Google Chromeは、最近のCA/Bフォーラムの会議で、90日間の証明書有効期間を含むルートポリシーのビジョンを発表しました。これにより、すぐに90日間の証明書が実現するわけではありませんが、証明書の有効期間をさらに短くする方向への議論を開始するものです。

証明書の有効期間を短くする傾向は新しいものではありません。そしてGoogleにより単独で主導されているわけでもありません。ここ数年で証明書の有効期限が3年から2年、現在の1年間に短縮されてきた中でも見られてきた傾向です。デジサートは2020年に1年間の証明書に関する立場を発表した通り、セキュリティを向上させるためにCA/Bフォーラムのコミュニティが証明書の有効期間を短縮することと、ビジネスオーナーが短い有効期間の証明書に移行するニーズのバランスをはかる事に関し継続的に取り組み続けています。ここに来て、なぜより短い有効期間が継続的に推進されているのか、お客様にとってそれがどういう意味を持つのでしょうか。

短い有効期間はセキュリティを向上させることができます

1年または2年の証明書よりもセキュリティを向上させ、証明書エコシステムの更新をより迅速に行うため、デジサートはこれまでも短い証明書の有効期間をサポートしてきました。短い有効期間を実現するため、デジサートは、APIを通じ有効期間を柔軟に変更できる証明書発行を可能にしています。

Chromeは、ルートポリシーの通知で述べたように、「証明書の有効期間を短縮することは、エコシステムを古い、時間のかかる、エラーの多い発行プロセスから、自動化と実践の採用を促進する効果がある。これらの変更により、最新のセキュリティ機能やベストプラクティスの採用がより迅速に行われ、エコシステムを耐量子コンピューター暗号アルゴリズムに迅速に移行するために必要な俊敏性が促進される。証明書の有効期間を短縮することにより「壊れた」失効チェックに対するエコシステムの依存度も低下し、より高い保護を提供することになる。さらに、有効期間の短い証明書は、予期しない証明書CTログ失格の影響を低減する」と述べています。

しかし、90日間は正しい期間でしょうか？

90日間は正しい期間でしょうか？90日間は、問題が生じた証明書が存在し続けるには長すぎるため、90日間に移行しても失効を改善することはできません。さらに、業界の移行には通常6〜12か月かかるため、1年間の証明書に移行した今、証明書の有効期間はポリシー変更のボトルネックになるとは限りません。また、ドメインの更新は通常年次であり90日ごとではありません。つまり90日間に移行することが、Web PKIの俊敏性を向上させるための最良の次のステップであるかどうかは明確ではありません。今後も必要に応じて自動化を促進し、証明書を迅速に置き換えるための代替手段について議論を継続して行いたいと思います。

有効期間の短縮により、証明書のライフサイクル管理の作業負荷が増加

有効期間の短縮は、セキュリティの向上という点では疑問が残るが、この変更には大きな負担が伴うことは明確です。90日間の証明書は企業にとって大きな変化であり、証明書のライフサイクルを管理する上で、お客様に課題をもたらすと認識しています。証明書の有効期間が短くなる中、スプレッドシートやメール通知で証明書の有効期限を管理することは、もはや実用可能な手法ではありません。また、証明書の有効期間が短くなったとしても、スプレッドシートで証明書の有効期限を手動で管理することは、人為的なミスを招きやすい手間のかかる作業です。業界標準に準拠し、ハードウェアやソフトウェアの進歩に対応するため、証明書管理には細心の注意が必要ですが、規模が大きくなるとなかなかうまくいきません。

また、証明書のライフサイクル管理の作業負荷が増加すると、人為的なミスで障害が発生する可能性が高くなります。調査によると、証明書の失効によるサービス停止や監査の失敗による経済的損失は1,000万ドル以上、データ漏洩は1件あたり平均940万ドルのコストがかかると考えられます。また、失われた信頼は、顧客維持にも大きな影響を与えます。「2022 年デジタルトラストの実態調査（2022 State of Digital Trust Survey）」では、47%の消費者が、信頼の失墜が原因でベンダーを変更したと報告しています。そのため、証明書の有効期間が90日に移行するかどうかにかかわらず、マネージドソリューションと自動化が業界標準になると予測しています。

有効期間の短縮には、自動化と管理ソリューションが必要

デジサートは有効期間の短縮だけでなく、耐量子コンピューター暗号のような進化する脅威に対しても、お客様が先手を打てるような革新的なソリューションを開発し続けています。例えば、業界が証明書の発行期間を1年に短縮した際には、最大6年間の更新を自動化する複数年プランを導入し、証明書ごとの年間購入の必要性をなくし、次年度以降の価格割引を設定しました。

また、DigiCert^® Trust Lifecycle Managerを開発しました。これは、認証局（CA）に依存しない証明書管理、パブリックおよびプライベートトラスト、さらにPKIサービスを統合して、IDとアクセス認証を保護するソリューションです。一元的な可視性と管理を可能にし、ビジネスの中断を防止します。DigiCert Trust Lifecycle Managerは、エンタープライズが進化し続ける業界標準に準拠し続けるのに役立つ、総合的なソリューションです。

DigiCert Trust Lifecycle Managerは、証明書ライフサイクル管理（CLM）だけでなく、PKIサービスも提供する点で他の証明書管理ソリューションとは異なります。CLMは、組織全ておよび利用する認証局全てを含んだパブリックおよびプライベート証明書の可視性と管理を一元化するニーズに対応します。PKIサービスは、認証局（CA）および中間認証局（ICA）の作成と管理から、ユーザー、デバイス、およびサーバーのセキュリティを規定する証明書の発行まで、プライベートPKI発行を管理し、これらの証明書をエンドエンティティおよびサードパーティアプリケーションにインストールすることまで実現する統合機能を提供します。

より詳細については下記をご覧ください。
https://www.digicert.com/jp/trust-lifecycle-manager