逗阴馆

CA/B フォーラム 06-15-2023

デジサートの 2023 年 6 月 CA/B フォーラムのまとめ

デジサート
逗阴馆’s June 2023 CA/Browser Forum Recap

デジサートは例年どおり、今年 6 月に Microsoft が主催した CA/B フォーラムのミーティングに参加し、当社の顧客およびパートナーに関連する重要な論点を共有しました。

主な论点

現在、CA/B フォーラムで目にする主なテーマは、自动化、ベースライン要件(BR)の年間変更回数の削減、さまざまなステークホルダーからの意見を取り入れることです。

第一に、CA/B フォーラムは、自动化の導入をどのように促進できるかに関心を示しています。自动化によってプロセスが簡素化されて人的ミスが排除され、セキュリティが向上することで、業界にとって利益になるというのが一般的なコンセンサスです。Chrome が提案している証明书の期間短縮、新たな検証プロセスなどは、すべて自动化を中心とする発想です。一般的な企業は 50,000 以上の証明书を管理しているので、企業も自动化には注力しています。最近デジサートが実施した调査によると、企業の 91% が PKI の自动化を望んでおり、70% が近い将来、自动化を導入しようとしているといいます。したがって、CA/B フォーラムが自动化についても議論しているのは驚くに当たりません。

また、BR の変更は 1 年に数回までとし、変更による負担を減らすとともに、一度に実施する投票の数を簡素化すべきだという議論も出てきています。しかし現時点では、いつ実施するかというスケジュールは決まっておらず、あくまでも議論の段階です。

また、CA/B フォーラムは、各業界のさまざまなステークホルダーグループからの参加を促すために、細則を改定しています。それが進めば、インターネットにおけるデジタルトラストを支える标準についての意思决定に関わる业界から広く意见が反映されます。

Chrome が提案する 90 日間の証明书

前回の更新でご存じの方も多いように、今年はじめに Chrome は、「Moving Forward, Together(ともに、未来へ)」と題して Chrome のルートポリシーに関するビジョンを発表しました。その中で、ことや、ICA のローテーション頻度を高くすることが提案されています。ただし、Chrome はこの提案について特に何も決定しておらず、期限も明示していません。現在 Chrome は、自动化の推進につながる証明书の有効期間短縮に向けた適切な時間枠について、コミュニティからのフィードバックを要請しているところです。自动化の普及に伴って、Chrome は今後、認証局(CA)に対し、ACME またはその他の自动化ソリューションをルートプログラムに含めるよう求める予定です。

CA/B フォーラムに提出された投票案によると、有効期間の短くなった証明书の失効サービスをサポートする必要はなくなりますが、Microsoft からは、同社のルートプログラムで CA によるオンライン証明书ステータスプロトコル(OCSP)のサポートを引き続き要求すると発表しました。

S/MIME ベースライン要件

今回のミーティングでは、いくつかのルートプログラムで、9 月 1 日から公的に信頼されるメール用証明书の S/MIME BR に準拠するよう CA に要求することが確認されました。ポリシーの更新に従って、主なルートプログラムでは、CA が 2024 年末までに監査に S/MIME BR を含めることを義務付けられると定められています。

新しい標準を導入するときの複雑さを踏まえ、準拠するエンドエンティティ証明书の発行に対応できる限り、既存の S/MIME CA を使用できる移行期間を認めることが合意されています。今後実施される投票では、完全準拠の発行 CA に移行する期限の延期が提案される予定です。

追加投票では、(EdDSA 証明书などに関する)S/MIME BR が修正されるとともに、既存の内部業務記録に基づいて利用者に証明书を発行できるなど、企業 RA(Registration Authority)の役割と責任をはじめとするトピックが明確化されます。

ドメイン検証の自动化

TLS BR には、ドメイン制御を検証するオプションがいくつかあります。顧客がDNS設定に変更を加えるのもそのひとつで、これは定期的に更新する必要があります。DNS や証明书管理は、組織で異なるチームが担当することも多いため、これは自动化にとって障害になる場合があります。自动化への関心が高まる中、CA/B フォーラムは、顧客に必要な手動の更新を減らして、DNS チャレンジ方式を継続的に使用できるように、DNS 方式を適応させることを望んでいるようです。こうした変更案については、読者の皆様に随時お知らせいたします。

ソフトウェアサプライチェーンの完全性

法律や業界の規制に伴って、組み込みツールキットやコードの相互依存性といったソフトウェアのセキュリティを証明することを組織に求めるケースが増えています。コードサイニングワーキンググループのミーティングでは、Microsoft が?に関する背景情报を公开しました。これは、デジタル资产と物理的资产の両方について、その完全性、透明性、信頼性の向上に役立つ相互运用可能な构成要素を标準化するものです。

Microsoft は、SCITT のように標準化されたクロスプラットフォームのアプローチが次世代のコードサイニング技術の基本だと考えています。IETF におけるこの重要なプロジェクトはまだ始まったばかりですが、最近ので描かれている未来をサポートする基础となるものです。

詳細は 10 月の続報にて

GlobalSign は、2023 年 10 月初旬にニューハンプシャー州で、CA/B フォーラムの次回ミーティングを開催する予定です。CA/B フォーラムの最新情報については、デジサートのブログ(www.digicert.com/jp/blog/category/ca-browser-forum)を参照してください。

UP NEXT
自动化

有効期間の短い証明书と自动化が有効な理由

5 Min