(Translated by https://www.hiragana.jp/)
証明書の透明性 - Wikipedia コンテンツにスキップ

証明しょうめい書しょの透明とうめい性せい

出典しゅってん: フリー百科ひゃっか事典じてん『ウィキペディア（Wikipedia）』

証明しょうめい書しょの透明とうめい性せい（英えい: Certificate Transparency、CT）は、デジタル証明しょうめい書しょの発行はっこうの監視かんし・精査せいさを目的もくてきに策定さくていされたインターネット標準ひょうじゅんである[1]。この標準ひょうじゅんは、信頼しんらいされる認証にんしょう局きょくが署名しょめいした証明しょうめい書しょを逐次ちくじ記録きろくし、それを検索けんさくする公開こうかいのログのシステムを作つくるというものである。これにより、誤操作ごそうさや悪意あくいある証明しょうめい書しょの発行はっこうを効率こうりつよく検知けんちできる[2]。

CTの初版しょはんは実験じっけん的てきのステータスであるRFC 6962で規定きていされている。バージョン2.0はRFC 9162で規定きていされている。

2021年ねんには、TLS用ようの証明しょうめい書しょでCTが必須ひっすとなる予定よていである[3][4]。TLS用よう以外いがいでは引ひき続つづきCTは必須ひっすではない。

経緯けいい

[編集へんしゅう]

2011年ねん、Comodo Cybersecurity（英語えいご版ばん）の認証にんしょう局きょくの再販さいはん業者ぎょうしゃが不正ふせい侵入しんにゅうされ、別べつの認証にんしょう局きょくDigiNotar（英語えいご版ばん）でも不正ふせいな証明しょうめい書しょ発行はっこうが行おこなわれた（2011年ねんデジノター事件じけん）[5]。これらの事件じけんは、認証にんしょう局きょくを取とり巻まくエコシステムの欠陥けっかんへの関心かんしんを呼よび起おこし、不正ふせいな証明しょうめい書しょの発行はっこうを禁止きんしまたは監かん視しする様々さまざまな取とり組くみが促進そくしんされていくこととなった。同年どうねん、これら証明しょうめい書しょ発行はっこうの問題もんだいに対抗たいこうするオープンソースのフレームワークをBen Laurie（英語えいご版ばん）、Adam Langley、Emilia Kasperが作つくり始はじめた。それがCTである。2012年ねん、コードネームSunlightとして、IETFに最初さいしょのインターネットドラフトが送信そうしんされた。

利点りてん

[編集へんしゅう]

デジタル証明しょうめい書しょ管理かんりの問題もんだいの1つは、不正ふせいな証明しょうめい書しょがウェブブラウザのベンダーに発見はっけん・報告ほうこく・取とり消けしされるまで長期間ちょうきかんを要ようすることである。CTは、ドメイン名めいの所有しょゆう者しゃの知しらぬ間あいだに当該とうがいドメインに対たいする証明しょうめい書しょが発行はっこうできないようにすることを支援しえんしようというものである。

Online Certificate Status Protocol（OCSP）やConvergence（英語えいご版ばん）と同様どうように、CTはサイドチャネル通信つうしんを必要ひつようとしない[要よう説明せつめい]。また、CTは信頼しんらいできる第三者だいさんしゃを必要ひつようとせず運用うんようできる。

欠点けってん

[編集へんしゅう]

記録きろくされたログを調しらべることで、関係かんけい者しゃのみで利用りようするFQDN（簡単かんたんに言いうとサーバ名めい）が外部がいぶにさらされてしまう。

構成こうせいについて

[編集へんしゅう]

CTログ

[編集へんしゅう]

CTログは証明しょうめい書しょ・プレ証明しょうめい書しょを記録きろくしていく台帳だいちょうである。データ構造こうぞうとしてマークル木きが用もちいられる。証明しょうめい書しょ・プレ証明しょうめい書しょの登録とうろくをCTログに要求ようきゅうすると、CTログはその証あかしに署名しょめい付つき証明しょうめい書しょタイムスタンプ（SCT、Signed Certificate Timestamp）を発行はっこうする。

CTの目的もくてきを達成たっせいするため、CTログには以下いかが求もとめられる。

  • ログに送信そうしんされた証明しょうめい書しょ・プレ証明しょうめい書しょそれぞれについて、信頼しんらいされるルート認証にんしょう局きょくの証明しょうめい書しょにチェーンしていることの検証けんしょう
  • 有効ゆうこうな署名しょめいのチェーンの無ない証明しょうめい書しょの公開こうかいを拒否きょひすること
  • 新規しんきに受うけ入いれる証明しょうめい書しょからルート証明しょうめい書しょまでのチェーン全体ぜんたいを保存ほぞんすること
  • 要求ようきゅうに応おうじて、監査かんさのためにこのチェーンを提示ていじすること

