@staylightblow8：Let's Encrypt 每天签发约 1000 万张免费 TLS 证书，服务超过 5 亿个网站，而 Cloudflare…

X AI KOLs Timeline 新闻
cloudflare lets-encrypt pki tls-certificates security internet-infrastructure certificate-authority

摘要

Cloudflare 正准备成为一家证书颁发机构（CA），此前已收购了 GlobalSign 的根证书。这一举动的动机在于，免费 TLS 证书市场过度依赖 Let's Encrypt 存在系统性风险。此举引发了疑问：它会让 Web PKI 更加去中心化，还是会制造一个更大的中心化节点？

Let's Encrypt 每天签发约 1000 万张免费 TLS 证书，服务超过 5 亿个网站，而 Cloudflare 自身就是它最大的用户之一。但如今，Cloudflare 正准备亲自成为一家 CA。更有意思的是，Cloudflare 已经收购了一张被主流浏览器、操作系统和设备信任的 GlobalSign 根证书。 为什么要亲自做这件事？Cloudflare 的理由很直接：免费证书的 CA 过度集中，存在系统性风险。如果 Let's Encrypt 出现大规模故障，目前大多数网站都缺乏同样免费、自动化且广泛兼容的替代方案。 这其实是互联网基础设施领域一个引人深思的问题：一旦某个开源/免费基础设施变得极其重要，其集中度本身就可能成为一种风险。 Cloudflare 成为 CA 会让 Web PKI 更加去中心化，还是会造就另一个更大的中心化节点？
查看原文

相似文章

Cloudflare 计划签发抗量子 TLS 证书

Ars Technica

Cloudflare 计划通过 Merkle Tree Certificates 签发抗量子 TLS 证书，用紧凑的 Merkle Tree 证明取代易受量子攻击的签名链，并将证书签发与透明度日志相绑定。预计将于 2027 年第一季度开始签发。

Let's Encrypt的后量子未来

Hacker News Top

Let's Encrypt宣布计划采用Merkle Tree证书进行后量子认证，以应对Web PKI中向后量子签名迁移日益增长的紧迫性。

内部服务的TLS证书正确实践

Hacker News Top

介绍了如何使用分视域DNS、带DNS解析器的VPN以及ACME客户端（如acme.sh配合Let's Encrypt）来为内部服务设置TLS证书，为自签名证书提供了实用的替代方案。

# 黑客获取 Google 等大型服务的伪造 TLS 证书 黑客已成功获取伪造的 TLS 证书，这些证书可用于冒充 Google 及其他大型服务提供商。这类证书通常由不受信任的证书颁发机构（CA）签发，或通过欺诈手段获得，能够欺骗浏览器和应用程序，使其误认为与目标服务建立的安全连接是真实的。 一旦攻击者持有了此类证书，便可以实施中间人攻击（MITM），拦截并窃取本应加密的用户流量，包括登录凭据、会话 Cookie 和其他敏感数据。 此次事件再次凸显了证书颁发流程以及证书透明度（Certificate Transparency）等监督机制的重要性。浏览器和操作系统厂商也在不断收紧对不受信任 CA 的信任，以降低伪造证书带来的风险。建议用户保持系统与浏览器更新，并关注各厂商针对受影响 CA 发布的处置公告。

Ars Technica

黑客劫持了国家顶级域（ccTLD）的域名注册管理机构，通过操纵 DNS 记录通过域名控制验证，从而获取 Google 及其他大型服务的伪造 TLS 证书。