クライアント証明書発行プロトコルの比較

CA局機能は広範囲に渡りますが、クライアント証明書発行ツールとして機能を絞った場合にどのプロトコルを採用するのがベストか？という観点としてまとめました。

要約

プロトコル	概要
CMP	・証明書管理に関する機能を普く提供する。・様々な証明書フォーマットに対応する。　・比較的重たい
SCEP	・軽量な実装で広く使われている。・証明書管理全てを提供しているわけではない。・RSAのみをサポート
ETS	・SCEPの後継として開発された。・楕円曲線暗号を扱うことができる。

クライアント証明書は、サーバーとクライアント（ウェブブラウザなど）の間の通信を安全にするために使用されるデジタル証明書です。

クライアント証明書は、以下の役割を持っています。

クライアント証明書には期限があります。一般的には、1年や2年などの期間が設定されています。期限が切れた場合は、新しい証明書を取得する必要があります。

クライアント証明書は、認証局（CA）から取得することができます。一般的には、証明書の申請手続きを行い、申請者の正当性を確認した上で、証明書を発行してもらいます。本記事では、この発行プロトコルの比較を行います。

The Certificate Management Protocol (CMP) はEJBCAにサポートされた最も古いプロトコルです。CMPは1999年にRFC 2510 で、CMPv2が2005年に RFC 4210 でまとめられました。

Initialization Request (IR)
- 新しいデバイスをPKIに追加するために使用
- 成功したリクエストは証明書の発行に結びつき、その証明書を使用して後続のCMPメッセージに署名
Certification Request (CR)
- 既にPKIの一部となっているデバイスの追加証明書を取得するために使用
Key Update Request (KUR)
- 証明書の更新または再発行をリクエストするために使用
CA間の相互認証
5.証明書失効管理
証明書とCRLの検出

CMPと同じく長い歴史を持つプロトコルです。2020年にRFC 8894 を最終公開しました。軽量でシンプルな実装を目指しており、CMPより機能が限定的です。Cisco社によって開発されました。

HTTPベースのリクエスト/レスポンスモデルを採用
RSAベースの暗号化のみをサポート
証明書リクエスト形式にはPKCS#10を、暗号化された/署名されたメッセージを伝達するためにはPKCS#7を使用
サーバーによる非同期承認をサポートし、リクエスターによる定期的なポーリングを行う
CRLの取得に関しては、CRL配布ポイント（CDP）クエリを使用することが推奨されており、オンライン証明書失効をサポートしていない
Certificate Signing Request（CSR）内にチャレンジパスワードフィールドを使用する必要があり、このパスワードはサーバーとリクエスターの間でのみ共有されるようにする必要がある

SCEPの後継として開発されました。 RFC 7030 にまとめられています。

今回はクライアント証明書発行プロトコルの比較を行いました。多機能を提供するCMP、軽く広く使われているSCEP、SCEPの後継でTLSに基づいたETSなど様々なプロトコルが存在します。みなさんの用途に応じて取捨選択して頂けたらと思います。