Cloudflare, güvenilir sertifikaların önemli bir tüketicisi olarak geçirdiği on yılı aşkın sürenin ardından, bunları kendisi yayımlamadan genel sertifika yetkilileri (CA) pazarına girme niyetini açıkladı. İlk adımlar arasında Chrome, Apple, Microsoft ve Mozilla'nın güvenilir kök programlarına katılmak için başvurular yapmak ve GlobalSign'dan mevcut ve geniş ölçüde güvenilen bir kökü satın almak üzere nihai bir anlaşma imzalamak bulunuyor.
Şirket, mevcut kökün sağladığı uyumluluk kapsamını, gelecekteki WebPKI ekosisteminin gereksinimlerine göre tasarlanmış yeni bir kökle birleştirmeyi amaçlıyor. Cloudflare, söz konusu GlobalSign kökünün 2012'den bu yana tarayıcılar, işletim sistemleri ve cihazlar, özellikle de yeni kök güncellemelerini kolayca alamayabilecek eski cihazlar tarafından güvenilir kabul edildiğini belirtiyor. Anlaşma henüz tamamlanmadı ve Cloudflare da kullanıcılara sertifika vermeye başlamadı.
Otomasyona dayalı ücretsiz alternatif
Cloudflare, sertifikaların verilmesi ve yenilenmesi için temel giriş noktası olarak ACME protokolünü benimsemeyi planlıyor. Bu, hâlihazırda ücretsiz sertifika yetkililerini kullanan müşterilerin, ilke olarak, yeni araçlar geliştirmeden veya operasyonel altyapılarını yeniden tasarlamadan, yalnızca dizin adresini değiştirerek geçiş yapabilecekleri anlamına geliyor.
Şirket bu adımı, ücretsiz sertifika pazarında çeşitliliği artırmanın bir yolu olarak da sunuyor. Let's Encrypt'in günde yaklaşık on milyon sertifika verdiğini, 500 milyondan fazla web sitesine hizmet sunduğunu ve aktif sertifikalarının sayısının 2025'te dört milyarı aştığını belirtiyor. Cloudflare'a göre internetin tek bir ücretsiz kuruluşa büyük ölçüde bağımlı olması, bu kuruluşun operasyonel bir sorunla karşılaşması hâlinde sistemi geniş çaplı bir kesintiye açık bırakıyor.
Cloudflare pratikte neyi değiştirecek?
Cloudflare, milyonlarca alan adı için sertifika işletme deneyimine dayanıyor. Şirket, hizmetlerinin TLS sonlandırması yaptığını ve birden fazla yetkili ile birincil ve yedek yollar üzerinden yılda milyonlarca sertifikaya dayandığını söylüyor. Bu deneyim, şirketin oran sınırları, karmaşık doğrulama durumları, iptallerdeki gecikmeler, güven zincirlerinin oluşturulması ve köklerin dağıtımındaki gecikmelerle doğrudan ilgilenmesini sağladı.
Şirket, ACME Renewal Information (ARI) desteğini, RFC 9773'te tanımlanan standardı, sertifika verme koşulu hâline getirmeyi planlıyor. Müşterilerin yenileme noktasını izleyen, yenileme pencerelerini takip eden ve hangi sertifikanın değiştirildiğini belirleyen otomasyonları çalıştırması gerekecek. Cloudflare ayrıca imzalama katmanı için yeniden üretilebilir yazılımlar yayımlayacağını, anahtarları koruyan donanım güvenlik modülleri hakkında kanıtlar sunacağını ve sertifika verme durumu ile olayları izlemek için herkese açık bir gösterge paneli işleteceğini belirtiyor.
Kuantum sonrası sertifikalara hazırlık
Cloudflare, üretim ortamında Merkle Tree Certificates (MTCs) yayımlayan ilk sertifika yetkililerinden biri olmayı ve ilk sertifikaları 2027'nin ilk çeyreğinde vermeyi hedefliyor. Şirket bu sertifikaları, kuantum sonrası bir ortamda daha büyük geleneksel sertifika zincirlerinin TLS el sıkışma işlemleri üzerindeki baskıyı artırabileceği bir dönemde, güvenilir sertifikaları sunmanın daha verimli bir yolu olarak tanımlıyor.
Cloudflare, Chrome'un MTC'leri kuantuma dayanıklı kimlik doğrulama için tercih edilen yol olarak adlandırdığını ve IETF içinde standartlara dayalı öneriyi desteklemek üzere çalıştığını söylüyor. Geçiş anında gerçekleşmeyecek; şirket, müşterilerin kademeli olarak geçiş yapabilmesi için her iki türün de tek bir yetki ve tek bir yaşam döngüsü altında sunulmasıyla geleneksel sertifikaların yıllarca kullanılmaya devam etmesini bekliyor.
Sınırlamalar ve sonraki adımlar
Cloudflare hâlâ büyük kök programlarında akreditasyon başvuruları ve onaylar aşamasında ve geleneksel kamuya açık sertifika verme işleminin ne zaman başlayacağına ilişkin bir tarih belirlemedi. GlobalSign kökünün satın alınması planın merkezi bir parçasını oluşturuyor, ancak yeni kök programlarının gerekliliklerini tamamlamanın alternatifi değil.
certi.news'in editoryal değerlendirmesine göre duyurunun önemi, normalde ayrı ele alınan iki hedefi bir araya getirmesinde yatıyor: otomatik ücretsiz sertifika verme alanında ek bir rakip sağlamak ve kuantum sonrası gereksinimlerin ortaya çıkmasıyla WebPKI sertifika yapısındaki değişime hazırlanmak. Bununla birlikte projenin pratik değeri, kök programlarının kabulüne, satın almanın başarıyla tamamlanmasına ve Cloudflare'ın duyurunun ötesinde güvenilirliğini ve şeffaflığını kanıtlama kapasitesine, özellikle de geniş ölçekli iptal ve yenileme işlemleriyle ilgilenirken, daha sonra belirlenecek.