こんにちは、GMOコネクトの名もなきエンジニアです。
よろしくお願いします！
日刊IETFは、I-D AnnounceやIETF Announceに投稿されたメールをサマリーし続けるという修行的な活動です！！
今回は、2026-04-02（UTC基準）に公開されたInternet-DraftとRFCをまとめました。Part 2です。
- Internet-Draft: 34件
- RFC: 1件
参照先:
📌 この記事でわかること
- 米国CNSA Suite 2.0が定めるPQC移行プロファイル（CMC・PKIX・TLS 1.3）の全体像がわかります
- エージェントシステムのインテントベースリクエストに潜むセキュリティ脅威を体系的に学べます
- DKIMやARCに代わる転送耐性のあるメール認証技術SEALの仕組みを知ることができます
その日のサマリー & Hot Topics
- Part 2では、CNSA Suite 2.0関連の3本のドラフトが目を引きます。証明書管理、証明書・CRLプロファイル、TLS 1.3プロファイルの各仕様が耐量子暗号への移行を見据えて改訂されました。またIKEv2のダウングレード攻撃防止拡張やRPKIトラストアンカーの選択ルールなど、インターネット基盤のセキュリティを底上げする提案が複数あります。エージェントシステムのインテントベースリクエストに対するセキュリティ分析も新規ドラフトとして登場し、AI時代の新たな脅威への対応が進み始めています。
- 米国のCNSA Suite 2.0は、PQCへの移行を見据えた暗号アルゴリズム方針であり、今回CMC、PKIX、TLS 1.3の3つのプロファイルが更新されました。また、draft-jiang-intent-securityはエージェントが自律的にタスクを実行するシステムにおいて、インテントの改ざんや権限昇格、インテントドリフトなどの脅威を体系化した注目のドラフトです。脅威インテリジェンスの安全な共有に関するdraft-grimminck-safe-ioc-sharingも改訂が進み、セキュリティ運用の現場に直結するドラフトが揃っています。
投稿されたInternet-Draft
Commercial National Security Algorithm (CNSA) Suite 2.0 Profile for Certificate Management over CMS
米国のCommercial National Security Algorithm（CNSA）Suite 2.0に準拠したCertificate Management over CMS（CMC）のプロファイルを定義するドラフトです。X.509公開鍵証明書をCMS上で管理するための手順を規定しており、米国国家安全保障システム（NSS）の全コンポーネントに適用されます。高価値情報を扱うその他の米国政府システムにも適用が推奨されています。本ドラフトはCNSA 1.0ガイダンスであるRFC 8756を廃止する位置づけです。
Draft Link
Commercial National Security Algorithm (CNSA) Suite 2.0 Profile for Certificates and Certificate Revocation Lists
CNSA Suite 2.0に準拠したX.509 v3証明書およびX.509 v2証明書失効リスト（CRL）のプロファイルを定義するドラフトです。米国国家安全保障システム（NSS）の全コンポーネントで使用されるX.509証明書の能力、設定、運用に適用されるほか、高価値情報を処理するその他の米国政府システムにも利用が推奨される仕様です。CNSA 1.0のガイダンスであったRFC 8603を正式に廃止し、耐量子暗号アルゴリズムへの移行方針を反映した新しいプロファイルとしてより体系的に整備されています。
Draft Link
Commercial National Security Algorithm (CNSA) Suite 2.0 Profile for TLS 1.3
CNSA Suite 2.0に準拠したTLS 1.3のベースプロファイルを定義するドラフトです。CNSA 2.0は米国政府が公表したサイバーセキュリティ勧告であり、国家安全保障向けアプリケーションで使用すべき耐量子暗号アルゴリズムの方針を規定しています。本プロファイルは米国国家安全保障システム（NSS）でTLS 1.3を使用するすべてのコンポーネントの能力・設定・運用に適用されるほか、高価値情報を処理するその他の政府システムにも利用が推奨されます。開発者および運用者が広く利用できるよう公開された仕様です。
Draft Link
