逗阴馆

S Mime 01-10-2023

S/MIME での CAA の採用を検討?

Stephen Davidson
CAA Adoption for SMIME Hero Image

认証局认証(颁础础)を採用すると、ドメイン所有者は电子証明书を発行できる认証局を指定できます。

最近 S/MIME ベースライン要件(BR)が採用されたことを受けて、颁础/ブラウザ(颁础/叠)フォーラムは、CAA を拡張して S/MIME 証明書を追加することを検討しています。

S/MIME BR は、メールセキュリティに用いられる电子証明书の発行を管理する標準を業界として初めて制定しており、2023 年後半に業界全体で発効する予定です。

最初の S/MIME BR が確立されたことを受けて、CA/B?のワーキンググループは、CAA の採用を含めて S/MIME エコシステムを改善する追加のセキュリティ構想にすでに着手しています。

CAA はもともと、ドメイン所有者が DNS を使用して、そのドメインに対する TLS 証明書の発行を承认された认証局(颁础)を指定する方法として、 で定義されました。CAA レコードは、ドメインの使用をめぐる保有者の管理性を強化し、意図しない証明書の誤発行リスクを軽減します。

CA は、CA/B フォーラムの TLS BR に従って、TLS 証明書の CAA チェックを採用する必要があります。何千ものドメインが、TLS 証明書のために 1 つ以上の CA を指定する CAA レコードをすでに導入しています。

S/MIME のユースケースは、TLS とはかなり異なり、個別の CAA を定義するに値するというのが根拠です。たとえば、複数の CA が自社のドメインに対して TLS を発行することを許可するものの、そのメールドメインに対して S/MIME 証明書を発行する別の CA のサブセットを承認したいと考える企業もあるかもしれません。认証マーク証明书(痴惭颁)など他の証明書は、その手続きで使用する CAA をすでに拡張しています。

S/MIME に対する CAA の適合性をめぐる議論に貢献すべく、デジサートの Corey Bonnell は、メールアドレスに対する認証局認証(CAA)処理に関するを提出しました。

S/MIME に対する CAA のインターネットドラフトでは、CAA 処理をメールアドレスに適用する方法を規定し、S/MIME の文脈で使用する新しい CAA プロパティタグ "issueemail" を定義しています。1 つ以上の "issueemail" プロパティタグを追加することで、ドメイン所有者はメールドメインに対する S/MIME 証明書の発行を承認された CA を指定できます。

CA/B フォーラムは、S/MIME BR の今後の更新で CAA を追加する投票を検討する可能性があり、証明書の発行前に CA が CAA をチェックすることが義務化されるかもしれません。

S/MIME に対する CAA の使用案に関する議論は、と、でさらに进められているところです。

UP NEXT