Cloudflare vill verða vottunarstjóri — skammtaheld rót er ekki tilbúin enn

Cloudflare kynnti 29. september 2026 í tilkynningu frá San Francisco áform um að verða opinber vottunarstjóri fyrir hefðbundin TLS-vottorð og skammtaþolin Merkle Tree Certificates (MTC); Matthew Prince, forstjóri fyrirtækisins, kallaði uppfærslu öryggis vefsins „one of the biggest coordination challenges in the history of the Internet“. Fyrirtækið hefur samið um kaup á rótarlyklaefni frá GlobalSign og sótt um aðild að rótarforritum Chrome, Apple, Microsoft og Mozilla. Hvorki kaupin né samþykki umsóknanna eru frágengin, og Cloudflare hefur ekki enn hafið almenna útgáfu undir eigin opinberu trausti.

Í frétt Help Net Security kemur fram að umsóknirnar séu óafgreiddar og að framleiðsluútgáfa MTC sé fyrirhuguð á fyrsta ársfjórðungi 2027. Útgáfa hefðbundinna vottorða hefst fyrst þegar samþykktarferlum lýkur; fyrir hana hefur engin dagsetning verið tilgreind. Fyrir þann sem heimsækir vef breytir tilkynningin því enn engu um hvaða nýjum vottorðum vafrinn treystir sjálfgefið.

GlobalSign-rótin opnar ekki sjálfkrafa MTC-leiðina

Vottunarstjóri sannreynir yfirráð yfir léni og tengir lénsheitið við opinberan lykil vefþjóns. Vafrinn samþykkir þá tengingu aðeins ef hann getur rakið vottorðið til rótar sem hann treystir og ef útgáfan stenst reglur viðkomandi rótarforrits. Þess vegna er hægt að vera stór notandi eða dreifingaraðili vottorða án þess að vera sjálfur opinberlega traustur útgefandi þeirra.

Rótarlyklaefnið sem Cloudflare hefur samið um að kaupa frá GlobalSign tilheyrir þegar rót sem er útbreidd í vöfrum og tækjum. Sá þáttur á sérstaklega að auðvelda dreifingu hefðbundinna vottorða á eldri síma og stýrikerfi sem fá ekki lengur uppfærslur. Til að nýta þá rót þarf að ljúka kaupunum; útgáfa hefðbundinna vottorða bíður jafnframt niðurstöðu umsóknar- og samþykktarferla rótarforritanna.

Fyrir MTC er traustkeðjan önnur. Chrome hefur skilgreint sérstaka Quantum-resistant Root Store fyrir þá gerð vottorða, aðskilda frá venjulegri rótarvistun fyrir hefðbundin TLS-vottorð. Aðgangur að eldri GlobalSign-rót flytur því ekki MTC-rót Cloudflare inn í nýja kerfið. Fyrirtækið þarf einnig að sækja um þar og sýna að útgáfa, rekstur og óháð eftirlit uppfylli sérstakar kröfur þess.

Í tæknilýsingu Cloudflare kemur fram að fyrirtækið stefni að inngöngu í þessa rótarvistun snemma árs 2027 og ætli að bjóða staðlaða MTC-útgáfu án gjalds. Tímasetningin er markmið fyrirtækisins, ekki staðfestur dagur fyrir traust Chrome.

Merkle-tré flytur undirritunina frá hverju vottorði

MTC eiga að draga úr því gagnamagni sem vafrar og gagnsæisskrár þurfa að meðhöndla. Skammtaþolnar undirritanir eru mun stærri en þær hefðbundnu, en í venjulegri vottorðakeðju eru undirritanir tengdar einstökum vottorðum og millisvottunarstjórum. Ef skipt væri beint yfir í stærri undirritanir án breytinga á skipulaginu myndi hver TLS-tenging bera meiri gögn.

