CA/B フォーラムは先日、カナダのオタワで対面ミーティングを開催しました。このミーティングでは、証明書の有効期限を 90 日にしようとする Chrome のビジョンや、今年 9 月に始まる最初の S/MIME ベースライン要件の実装、そしてマルウェアベースの失効やコードサイニングの署名サービス要件に関する提案など、お客様に知っておいていただきたい最新情報を取り上げました。

Google ルートプログラム

Chrome は、90 日間の証明書、あらゆる場所での自動化、検証の再利用に関する要件の厳格化などを盛り込んだルートポリシーのビジョンを発表しました。証明書の有効期限が 1 年間から 90 日間に短縮されるというのは業界にとって大きな変化であり、証明書のライフサイクル管理をめぐってお客様が直面する課題は当社も認識しています。だからこそ、企業が PKI サービスとともに大規模な証明書のライフサイクル管理を処理できるフルスタックのソリューションを利用することは、これまで以上に重要になってきます。DigiCert^® Trust Lifecycle Manager がその需要にお応えします。詳細については、https://www.digicert.com/jp/blog/chromes-proposed-90-day-certificate-validity-period を参照してください。また、Chrome のその他のポリシー提案については、別の記事で詳細に説明します。

S/MIME ベースライン要件

新しい S/MIME ベースライン要件（BR）は、2023 年 9 月 1 日以降に発行される、公的に信頼された S/MIME 証明書から発効します。この BR では、メールの暗号化に使われる電子証明書を発行するすべての CA について、初めて証明書プロファイルと検証要件が規定されています。S/MIME ワーキンググループは、ETSI と WebTrust 両方のプログラムの新しい監査基準について最新情報を提供し、認証局認証（CAA）を S/MIME に拡張する提案についても話し合いました。CAA を利用すると、どの CA がそれぞれのドメインとユーザーに電子証明書を発行する権限を持つかを、ドメイン所有者が DNS を使用して指定できます。

コードサイニングワーキンググループ

コードサイニングワーキンググループは現在、マルウェアベースの失効と署名サービス要件に関する投票を進めています。マルウェアベースの失効が拡張され、TLS/SSL および S/MIME の BR に合わせて失効理由のセクションが見直されています。署名サービス要件は、名称を加入者鍵保護サービスに変更し、「加入者のコードサイニング証明書に関連する鍵ペアを生成して秘密鍵を安全に管理する組織」と定義されました。ワーキンググループは、コードサイニング証明書の有効期限についても議論し、TLS 証明書の期限をさらに短縮するという議論を反映して、有効期限を現在の 39 か月から短縮することを検討しています。

さらに、コードサイニング要件は 6 月 1 日から変更される予定であり、どんな環境でも EV レベルの鍵の保護が要求されるようになります。こうした変更によってセキュリティは大幅に強化されますが、要件の追加がお客様にご負担を与えかねないという可能性には注意しています。したがって、ポータブルで柔軟なデプロイメントモデルとセキュアな鍵管理により、継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインにおける自動化されたセキュリティを実現して、DigiCert^® Software Trust Manager を使用してコードサイニングを管理することをお勧めします。詳細については、この件に関する当社のブログ（https://www.digicert.com/jp/blog/improved-requirements-for-code-signing-key-protection）を参照してください。

最新の BR を取り込む 欧州電気通信標準化機構（ETSI）

欧州電気通信標準化機構（ETSI）は、BR と ETSI 両方の要件に同時に準拠できるように、TLS BR の最新版を同協会の標準に自動的に組み込むことに取り組んでいます。ブラウザにおける適格 TLS 証明書の運用改善に向けて提案を作成しているワーキンググループもあります。ETSI の監査事務所が ACAB'c（欧州の適合性評価機関の組織）に参加するという Mozilla の新しい要件を受けて、ワーキンググループは活動の活発化を報告しました。新しい証明書テンプレートの採用や各種の標準化団体への参加などもその一環です。

定義と用語集に関するワーキンググループ

デジサートは、S/MIME、コードサイニング、その他の BR の間で共通する言語を開発する取り組みを主導しています。Apple をはじめとする他社もこれに同意しており、3 つの標準すべてで定義を統一することから始めるよう提案しています。

Apple ルートプログラム

Apple は現在、認証マーク証明書（VMC）の表示に対応するために、VMC ルートプログラムに取り組んでいます。そうすれば、受信ボックスで「from」欄の横に商標ロゴや政府登録マークを表示できるようになります。Apple は昨年秋から、iOS16 と MacOS Ventura で VMC の表示を開始しています。

Mozilla ルートプログラム

Mozilla は、次のポリシーアップデート内容について議論しました。バージョン 2.9 となる予定であり、透明性と情報開示の要件が厳格になる見込みです。

詳細は 6 月の続報にて

次回の CA/B フォーラムミーティングは、Microsoft の主催で 6 月 6 日から 8 日にかけてワシントン州レドモンドで開催される予定です。CA/B フォーラムの最新情報については、デジサートのブログ（www.digicert.com/jp/blog/category/ca-browser-forum）を参照してください。