はじめに
どうも、去年のAdventCalenderがQiita初投稿でしたが、今年のCalenderで２投稿目という、itamitoです。
まずは…ごめんなさい。
何に？
- 12/9までに記載しなければならない本記事、時間オーバーでした。かつ、中途半端で公開してます…
- 「Qiitaは、プログラミングに関する知識を記録・共有するためのサービス」を今知りました。本記事はプログラミングには関係しないかも。
と、謝っておきます。
さて…そんな中途半端な記事ですが…去年は証明書の選ぶときの一助…みたいな記事を投稿させていただいたので、なんとなく関連しているものとして、今年はCA/Browser forumの流れなどを起点に、証明書の世界の行く末を占う意見を載せたいと思います。（また、誰得な記事）
CA/Blowser forumってなに？
あまり知らないですよね、かくいう自分もいろいろ仕様変更が乱発されるようになってから知りました。つぎの説明参照。
https://jp.globalsign.com/blog/2013/cabrowserforum.html
https://www.nic.ad.jp/ja/basics/terms/ca_browser_forum.html
（説明めんどくさい…いい説明があったので、紹介！）
一言でいうと、
・証明書にかかわる主要な会社(CAとブラウザベンダー)が、現在のトレンドやセキュリティ技術などをみて議論する場（仕様変更含む）
・CA自体を承認する場
ですね。
最近の議論と、その結果は？
詳しい人は良く知ってると思うんですけど、最近、CA/B発祥の証明書仕様変更が多いですね。
今年分だけでも…
1.長期証明書の発行終了(Ballot193によるもの)
825日以上の有効期間をもつ、エンドエンティティ証明書の発行をしない
といったもの。もともとはBallot185で否決されたもの
2.CAによるCAAレコードチェックの義務化
など、結構大きな変更が決められているようです。
ちなみにCA/Bでの決議採択は投票により決められるようなんですが、否決されたものでは次のようなものがあるようです。
1.長期証明書の発行終了（Ballot193に引き継がれてます）
2.SANsなどにアンダースコア文字を使えるようにするもの
最近(2013年ごろから？)は、ブラウザベンダーの力が強くなっているようで、議論の開始はブラウザベンダーからが多いように見受けられます。
CAたちに比べてブラウザベンダーの数が少ないので、投票の重みも大きいことで意見集約等がしにくいとかも一因としてはありそうです。
けど、本質的な部分では、CA陣営がいろんなミスを頻発させたことによるものが大きい気がします。
たとえば
- ComodoやDiginotarがシステムを乗っ取られた事件
- Wosign(Startcom)が不正な発行をしていた（サブドメインの管理権のみで発行できた)
- Symanteが所有権のないドメインのテスト証明書を発行してた件
などなど…
Symantecさんもこのあたりの力関係に負けたのかな？
周辺は？
テスト証明書を不正に発行したせいで、mozilla.dev.securityなどで議論されて結局Digicertに買収される形になったSymantecの件は、ほかにも影響を及ぼしているようです。
Certificate Transparencyの仕様変更がらみでCTログサーバに登録が義務化された背景に、この証明書不正発行たちがあったようですし。
けど…Googleって、自分が自分のために認証局を運営し始めてるので…
http://www.itmedia.co.jp/enterprise/articles/1701/27/news058.html
これも結構グレーなんじゃないかと思うなぁ。rootはGlobalsignだけど。
今後のこのあたりの進む先…
ブラウザベンダーなどは、セキュリティ面を考慮して、期間の極端に短い証明書の発行を望んでいるようです。
この望みはわかる気がします。今後量子コンピュータのような計算がとても速くできる機構が生まれたとき、現在の２年物の証明書が発行されていた場合は解読された場合の影響が大きいので…。(再発行とか含めて)
ただ、個人的にはこれは、「ログインパスワードを定期的に変更しましょう」と同じ理屈で、リスクの軽減方法でしかないと思うので、意味としては薄そうに感じます。
ただ、管理の面からもあまりに長い有効期間の発行は良くないと思うので、いまよりも短縮されるでしょう。私見ですが、１年物よりも長いものは発行されなくなりそうだと、思います。
ここからはちょっと邪推かもしれませんが…
IoT機器を意識すると、小型コンピュータにファームウェアレベルで証明書を組み込むパターンが多くあると思います。
こういった場合に、あまり期間の短い証明書を発行されると、入れ替えが難しいために困りますよね。
そうするとIoTのメーカーは、そもそもCAを利用せず独自の仕組みを利用するようになるでしょうから、CAを使わなくなるのでは？と思います。
で…一種のCAが関与する部分の引きはがしを図っているようにも考えることができるかなと。
最後に
だいぶ中途半端に意見を書いてきましたが、中には解釈の間違い等あると思います。
また、もうちょっと書きたいな～と思ってたこともあったのですが、時間切れで書けませんでした。またの機会に記事書きなおすかも…です。
つたない文章でしたが、読んでくださった方、ありがとうございました。