Í MTC-fyrirkomulaginu kannar útgefandinn fyrst hvort umsækjandi ráði yfir léninu og skráir síðan lén og opinberan lykil í gagnsæja útgáfuskrá sem er byggð sem Merkle-tré. Hann undirritar stöðu trésins í stað þess að undirrita hverja færslu sérstaklega. Vefþjónninn sendir vafranum stutta innifalningarsönnun sem sýnir að færslan sé hluti af undirritaðri stöðu. Vafrinn notar síðan TLS-undirritun þjónsins til að sannreyna að hann ráði yfir einkalyklinum sem samsvarar opinbera lyklinum.

Útgáfa og skráning verða þannig sami hluti ferlisins: vottorð verður ekki til utan skrárinnar og bætt við síðar til gagnsæis. Óháður speglunaraðili geymir afrit hennar, fylgist með því að nýjar stöður bæti aðeins færslum við og samundirritar stöðuna. Það gefur öðrum aðilum færi á að sjá ef útgefandinn reynir að sýna ósamrýmanlegar útgáfur af því hvaða vottorð hann hefur gefið út.

Mesta sparnaðinn í sjálfri TLS-tengingunni fæst þegar vafrinn hefur þegar fengið staðfesta viðmiðunarstöðu trésins eftir annarri leið, til dæmis með uppfærslu. Þá þarf vefþjónninn aðeins að senda stutta innifalningarsönnun og gögn sem tengja lénið við lykilinn; stóru skammtaþolnu undirritanirnar fylgja ekki hverri tengingu. Vafri sem vantar þessa viðmiðunarstöðu þarf hins vegar sjálfstætt MTC með meiri staðfestingargögnum, svo fyrirkomulagið verður að styðja báðar leiðir.

Chrome-prófunin staðfesti samskipti, ekki nýtt rótartraust

Cloudflare og Chrome prófuðu MTC í raunverulegum TLS-tengingum með tilraunaútgefanda, en hver tenging var jafnframt studd af hefðbundinni vottorðakeðju. Þannig gat vafrinn reynt nýju innifalningarsönnunina án þess að öryggi tengingarinnar hvíldi á óstaðfestri MTC-rót. Prófunin sýndi að hægt er að afhenda og sannreyna slík gögn í vafra, en almennt traust á skammtaþolnum vottorðum Cloudflare var ekki hluti af henni.

Undirritanirnar í prófuninni voru hefðbundnar. Mælingar á stærð eða hraða þeirra tenginga segja því til um hvernig MTC-skipulagið hagar sér við þær aðstæður, ekki hver árangur fullbúins skammtaþolins útgáfukerfis verður. Breytingin snýst um auðkenningu vefþjóns og flutning vottorðagagna; samkomulag vafra og þjóns um dulkóðunarlykil er annar hluti TLS og þarf sína eigin skammtaþolnu útfærslu.

Tvær samþykktarleiðir ráða því hvenær vafrar treysta útgáfunni

Til að nýta GlobalSign-rótina þarf að ganga frá kaupunum á rótarlyklaefninu, en útgáfa hefðbundinna vottorða bíður afgreiðslu rótarforritanna. Á MTC-leiðinni þarf sérstakt mat Chrome á nýrri rót, útgáfuskrá, speglun og samundirritun. Fyrirhuguð framleiðsluútgáfa MTC og sjálfgefið traust vafra eru því tvö aðskilin skref, þótt þau séu bæði hluti af sömu áætlun fyrirtækisins.

Cloudflare hyggst bjóða hefðbundin vottorð og MTC í sama þjónustukerfi, svo vefir gætu síðar fengið báðar gerðir án þess að skipta um útgefanda. Það breytir ekki mati einstakra vafra á því hvort þeir samþykki nýju rótina. Næsta afgerandi niðurstaða fyrir gesti íslenskra vefja verður formleg ákvörðun rótarforritanna og, fyrir skammtaþolnu leiðina, hvort Chrome taki MTC-rót Cloudflare inn í traustkerfi sitt.

Lestu einnig:

• Claude fann CRISPR-líkt kerfi — enginn veit enn hvað það gerir
• Tailscale eða Cloudflare Tunnel: einkanet og vefgátt eru ekki sami hlutur
• NIST vill varanlegt auðkenni en skammlífa lykla fyrir gervigreindarfulltrúa