системы и времени, прошедшего с последнего обновления.

Приобретение уже существующего корневого сертификата, которому доверяет широкий спектр клиентов, решает эту проблему с первого дня. Корневому сертификату GlobalSign доверяют браузеры, операционные системы и устройства с 2012 года, и он охватывает старые клиенты, до которых новый корневой сертификат никогда не доберется. Новый корневой сертификат, заявку на включение которого мы подадим в корневые программы, рассчитан на будущее экосистемы, в том числе на программы, которые начинают ограничивать срок действия доверенных корневых сертификатов. Действующий корневой сертификат обеспечивает охват устройств прошлого, а новые корневые сертификаты позволят нам соответствовать правилам будущего. Нам нужны оба варианта, чтобы сертификаты нашего центра сертификации были совместимы с максимально широким кругом устройств клиентов.

Новый источник бесплатных сертификатов

Бесплатные автоматизированные сертификаты теперь обеспечивают работу большей части зашифрованного интернета, и во многом это заслуга одного выдающегося оператора. Let’s Encrypt выпускает порядка десяти миллионов сертификатов в день, обслуживает более 500 миллионов сайтов, а в 2025 году число действующих сертификатов превысило четыре миллиарда. Это одно из лучших событий для интернета за последние двадцать лет — и мы говорим так, будучи одним из крупнейших пользователей сервиса.

Однако этот успех сопряжен с системным риском: если у крупнейшего бесплатного центра сертификации выдастся неудачная неделя, значительная часть интернета останется без сопоставимой бесплатной автоматизированной альтернативы, способной принять нагрузку. На уровне пакетов сертификатов мы годами создавали именно такую резервную систему для собственных клиентов. К каждому сертификату Cloudflare Universal SSL уже прилагается резервный сертификат — он защищен отдельным ключом и выдан другим центром сертификации, а при отзыве или компрометации основного сертификата готов к автоматическому развертыванию. Публичный центр сертификации — та же идея, только в масштабе всего интернета.

Чтобы перейти на наш сервис было просто, мы в первую очередь будем поддерживать Automated Certificate Management Environment (ACME) — широко распространенный открытый стандартный протокол. Получать сертификаты у нас можно будет посредством автоматизированной выдачи и продления через ACME. Это позволит всем, кто уже обращается к любому существующему бесплатному центру сертификации, перейти к нам, просто изменив URL каталога — без новых инструментов и перестройки архитектуры.

Прогнозируемый рост числа сертификатов огромен

Cloudflare обрабатывает более 20% мирового интернет-трафика запросов и завершает TLS-соединения для миллионов доменов, используя для этого миллионы сертификатов в год. Мы получаем их от нескольких центров сертификации, предусматривая основные и резервные каналы, чтобы сервисы клиентов продолжали работать при сбоях центров сертификации и отзыве сертификатов.

Благодаря этому мы не только узнали, как устроена экосистема WebPKI, но и на собственном горьком опыте столкнулись со сбоями в ней со стороны потребителя. Мы разбирались с ограничениями частоты запросов, нестандартными случаями проверки, задержками при отзыве сертификатов, построением цепочек и отставанием распространения корневых сертификатов. Мы пережили смену центров сертификации последних лет и ощутили ее последствия через наших клиентов. Мы знаем, как должна выглядеть надежная выдача сертификатов со стороны клиента, потому что доступность сервисов наших клиентов зависела от того, насколько быстро и устойчиво мы реагировали на проблемы у издателя.

В ближайшие несколько лет максимальный срок действия сертификатов будет сокращаться, объем автономной активности — расти, а постквантовые сертификаты станут широко распространенными. Мы ожидаем, что общее число сертификатов, на которые мы полагаемся ежегодно, будет быстро увеличиваться — и мы не единственные. Мы хотим не просто решить эту проблему для себя, но и помочь обеспечить интернет этой услугой, а также расширить число поставщиков в цепочке поставок сертификатов для наших клиентов.

Надежность в основе дизайна: прозрачность и минимизация последствий сбоев

Беря на себя новую ответственность и становясь собственным центром сертификации, мы стремимся создать максимально надежный и отказоустойчивый центр. Мы намерены построить его так, чтобы надежность обеспечивалась не только предотвращением ошибок: как и в других продуктах Cloudflare, мы будем стремиться к тому, чтобы «сбои имели минимальные последствия» и любая отдельная проблема оказывала ограниченное влияние.

Это означает, что мы внедрим процессы разработки и проверки процедур восстановления до возникновения каких-либо инцидентов. Например, автоматическое продление станет обязательным условием выдачи сертификата. Мы будем выдавать сертификаты только клиентам, поддерживающим ACME Renewal Information (ARI), стандартизированный в RFC 9773. Подписчики должны поддерживать автоматизацию, которая опрашивает нашу конечную точку продления, учитывает опубликованные нами интервалы продления и определяет сертификат, который заменяется.

