逗阴馆

CA/B フォーラム 10-26-2023

デジサートの 2023 年 10 月 CA/B フォーラムのまとめ

デジサート
CA/B Forum Blog hero

デジサートは年に 3 回、认証局/ブラウザ(颁础/叠)フォーラムを构成する认証局(颁础)、业界标準団体および监査机関、証明书消费者ベンダーから成る自主的なグループに参加しており、电子証明书の発行および管理と、CA のシステムおよびネットワークセキュリティを管理する業界ガイドラインについて議論しています。

10 月はじめ、2023 年最後の CA/B フォーラムに出席するために、私たちはニューハンプシャー州を訪れました。今回の記事では、当社の顧客やパートナーに最も関係の深い最新情報とインサイトをまとめています。

Google が WebPKI に関する優先事項を発表

Google の優先事項は変わっておらず、「Moving Forward, Together(ともに、未来へ)」が焦点になっています。ただし、項目は再構築されており、以下の 3 つの優先事項がトップに並びました。

  • 自动化: 証明書は、必要なとき速やかに交換できなければなりません。Google は、CA が証明書の発行サービスを自动化して提供することを期待しており、特に ACME のサポートを推奨しています。

  • ルート有効期间の制限: Google が、有効期間の短いルート証明書がもたらす課題を認めました。

  • テストの最小要件 テスト要件は近日中に导入される予定で、ルートプログラムでは、証明书がコンプライアンスエラーなしに発行されることが期待されています。

優先事項のうち最も低いものは何かというと、3 月の CA/B フォーラムで Chrome が提案した証明书有効期间の短缩です。

待望の「BR の中の BR」

コードサイニング、TLS、S/MIME にまたがるベースライン要件(叠搁)のうち多くの部分を共有すれば、コンプライアンス要件の一贯性が促されるという信念に基づいて、デジサートは以前から「BR の中の BR」を推進してきました。CA/B フォーラムが、サーバー、コード署名S/MIME の標準で使用される共通の内容を統合した文書を作成する方向に動いたことで、業界は当社が考えることの「BR の中の BR」という目標に向けて大きく前進しました。

これで BR は、定義や検証、鍵の保護といった規定に合わせた統一的なエントリを含み、自动化ツールによって共通のソースから同じ文書を作成できるようになります。今後、個々のワーキンググループは、プロファイルなどの項目や、標準固有のカスタマイズが必要な部分のみを扱うことになります。

従来と今后の移行に関する展望

パブリック S/MIME に関する業界初の監査済み標準が 9 月 1 日に発効し、ほとんどの CA にとって移行はスムーズに進みました。その多くが、デジサートの OSS pkilint ツールを使用して S/MIME BR への準拠を検証しています。コードサイニング証明书の新しい秘密键保管要件への比较的スムーズな移行も同様で、ここでは秘密鍵と証明書をハードウェアトークンまたは署名サービスに保管することが求められています。

これ以降について S/MIME ワーキンググループは、3~5 年以内にレガシー S/MIME 証明書が廃止されると予想しています。その時点で、レガシーのプロファイルは新しい BR バージョンから削除され、証明書が多目的または厳密な生成プロファイルに該当するようを要求することになります。S/MIME 仕様 RFC の认証局認証(CAA)は先日最終的に確定され、RFC9495 として発行されました。つまり、ワーキンググループは遠からずこれを投票にかけるということです。

CA/B フォーラムではオランダ政府の代表がゲストスピーカーとして登壇し、信頼の強化における Electronic Identification, Authentication and Trust Services(eIDAS)規制の役割と、EU 圏内の電子 ID に対する影響について論じました。eIDAS 2 と Network and Information Security(NIS2)指令に伴って、さらに大きな変化が予定されています。

未来を保护する

最近のルートプログラムは、CA と協力して新しい標準のスケジュールを策定する際、合理的で柔軟な対応をしています。この柔軟性は、標準化が顧客にとって不利になるこのではなく有利になるように机能することを保証するという点できわめて重要です。デジサートは、标準化が新たな分野に进むまで、合理的なスケジュールを求め続けます。

一方、Google をはじめとするルートプログラムからのメッセージは明白です。手作業による証明书の管理と置換は、もはや受け入れられないということです。証明書の自動発行に切り替えると、CA は顧客の検証を支援し、不本意な有効期限切れを排除できます。ルートプログラムの要件に対する今後のポリシー変更は、ルートプログラムが手動の証明書発行プロセスを非推奨とみなすことを反映したものになります。

デジタルトラストに関する最新情报

S/MIMEコード署名耐量子コンピューター暗号に関する詳細をご希望ですか? 記事を見逃さないように、ぜひデジサートのブログを参照してください。