今月はじめ、ポーランドのワルシャワで、認証局 Asseco の主催のもと、6 月の CA/B フォーラムが開催されました。同イベントが参加者の増加という結果で幕を閉じたのは、Trusted Economy Forum、つまり信頼できるサービスに同様の焦点を当てたもうひとつの会議と同時開催されたことも原因です。以前のような対面イベントに戻りつつある雰囲気のなか、興味深いディスカッションが交わされ、最新情報が発表されました。たとえば、Apple が認証マーク証明書（VMC）のルートストア開始を発表したほか、S/MIME ベースライン要件の最終草案、コードサイニングトークンの変更、Chrome によるルートプログラム変更の概要についても進展がありました。

S/MIME のベースライン要件

S/MIME ワーキンググループは、安全な E メールで使用される電子証明書に関する新しい標準の最終草案を作成しています。今月の会議では、投票前のディスカッションの一環として、さまざまな関係者から意見が集められました。新しい S/MIME ベースライン要件は、業界全体として初めてとなる、S/MIME 証明書の標準であり、デジサートをはじめとする証明書発行者や、主要な電子メールソフトウェアプロバイダおよびサービスプロバイダ、企業および公共部門のユーザー、監査/コンプライアンスコミュニティなど数十の関係者からの知識を取り入れる予定です。

S/MIME ベースライン要件が投票に近づきつつある今、お客様は最新動向に注目しておくべきでしょう。ワーキンググループは、最終的な意見の決着を待ったうえで、2022 年第 4 四半期の最初に正式な投票に移行する予定です。投票が草案どおりに通過すると仮定すると、2023 年第 3 四半期には業界全体で導入されると予想されます。新しい標準の議論が 2020 年に始まったばかりであることを考えると、全体としてワーキンググループは順調な進捗を遂げてきたといえます。

コードサイニング

念のためですが、OV コードサイニング証明書のトークン要件は今後変更が予定されています。今回の CA/B フォーラムでコードサイニングに関して交わされたディスカッションは、署名サービスの要件改善が中心議題でした。

デジサートは、DigiCert® Secure Software Manager の実装経験をワーキンググループと共有し、署名サービスの標準に関してコンサルティングを行うという形で、セキュリティをめぐるリーダーシップを発揮しています。Secure Software Manager を使用することで、お客様は規制の遵守を達成し、コード署名ワークフローを簡素化する完全自動化をサポートすることができます。

Chrome のルートプログラム

Chrome は先日、ルートプログラムポリシーに対する包括的なアップデートを発表しました。今月のフォーラムでは、同社の代表が、その根拠と長期的な目標も含めて、今回の変更点について詳しく説明しました。大きな変更点は次のとおりです。

• ルート証明書のローテーション: Chrome は、ルートプログラムにおいて数年ごとにルート証明書をローテーションすることを義務づける意向を示しています。20 年以上にわたって同じルートを保ち続けるという従来の慣習から脱却したいと考えており、そのベースには、ルートのローテーションを進めたほうがセキュリティの変更を速やかに市場に打ち出せるという発想があります。
• 自動化: Chrome は、ACME を含む CA による自動化の普及を推進しており、これにより証明書の失効や交換をタイムリーに実行できると主張しています。デジサートは、サードパーティの ACME クライアントによる ACME 自動化と、CertCentral 管理の自動化の機能を提供しています。CertCentral 管理の自動化には、ACME などのソフトウェアコンポーネントを常に最新の状態に保てる機能があり、CertCentral ウェブコンソールからあらゆる自動化を管理することができます。
• OS 実装の変化: Chrome はこれまで、CA のルートストアと検証を各種 OS に依存していましたが、現在は独自の実装に移行しています。これによって、お客様に対する影響はあまりない見込みです。

Chrome のルートプログラムについて詳しくは、https://www.chromium.org/Home/chromium-security/root-ca-policy/ を参照してください。

次回のフォーラムにも乞うご期待

次回のフォーラム会議は、2022 年 10 月にベルリンで開催される予定です。対面での会議が復活するのに伴って、対面会議への参加者は増加の傾向にあり、今後も世界的に COVID 規制が緩和されるなか、対面での参加者は増加することが予想されます。次回の会議は、EU Agency for Network and Information Securityが毎年開催している「European CA Day」と同時開催されます。次回の会議についても、また関連する取り組みの最新情報についても、随時ご報告していきます。

また、フォーラムで最近議論されたその他の内容については、2022 年 2 月と 2021 年 10 月のまとめブログもご覧ください。