ログとして、完全かんぜんには有効ゆうこうでなかったり有効ゆうこう期限きげんが切きれていたりする証明しょうめい書しょを受うけ入いれることもあり得える。

CT monitors（モニター、監視かんし）

[編集へんしゅう]

モニターは、記録きろくされていくログを監視かんしする役割やくわりのシステムである。また、関心かんしんのある証明しょうめい書しょの登録とうろくの監視かんしを行おこなう場合ばあいもある。たとえば、自みずからの所有しょゆうするドメインが無断むだんで発行はっこうされていないか監視かんしするという利用りよう方法ほうほうがあり、複数ふくすう社しゃがそのためのサービスを提供ていきょうしている。

CT auditors（監査かんさ）

[編集へんしゅう]

モニターがログ内ないの個々ここの証明しょうめい書しょに関心かんしんを有ゆうする存在そんざいである一方いっぽう、ログ全体ぜんたいの整合せいごう性せいを検証けんしょうする役割やくわりが監査かんさ者しゃ（auditor）である[6]。

ブラウザベンダーの対応たいおう

[編集へんしゅう]

Google ChromeおよびSafariでは、HTTPS通信つうしんの際さいにサーバー証明しょうめい書しょに対たいしてCTに対応たいおうしていることを要求ようきゅうする。非ひ対応たいおうであれば証明しょうめい書しょを信頼しんらいせず通信つうしんを中断ちゅうだんする[7][出典しゅってん無効むこう]。対応たいおうしていることの判定はんていとして、ウェブサーバーからSCTが得えられることを要求ようきゅうしている[8]。

Google Chromeの場合ばあい、この処理しょりは以下いかの条件じょうけんで適用てきようされる[9]。

  • EV証明しょうめい書しょに対たいしては2015年ねん1月がつ以降いこうに発行はっこうされるもの
  • その他たすべての証明しょうめい書しょについては2018年ねん5月がつ以降いこうに発行はっこうされるもの
  • 発行はっこう日びによらず、HTTPレスポンスにExpect-CTヘッダーフィールドが指定していされている場合ばあい、その指定していに従したがう

Safariでは、2018年ねん10月がつ15日にち以降いこうに発行はっこうのサーバー証明しょうめい書しょに対たいしてCTへの対応たいおうを要求ようきゅうしている[10]。

歴史れきし

[編集へんしゅう]
電子でんし証明しょうめい書しょの透明とうめい性せい

2013年ねん3月がつ、Googleは最初さいしょのCTログサービスを開始かいしした[11]。同年どうねん9月がつ、DigiCertがCTを実装じっそうする最初さいしょの認証にんしょう局きょくとなった[12]。

2015年ねん、Google Chromeは新規しんきのEV証明しょうめい書しょに対たいしCTを必須ひっすにした[13][14]。さらに、ドメイン所有しょゆう者しゃが認知にんちしていない証明しょうめい書しょ発行はっこうが計けい187件けん確認かくにんされたため、Google Chromeは2016年ねん6月がつ1日にち以降いこうにSymantecが新規しんき発行はっこうする証明しょうめい書しょすべてにCTを要求ようきゅうし始はじめた[15][16]。その後ご、CTを必須ひっすとする要件ようけんは2018年ねん4月がつより後ご（すなわち5月がつ以降いこう）のすべてのTLS証明しょうめい書しょに拡大かくだいされた[4]。

2018年ねん3月がつ23日にち、CloudflareはNimbusという名称めいしょうで自身じしんのCTログの開始かいしをアナウンスした[17]。

2018年ねん3月がつ、インターネットドラフト“Certificate Transparency Version 2.0”が公開こうかいされた[18]。

2019年ねん5月がつ、認証にんしょう局きょくの1つであるLet's EncryptがOakという名称めいしょうでCTログを開始かいしした。2020年ねん2月がつからは承認しょうにんされたログリストに追加ついかされ、すべての公開こうかい認証にんしょう局きょくで使用しよう可能かのうとなっている[19]。

CTログを調査ちょうさするツール

[編集へんしゅう]

