Cloudflare wird eigene Certificate Authority mit Post-Quantum-Plan

Zwölf Jahre nach Universal SSL zieht Cloudflare die nächste Konsequenz: Das Unternehmen kündigt an, eigene öffentliche Certificate Authority zu werden. Bisher war Cloudflare einer der größten Zertifikatskunden im Netz und hat nie selbst eines ausgestellt. Konkret bewirbt man sich bei den Root-Programmen von Chrome, Apple, Microsoft und Mozilla und kauft zusätzlich einen etablierten, breit vertrauten Root von GlobalSign, der seit 2012 in Browsern und Geräten steckt. Damit erreicht man auch die Client-Langschwanzzähler, die ein frischer Root jahrelang verpasst.

Der Systemrelevanz-Hintergrund ist bemerkenswert offen formuliert: Let’s Encrypt stellt rund zehn Millionen Zertifikate pro Tag aus, bedient über 500 Millionen Sites und überschritt 2025 vier Milliarden aktive Zertifikate. Hätte dieser dominante kostenlose CA eine schlechte Woche, fehlte dem Netz eine vergleichbare Alternative. Cloudflare will genau diese Redundanz liefern, ACME-first und kostenlos, wechselbar allein durch eine andere Directory-URL. Auflage für die Ausstellung: Client-Automation mit ARI (RFC 9773) ist Pflicht.

Zugleich peilt Cloudflare die Post-Quantum-Zukunft an: Man will eine der ersten CAs sein, die Merkle Tree Certificates produktiv ausstellt, angepeilt für Q1 2027, passend zu Chromes neuem Quantum-resistant Root Program. MTCs sind die kompakte Alternative zu aufgeblähten PQ-Signaturen. Dazu verspricht man reproduzierbare Builds der Signier-Software, attestierte HSMs und ein öffentliches Dashboard für Issuance-Gesundheit.

Link: blog.cloudflare.com