Downgrade Prevention for the Internet Key Exchange Protocol Version 2 (IKEv2)
IKEv2プロトコルにおけるダウングレード攻撃を防止するための拡張を詳しく述べるドラフトです。通信を行うピア同士が同一の会話セッションに参加していることを暗号学的に相互確認する仕組みを新たに導入しています。これにより、攻撃者がプロトコルのネゴシエーション段階において暗号スイートやセキュリティ機能をより弱い設定へ誘導するダウングレード攻撃を検知し阻止できるようになります。RFC 7296を更新する内容であり、既存のIKEv2実装に対して後方互換性を確保した拡張として慎重に設計されている点が特徴です。
Draft Link
Tiebreaking Resource Public Key Infrastructure (RPKI) Trust Anchors
RPKIにおけるトラストアンカー（TA）は自己署名X.509 CA証明書で表現されますが、リライングパーティ（RP）は時間の経過に伴い同一TA運用者から複数の異なる有効なTA証明書を取得することがあります。本ドラフトは、RPが認証パス検証に使用する1枚のTA証明書を的確に選択するためのタイブレーク方式を定義しています。複数の有効なTA証明書が存在する状況において、一貫性のある選択基準を提供することでRPKI検証の安定性を向上させる狙いがあり、RFC 8630を更新するものとして位置づけられています。
Draft Link
A Standard for Safe and Reversible Sharing of Malicious URLs and Indicators
脅威インテリジェンスおよびセキュリティコミュニティで使用される、悪意あるIOC（侵害指標）の安全な共有と難読化の規則を標準化するドラフトです。URLやIPアドレス、メールアドレス、ドメイン名といったIOCが表示・送信される際に、誤って実行やアクティベートが発生するリスクを低減する目的で、URIスキーム名を角括弧で囲む難読化形式を推奨しています。レガシーなスキーム置換トークンも相互運用性を確保するために定義されており、脅威インテリジェンスデータを交換するツールやフィード間の互換性向上を目指しています。
Draft Link
A YANG Data Model and RADIUS Extension for Policy-Based Network Access Control
ポリシーベースのネットワークアクセス制御を実現するための新たなYANGデータモデルを定義するドラフトです。グループIDに基づくアクセス制御ポリシーの適用を可能にするとともに、ACLに日付・時刻パラメータを追加してスケジュール対応のポリシー運用もサポートします。ユーザ認証によりネットワークアクセスが起動されるシナリオでは、ユーザグループ識別子とパケットヘッダフィールドの対応づけを容易にする仕組みを提供しています。さらにRADIUSアトリビュートによるグループ識別子の伝達も定義されている点も特徴です。
Draft Link
EDNS options for filtering information
フィルタリング、ブロック、または検閲されたDNS応答に関する情報を返却するためのEDNSオプションおよび手法を詳しく述べるドラフトです。EDNS拡張DNSエラー（RFC 8914）で定義されたINFO-CODE値を新たに追加で定義し、DNSレスポンスがフィルタリングされた理由や背景をクライアントに対して構造的に伝達する仕組みを提供します。RFC 8914が提供する既存の情報を補完する位置づけであり、DNS運用における透明性の確保とトラブルシューティング効率の向上に大きく寄与する仕様となっています。
Draft Link
Security Considerations for Intent-Based Requests in Agentic Systems
エージェントシステムにおけるインテントベースリクエストのセキュリティ分析を提供する新規の提案ドラフトです。インテントとは、ユーザやアプリケーション、エージェントが具体的な手順を指定せずに目標と制約だけを表明するリクエスト方式のことです。こうしたインテントは実行可能なディレクティブに変換され複数のエンティティ間を伝搬するため、改ざん、権限昇格、制約バイパス、インテントドリフトといった攻撃面が拡大します。参照モデルとシナリオを提示し、制約検証やマルチホップの管理連鎖に関する要件を体系的に整理しています。
Draft Link
Use Cases for Authentication of Web Bots