脚注きゃくちゅう

[編集へんしゅう]
[脚注きゃくちゅうの使つかい方かた]
  1. ^ Laurie, Ben; Langley, Adam; Kasper, Emilia (June 2013). Certificate Transparency (英語えいご). IETF. doi:10.17487/RFC6962. ISSN 2070-1721. RFC 6962。
  2. ^ Solomon, Ben (8 August 2019). “Introducing Certificate Transparency Monitoring”. Cloudflare. 8 August 2019時じ点てんのオリジナルよりアーカイブ。9 August 2019閲覧えつらん。 “Ah, Certificate Transparency (CT). CT solves the problem I just described by making all certificates public and easy to audit. When CAs issue certificates, they must submit certificates to at least two “public logs.” This means that collectively, the logs carry important data about all trusted certificates on the Internet.”
  3. ^ Call, Ashley (2015年ねん6月がつ3日にち). “Certificate Transparency: FAQs | DigiCert Blog” (英語えいご). DigiCert. 2021年ねん4月がつ13日にち閲覧えつらん。
  4. ^ a b “Certificate Transparency Enforcement in Google Chrome”. Google Groups (7 February 2018). 18 December 2019閲覧えつらん。
  5. ^ Bright, Peter (August 30, 2011). “Another fraudulent certificate raises the same old questions about certificate authorities” (英語えいご). Ars Technica. https://arstechnica.com/information-technology/2011/08/earlier-this-year-an-iranian/ 2018年ねん2月がつ10日とおか閲覧えつらん。 
  6. ^ “How Certificate Transparency Works - Certificate Transparency” (英語えいご). 2021年ねん5月がつ15日にち閲覧えつらん。
  7. ^ “Certificate Transparency（証明しょうめい書しょの透明とうめい性せい）”. DigiCert. 2021年ねん7月がつ22日にち閲覧えつらん。 “CT対応たいおうしなかった場合ばあい、Google ChromeやSafariブラウザを利用りようしてサーバ証明しょうめい書しょがインストールされたウェブサイトへアクセスしたユーザには警告けいこくが表示ひょうじされます。”
  8. ^ “CT(Certificate Transparency) SCT証明しょうめい書しょ”. ValueSSL. 2021年ねん7月がつ22日にち閲覧えつらん。 “GoogleはCertificate Transparency in Chromeにおいて 以下いかのように有効ゆうこう期間きかんによるSCTの数かずを定さだめています。”
  9. ^ “Chrome Certificate Transparency Policy”. Google. 2021年ねん7月がつ22日にち閲覧えつらん。
  10. ^ サイバービジョンホスティング RMS事業じぎょう部ぶ (2018年ねん6月がつ6日にち). “Apple 2018年ねん10月がつ15日にち以降いこうSSL証明しょうめい書しょでCTを必須ひっすに”. デジタル証明しょうめい書しょニュース. 2021年ねん7月がつ22日にち閲覧えつらん。
  11. ^ “Known Logs - Certificate Transparency”. certificate-transparency.org. 2015年ねん12月31日にち閲覧えつらん。
  12. ^ “DigiCert Announces Certificate Transparency Support”. Dark Reading (2013年ねん9月がつ24日にち). 2018年ねん10月がつ31日にち閲覧えつらん。
  13. ^ Woodfield, Meggie (December 5, 2014). “Certificate Transparency Required for EV Certificates to Show Green Address Bar in Chrome”. DigiCert Blog. DigiCert. 2021年ねん5月がつ15日にち閲覧えつらん。
  14. ^ Laurie, Ben (4 February 2014). "Updated Certificate Transparency + Extended Validation plan". public@cabforum.org (Mailing list). 2014年ねん3月がつ30日にち時点じてんのオリジナルよりアーカイブ。
  15. ^ “Symantec Certificate Transparency (CT) for certificates issued before June 1, 2016”. Symantec Knowledge Center. Symantec (June 9, 2016). October 5, 2016時じ点てんのオリジナルよりアーカイブ。September 22, 2016閲覧えつらん。
  16. ^ Sleevi, Ryan (October 28, 2015). “Sustaining Digital Certificate Security”. Google Security Blog. 2021年ねん5月がつ15日にち閲覧えつらん。
  17. ^ Sullivan, Nick (23 March 2018). “Introducing Certificate Transparency and Nimbus”. Cloudflare. 23 March 2018時じ点てんのオリジナルよりアーカイブ。9 August 2019閲覧えつらん。
  18. ^ Laurie, B. (2018年ねん3月がつ5日にち). “Certificate Transparency Version 2.0” (英語えいご). tools.ietf.org. 2021年ねん4月がつ13日にち閲覧えつらん。
  19. ^ “Introducing Oak, a Free and Open Certificate Transparency Log”. Let's Encrypt. 2021年ねん4月がつ13日にち閲覧えつらん。

外部がいぶリンク

[編集へんしゅう]
プロトコル
技術ぎじゅつ
歴史れきし
実装じっそう
公証こうしょう
脆弱ぜいじゃく性せい
理論りろん
暗号あんごう
プロトコル
実装じっそう
「https://ja.wikipedia.org/w/index.php?title=証明しょうめい書しょの透明とうめい性せい&oldid=98285089」から取得しゅとく