逗阴馆

CA/B フォーラム 01-10-2024

S/MIME への CAA の拡張に向けた CA/ブラウザフォーラム投票

Stephen Davidson
CAB Forum Blog Hero Image

CA/B フォーラムは、认証局(颁础)に対して、S/MIME 証明書に含まれるメールアドレスの CAA(CA 認証)処理を採用するよう要请する投票を开始しました。

管理をドメイン所有者の手に

CAA はもともと、.rfc-editorドメイン所有者が DNS を使用して、そのドメインに対する TLS 証明書の発行を承認された CA を指定する方法として、 で定義されました。CAA レコードは、ドメインの使用をめぐる保有者の管理性を強化し、意図しない証明書の誤発行リスクを軽減します。

新しい CA/B フォーラムの要件では、S/MIME ベースライン要件を修正して、CAA の採用がパブリックトラストの S/MIME 証明書にまで拡大されます。これは、.rfc-editorデジサートのテクノロジーストラテジストである Corey Bonnell が执笔した新しい に従ったものです。

RFC 9495 では、CAA 処理をメールアドレスに適用する方法が規定され、S/MIME の文脈で使用する新しい CAA プロパティタグ "issueemail" が定義されています。1 つ以上の "issueemail" プロパティタグを追加することで、ドメイン所有者はメールドメインに対する S/MIME 証明書の発行を承認された CA を指定できます。

SMC05 投票で提案されたタイムライン

CA/ブラウザフォーラムの S/MIME 証明書ワーキンググループは、の最終段階に入っています。この投票の提案によると、CA は 2024 年 9 月までに S/MIME に CAA を導入することが推奨され、2025 年 3 月までの導入を義務付けられます。

CAA の利用はドメイン所有者にとってオプションのセキュリティ手法ですが、S/MIME 証明書を発行する前に CAA のチェックを実施することが、パブリック认証局にとって必須となります。

デジタルトラストに関する最新情报

証明书管理エンタープライズセキュリティPKI などのトピックについて詳細をご希望ですか? 記事を見逃さないようにデジサートのブログを参照してください。