Мы также учимся на том, что наблюдали за последние 16 лет. Мы видели, как центры сертификации оказывались перед выбором: своевременно отзывать сертификаты или сохранять доступность сайтов подписчиков, потому что слишком многие из них не могли достаточно быстро заменить свои сертификаты. Если сертификаты необходимо отозвать — из-за проблем с соблюдением требований или инцидента безопасности, — мы сможем перенести сроки продления затронутых сертификатов на более ранний период, распределить замену по доступному времени и отслеживать выдачу новых сертификатов.

Это лишь один из многих принципов, которыми мы будем руководствоваться при разработке. Мы обеспечим прозрачность работы нашей системы выдачи сертификатов и операционных процессов, опубликуем воспроизводимые сборки ПО, подписывающего сертификаты, предоставим аттестацию модулей аппаратной защиты, в которых хранятся наши ключи, и запустим общедоступную панель мониторинга состояния выдачи и инцидентов. Аудит показывает, что центр сертификации прошел проверку в определенный момент времени, но не то, как он работает в обычный вторник. Мы хотим, чтобы корневые программы, исследователи и владельцы обычных сайтов могли наблюдать за тем, как современный центр сертификации работает между аудитами.

Центр сертификации для постквантового интернета

Мы намерены определять будущее сертификатов, а не просто следовать за ним. Мы планируем стать одним из первых центров сертификации, выпускающих Merkle Tree Certificates (MTC) для реального использования. Первые сертификаты появятся в первом квартале 2027 года.

MTC — это новый и гораздо более компактный способ предоставлять общедоверенные сертификаты. Он рассчитан на постквантовый мир, в котором традиционные цепочки сертификатов становятся настолько большими, что перегружают TLS-рукопожатия. Мы продвигаем в IETF основанное на стандартах предложение по MTC, а ранее в этом году Chrome назвал MTC предпочтительным способом постквантовой аутентификации. Выпуск таких сертификатов для реального использования позволит защитить клиентов Cloudflare и весь интернет от постквантовых угроз и обеспечить реальный масштаб перехода, который предстоит всему вебу. Подробнее о MTC и о том, как будет выглядеть новая инфраструктура открытых ключей веба (PKI), мы рассказали в отдельной публикации.

Мы не ожидаем, что этот переход произойдет внезапно. Еще много лет значительная часть интернета будет полагаться на классические сертификаты и существующую инфраструктуру WebPKI. Но в этот период доля MTC в выдаче будет постепенно расти — поэтому мы создаем единый сервис, который поддерживает оба типа сертификатов. Если классические сертификаты и сертификаты на основе деревьев Меркла будут выдаваться одним центром сертификации, с единым жизненным циклом и единым набором гарантий, клиенты смогут переходить в удобном для себя темпе и помочь вебу осуществить переход без резкого переключения. Клиентам не придется выбирать одну из сторон многолетнего перехода, запускать две системы или перестраивать инфраструктуру, когда соотношение изменится.

Как всегда, Cloudflare станет первым клиентом

Помимо предоставления клиентам пакетов сертификатов через Universal SSL, Cloudflare использует сертификаты многих центров сертификации для работы наших систем и внутренних процессов. Как и в случае с другими продуктами, мы станем первым клиентом нового центра сертификации и его сертификатов (как WebPKI, так и MTC), чтобы убедиться, что все аспекты новых систем и процессов соответствуют нашим высоким внутренним стандартам, а инфраструктура центра сертификации прошла проверку в масштабе Cloudflare.

Что дальше

Мы проходим этапы подачи заявки и получения одобрения в каждой из основных корневых программ веба. Эти процессы проходят открыто, и по мере их продвижения мы будем делиться новостями — вплоть до выпуска первых сертификатов на основе деревьев Меркла в начале 2027 года. Если вы хотите следить за этой работой или в будущем одним из первых воспользоваться сертификатом центра сертификации Cloudflare, подпишитесь на обновления.

Создавая эту новую возможность, мы продолжим тесно сотрудничать с сетью публичных центров сертификации — наших партнеров, на которых мы полагались много лет. Целых 16 лет! — чтобы вместе обеспечивать открытый интернет, которому можно доверять.

Когда мы запустили Universal SSL, аргумент был прост: каждый байт, передаваемый по интернету в зашифрованном виде, сложнее перехватить, ограничить или подвергнуть цензуре, а открытый веб мы создаем вместе. Публичный, резервный и прозрачный центр сертификации — это тот же аргумент, но на уровень ниже: он касается доверия, которое изначально делает возможным зашифрованный веб. Мы давно работаем над этим и рады наконец встать на этот путь.

С Неделей дня рождения!

© Cloudflare Blog