Web上で動作するボットクライアントの認証に関するユースケースを体系的に整理するドラフトです。WebBotAuthワーキンググループにおける議論のスコープと意図を明確化することを目的として作成されたものです。Webクローラや各種自動化ツールなどのボットが自らの正当性をサーバに証明し、信頼関係を構築するために求められる認証要件を、具体的なシナリオに基づいて列挙しています。悪意あるボットと正当なボットをどのように区別するかという課題に対し、標準化の方向性を探るうえでの基礎文書として位置づけられています。
Draft Link
Signed Email Authentication Layer (SEAL)
Signed Email Authentication Layer（SEAL）を定義する新規ドラフトです。SEAL-Envelopeという新たなメッセージヘッダフィールドに暗号署名された識別情報エンベロープを搬送し、メール転送に対して耐性のある安定したID表明を提供します。従来のDKIMやARCがRFC 5322ヘッダやメッセージ本文といった可変な要素に依存する点を克服し、中間者を経由しても改ざんを検知できる正規化された識別レイヤを実現します。DKIMやARCを補完または補完あるいは代替する設計方針です。
Draft Link
Adapting Constrained Devices for Post-Quantum Cryptography
IoTノードや軽量ハードウェアセキュリティモジュール（HSM）などリソースに制約のあるデバイスにPQCを統合するためのガイダンスを提供するドラフトです。処理能力、RAM、フラッシュメモリに厳しい制限があり、バッテリ駆動の場合もある環境を主な対象として想定しています。シードベースの鍵生成による永続ストレージの最小化、一時鍵の効率的な管理、低リソース環境での暗号処理のオフロードといった手法を取り上げた内容です。制約デバイスにおけるファームウェア更新メカニズムへのPQCの影響についても踏み込んで考察しています。
Draft Link
QMux
QMuxバージョン1の仕様を定義するドラフトです。QMuxはTLSなどの双方向ストリーム上において、QUIC v1がアプリケーションに提供しているのと実質的に同等のストリーム操作とデータグラム操作を実現するプロトコルです。QUICのトランスポート機能をTLS接続上で利用可能にすることで、QUICが直接使用できないネットワーク環境においても同様のマルチストリーム・データグラム通信を実現できるようになります。QUICワーキンググループのメーリングリストで活発に議論が進められているドラフトとなっています。
Draft Link
OAuth Profile for Open Public Clients
JMAP、IMAP、SMTP、POP、CalDAV、CardDAVといったオープンプロトコルを使用するネイティブクライアントとサーバ間の相互運用性を実現するために、OAuth認可プロトコルのプロファイルを規定するドラフトです。オープンなパブリッククライアントを対象として設計されており、メールクライアントやカレンダーアプリケーションなどに対してOAuthベースの認証・認可を統一的かつ安全に適用する枠組みを提供します。プロトコルごとに異なる認証方式を統合するモダンかつ統一的な認可フローを実現する仕様です。
Draft Link
発行されたRFC
Some Key Terms for Network Fault and Problem Management
ネットワークの障害管理と問題管理において基盤として欠かせない用語を定義するRFCです。IETF内で行われるネットワーク障害・問題管理に関する議論や作業に共通の理解をもたらすことを目的としています。とりわけ、YANGデータモデルや管理プロトコルにおいて障害の報告・可視化・管理を適切に行ううえで必要となる用語を明確化することを意図しています。障害と問題の違いをはじめ、関連する概念の定義を体系的に整理・定義した文書であり、ネットワーク運用管理の標準化議論を支える基盤として幅広く活用されるドキュメントです。
RFC Link
編集後記
- Part 2ではCNSA Suite 2.0関連のドラフトがなんと3本も揃い踏みで、PQCへの移行がいよいよ具体的なプロファイルとして整備されてきた感がありますね。証明書管理、PKIX、TLS 1.3とレイヤごとにきっちりと漏れなく揃えてくるあたりに、米国政府の本気度がひしひしと伝わってきます。もうひとつ気になったのはSEALで、DKIMやARCの弱点だったメール転送時の署名破壊問題に正面から取り組むアプローチが新鮮でした。メール認証の世界がまた一歩前に進みそうで、今後の展開が楽しみで仕方ありません！
最後に、GMOコネクトでは研究開発や国際標準化に関する支援や技術検証をはじめ、幅広い支援を行っておりますので、何かありましたらお気軽にお問合せください。