10月に開催されたCA/B フォーラムは、今年最後の会合でした。(フォーラムが何をしているのか、どのように機能しているのかという概要については、DIGICERTによるCA/B フォーラムの紹介をご覧ください）。Appleの新しいルートプログラム、証明書プロファイル、eIDAS 2.0、対面式ミーティングの復活など、今月のミーティングは非常に生産的だったので、いくつかの最新情報をお届けします。さらに、Chromeの代表者が交代し、次回のミーティングからは新しいルートプログラムのリーダーが引き継ぐことになっています。10月に開催されたCA/Bフォーラムミーティングの内容をご紹介します。

アップルの新しいルートプログラム

最も注目すべきは、Appleが新しいS/MIMEプロファイルの要件を発表し、来年4月の実装を目指していることです。Appleは、2022年4月1日（米国時間）から、S/MIME証明書の有効期限を2年にすることを発表しました。これに伴い、Appleは認証局(CA)に対し、Apple ルートプログラムに含まれるルート証明書につながる、すべてのCA証明書を開示するよう求めています。さらに、Appleは、S/MIME証明書に対して以下の要件を満たすことを求めています。

• emailProtection EKUを含む
• subjectAlternativeName に電子メールアドレスを含む1つ以上のrfc822Name値を含む。
• 有効期間が825日を超えないこと
• SHA-256以上の強度を持つ署名ハッシュアルゴリズムを使用すること（フォーラムのBaseline Requirementsの7.1.3.1項および7.1.3.2項を参照）。
• 以下の鍵長要件を満たしている必要があります。
• • RSA鍵ペアの場合、モジュラスのサイズはエンコード時に2048ビット以上でなければならず、ビット単位のサイズは8で均等に割り切れるものでなければなりません。
  • ECDSA鍵ペアの場合、鍵は米国国立標準技術研究所(NIST) P-256、NIST P-384、またはNIST P-521と名付けられた楕円曲線上の有効な点を表すものでなければなりません。

証明書プロファイルの変更

この2年間ほど、認証ワーキンググループは、パブリックTLS証明書に何が記載され、何が記載されていないかをより明確にした証明書プロファイルの作成に取り組んできました。私たちは明確な要件を強く支持していますが、プロファイルの厳格化は、一部のお客様に問題が生じさせる可能性があります。かなりの数の変更があり、その多くは2022年に承認され、2023年に必要となる可能性があります。新しい要件は、すぐには採用されませんが、私たちはすでに他の参加者と協力して、移行がスムーズかつプロフェッショナルな方法で処理され、要件に隠れた驚きがないことを確認しています。

eIDAS 2.0プレビュー

Enrico Entschewは、ヨーロッパで進行中のeIDASのアップデートに関する作業の概要を説明した。(eIDASの背景については、デジタル署名の法的要件に関するブログをご覧ください）。現在の提案では、ブラウザはEUのトラストリストを尊重し、QWACと呼ばれる欧州の証明書の視覚的な指標を提供することが求められます。また、eIDAS 2.0では、デジタルIDを重視しており、デジタルウォレットなどの次世代デジタルIDにも力を入れています。

S/MIMEベースライン要件

S/MIMEワーキンググループは、S/MIMEの新しいベースライン要件の策定に取り組んでいます。要件が最終決定されるのは2022年で、おそらく有効になるのは2023年以降になると思われます。グループはS/MIMEプロファイルのドラフトについて話し合いを終え、ある程度合意されたラフドラフトができつつあります。私たちが提案し、グループが採用した戦略には、いくつかの魅力的な要素があります。まず、基本的に業界の既存の慣行を成文化した「レガシー」プロファイルが含まれており、既存のCAが新しいS/MIMEベースライン要件を迅速に採用し、促進することができます。しかし、検証済みのID情報を含む、より価値のある証明書タイプへのアップグレードパスも含まれています。最後に、最も厄介な条項は「厳格な」プロファイルに追いやられ、有用だと思う人には採用でき、そうでない人には無視することができるようになります。

署名サービス要件の改善

コードサイニングワーキンググループでは、署名サービスに関する要件の改善に取り組んでいます。署名サービスは、個人が保有するデジタルトークンと比較して、セキュリティや使い勝手が大幅に改善される可能性があります。現行の要件が不明確なため、この分野では混乱が生じています。そのため、署名サービスのためのより良い要件を生み出すことに主な目的になっています。このワーキンググループの取り組みはまだ初期段階にありますが、署名サービスによってデジタル資産への署名の安全性と利便性の両方が急速に向上することを期待しています。

さらに、今年初めにコードサイニングのベースライン要件が変更され、より大きな鍵が必要になったように、この変更がセキュリティにとって前向きなステップであることに同意しますが、一方で、切り替えには、お客様に負担がかかる可能性があります。だからこそ私たちは、DigiCert® Secure Software Managerを使ってお客様をサポートしています。DigiCert® Secure Software Managerは、コードサイニングの完全な自動化をサポートし、コンプライアンスを確保するのに役立ちます。

Face to Faceに戻る

1年半のバーチャルミーティングを経て、2022年初頭には対面式のミーティングが再開されるようです。デジサートは、次回のCA/BフォーラムFace to Faceを2022年の第1四半期にソルトレイクシティで開催する予定です。私たちは、より良い関係構築と交流を可能にする対面式のイベントに戻ることを楽しみにしています。次回のアップデートは2022年春を予定していますが、それまでに関連するニュースがあれば随時お伝えしていきます。

また、今年のCA/Bフォーラムでの議論をまとめたものは、6月と3月のブログでご紹介しています。