きっかけはAWS

先日AWSさんより以下のお達しがありました。

背景：
　2023 年 2 月 1 日から 2023 年 3 月 31 日までの間に、Amazon は Amazon が発行したすべてのパブリック証明書を、旧来の中間 CA, intermediate certificate authority (ICA) から、2022 年 10 月に導入された複数の中間 CA (ICA) /下位認証局のいずれかに移行します。
※証明書のピン留めによって既存の ICA 情報を明示的に利用しない限り、お客様による操作は必要ありません
参考：AWSドキュメント
https://docs.aws.amazon.com/ja_jp/acm/latest/userguide/troubleshooting-pinning.html

この「※証明書のピン留め」というのが証明書ピンニングというものだそうです。
参考：https://www.digicert.com/jp/blog/certificate-pinning-what-is-certificate-pinning

何がマズいの？

認証局を移行する => 違う証明書が必要になる = 今までの証明書が使えない = 通信断‼ = ~~悪即斬‼~~

AWSさんからの指令：証明書pinning をしていると影響がある可能性ありますので、確認いただけると助かります。

OK、完全に理解した。
証明書がピンニングされてるかどうか調べればいいんですね。
楽勝楽勝~~（フラグ）

とりあえずACMにあるパブリック証明書を確認してみよう。

あれ、設定ひと通り見たけどそれっぽいものが無い。。。

いや、証明書はどうやらロードバランサーに紐づいてるからそっちを見てみよう。

リスナーの「Default SSL Cert」に設定されてることは分かったが

分かったが？・・・分からん。

僕「Google先生～、証明書ピンニング確認方法～」

G先生「これとかこれとか、こんなんどう？、知らんけど」

ダメだ、解決できない（汗）

途中 teratail で同じ質問してる同志がいたが、あとから様子見に行くと削除されてた。。。

これは言い出しっぺ？のAWSさんに聞くしかない。

僕「AWSさん、たすけて」

AWSさん「参考：https://developer.mozilla.org/ja/docs/conflicting/Web/Security/Certificate_Transparency 」

HPKP の有効化
サイトでこの機能を有効化するには、サイトに HTTPS でアクセスされたとに、 HTTP の Public-Key-Pins (en-US) ヘッダーを返す必要があります。
Public-Key-Pins: pin-sha256="base64=="; max-age=expireTime [; includeSubDomains][; report-uri="reportURI"]

なるほど、このページはピンニングする側の確認方法ではないけれど、
ピンニングした証明書を使ってアクセスするためには、アクセスされるサーバー側にPublic-Key-Pins (en-US) ヘッダーを返す設定が必要なのね。
つまりサーバー側にその設定がされてるかどうか確認すればいいと。

よし、

開発チームに依頼しよう（ぶん投げ）

というわけで調査依頼を出して終了したのでした。
めでたしめでたし

そもそも

https://www.digicert.com/jp/blog/certificate-pinning-what-is-certificate-pinning
こちらでも言及されている通り、

Googleは、2011年（英語リンク）にChromeブラウザでメインWebサイトの発行認証局をピン留めしたことで、最初にピン留めを利用し始めた例の1つとなりました。
~
中略
~
安全かつ確実にピン留めを実装することの難しさから、サイトの保護よりもピン留めにより弊害が起こるケースが増えてきました。これらを含む多くの問題が見つかり、やがてGoogleとFirefoxはHPKP導入後わずか数年後にサポートをやめることになりました

2011年から数年後には非推奨となっており、プロジェクト担当のAWSさんも「おそらく大丈夫でしょう」とコメントされていました。

所感

HPKP自体は既に非推奨となってしまった技術で、これを知ったからと言って自分が開発するサービスに役立つかというと必ずしもそうではない確率が高い。
だがしかし、
インターネットの歴史の一端を垣間見れた気分で個人的には楽しかった。
（本音：~~お金貰って勉強できるの最高～~~）