デジサートは例年どおり、今年 6 月に Microsoft が主催した CA/B フォーラムのミーティングに参加し、当社の顧客およびパートナーに関連する重要な論点を共有しました。

主な論点

現在、CA/B フォーラムで目にする主なテーマは、自動化、ベースライン要件（BR）の年間変更回数の削減、さまざまなステークホルダーからの意見を取り入れることです。

第一に、CA/B フォーラムは、自動化の導入をどのように促進できるかに関心を示しています。自動化によってプロセスが簡素化されて人的ミスが排除され、セキュリティが向上することで、業界にとって利益になるというのが一般的なコンセンサスです。Chrome が提案している証明書の期間短縮、新たな検証プロセスなどは、すべて自動化を中心とする発想です。一般的な企業は 50,000 以上の証明書を管理しているので、企業も自動化には注力しています。最近デジサートが実施した調査によると、企業の 91% が PKI の自動化を望んでおり、70% が近い将来、自動化を導入しようとしているといいます。したがって、CA/B フォーラムが自動化についても議論しているのは驚くに当たりません。

また、BR の変更は 1 年に数回までとし、変更による負担を減らすとともに、一度に実施する投票の数を簡素化すべきだという議論も出てきています。しかし現時点では、いつ実施するかというスケジュールは決まっておらず、あくまでも議論の段階です。

また、CA/B フォーラムは、各業界のさまざまなステークホルダーグループからの参加を促すために、細則を改定しています。それが進めば、インターネットにおけるデジタルトラストを支える標準についての意思決定に関わる業界から広く意見が反映されます。

Chrome が提案する 90 日間の証明書

前回の更新でご存じの方も多いように、今年はじめに Chrome は、「Moving Forward, Together（ともに、未来へ）」と題して Chrome のルートポリシーに関するビジョンを発表しました。その中で、証明書の有効期間を 90 日間にすることや、ICA のローテーション頻度を高くすることが提案されています。ただし、Chrome はこの提案について特に何も決定しておらず、期限も明示していません。現在 Chrome は、自動化の推進につながる証明書の有効期間短縮に向けた適切な時間枠について、コミュニティからのフィードバックを要請しているところです。自動化の普及に伴って、Chrome は今後、認証局（CA）に対し、ACME またはその他の自動化ソリューションをルートプログラムに含めるよう求める予定です。

CA/B フォーラムに提出された投票案によると、有効期間の短くなった証明書の失効サービスをサポートする必要はなくなりますが、Microsoft からは、同社のルートプログラムで CA によるオンライン証明書ステータスプロトコル（OCSP）のサポートを引き続き要求すると発表しました。

S/MIME ベースライン要件

今回のミーティングでは、いくつかのルートプログラムで、9 月 1 日から公的に信頼されるメール用証明書の S/MIME BR に準拠するよう CA に要求することが確認されました。ポリシーの更新に従って、主なルートプログラムでは、CA が 2024 年末までに監査に S/MIME BR を含めることを義務付けられると定められています。

新しい標準を導入するときの複雑さを踏まえ、準拠するエンドエンティティ証明書の発行に対応できる限り、既存の S/MIME CA を使用できる移行期間を認めることが合意されています。今後実施される投票では、完全準拠の発行 CA に移行する期限の延期が提案される予定です。

追加投票では、（EdDSA 証明書などに関する）S/MIME BR が修正されるとともに、既存の内部業務記録に基づいて利用者に証明書を発行できるなど、企業 RA（Registration Authority）の役割と責任をはじめとするトピックが明確化されます。

ドメイン検証の自動化

TLS BR には、ドメイン制御を検証するオプションがいくつかあります。顧客がDNS設定に変更を加えるのもそのひとつで、これは定期的に更新する必要があります。DNS や証明書管理は、組織で異なるチームが担当することも多いため、これは自動化にとって障害になる場合があります。自動化への関心が高まる中、CA/B フォーラムは、顧客に必要な手動の更新を減らして、DNS チャレンジ方式を継続的に使用できるように、DNS 方式を適応させることを望んでいるようです。こうした変更案については、読者の皆様に随時お知らせいたします。

ソフトウェアサプライチェーンの完全性

法律や業界の規制に伴って、組み込みツールキットやコードの相互依存性といったソフトウェアのセキュリティを証明することを組織に求めるケースが増えています。コードサイニングワーキンググループのミーティングでは、Microsoft が IETF SCITT プロジェクトに関する背景情報を公開しました。これは、デジタル資産と物理的資産の両方について、その完全性、透明性、信頼性の向上に役立つ相互運用可能な構成要素を標準化するものです。

Microsoft は、SCITT のように標準化されたクロスプラットフォームのアプローチが次世代のコードサイニング技術の基本だと考えています。IETF におけるこの重要なプロジェクトはまだ始まったばかりですが、最近のホワイトハウス指令で描かれている未来をサポートする基礎となるものです。

詳細は 10 月の続報にて

GlobalSign は、2023 年 10 月初旬にニューハンプシャー州で、CA/B フォーラムの次回ミーティングを開催する予定です。CA/B フォーラムの最新情報については、デジサートのブログ（www.digicert.com/jp/blog/category/ca-browser-forum）を参照してください。