お客様がお使いのブラウザやOSにもよりますが、50から100を超える世界中のさまざまな組織が、お客様のインターネット閲覧を安全なものにするために信頼されています。これらの組織は、TLS/SSLサーバ証明書を発行する認証局（CA）を運営しています。これらの証明書は、毎日何十億人ものユーザーに使用されており、お客様が訪問するウェブサイトの身元を確認し、お客様がウェブサイトに送信する情報を暗号化し、詮索されることなく安全であることを保証します。インターネット上でIDを提供するというこのタスクの重要性を考えると、セキュリティとコンプライアンスを確保するために、CA が一連の明確な要件の下で運営されることが不可欠です。このブログ記事では、CAの要件がどのように作成されるか、またCAの要件が明確かつ十分に定義されていることが、いかに重要であるかについて概要を説明します。

セキュリティとコンプライアンスの共通ベースライン

現在、ブラウザから信頼され、安全なウェブサイトにTLS証明書を発行しているCAは、まさにグローバルな存在であり、各CAは、任意のウェブサイトに証明書を発行できる技術力を持っています。セキュリティの観点からは、それぞれのCAは同等です。インターネット上の全体的なセキュリティは、最も脆弱なCAと同等の強度しかありません。このため、すべての CA が遵守しなければならないセキュリティとコンプライアンスの共通ベースラインを確保する最低基準を確立する必要があります。

主要なブラウザは、CA/B フォーラムのBaseline Requirements for the Issuance and Management of Publicly-Trusted Certificatesに記載されているポリシーに沿って、信頼できるCAが運営されていることを求めています。これらの要件は、CAとブラウザのグループによって定義され、合意されたものであり、業界の共通の最低要件を示しています。

また、ブラウザベンダーは、それぞれのニーズに合わせて独自のポリシーも定義しています。これらのポリシーには、発行される証明書の種類に関する制限が含まれる場合があります。例えば、Mozilla Root Program は、ECC P-521 公開鍵を含む証明書を CA が発行することを禁止しています。これは、Mozilla Root Program が、P-521 公開鍵を証明書に含めることはエコシステムにとって有益ではなく、その使用を抑制したいと考えているためです。

さらに、CA/B フォーラムで最初に提案されたものの、ほとんどの参加者に支持されなかったものまで、一方的にポリシーに盛り込む場合もあります。その一例として、TLS証明書の最大有効期間を825日から398日に短縮したことが挙げられます。この提案はCA/B フォーラムでは、合意されませんでしたが、後にAppleによって義務付けられました。CA は、インターネットに接続するすべてのデバイスで普及させるためには、主要なブラウザおよびオペレーティング・システムにルート証明書を組み込む必要があることを考えると、単一のルートプログラムが自身のポリシーに要件を導入することは、すべての CA に遵守を求めるという実質的な効果があると言うことができます。このため、Appleがポリシー変更を発表した時点で、TLS証明書の実質的な最大有効期間は398日（注：時差を考慮して397日）となりました。

規格へのコンプライアンスの確保

CA/B フォーラム Baseline Requirements（ベースライン要件） への変更が合意され、最終的に決定された後、これらの変更は、CAが要件を遵守していることを確認するために監査担当者が使用する監査基準に組み込まれます。ベースライン要件の変更を、監査担当者が監査の際にチェックする具体的な項目に変換するこのステップは、業界におけるセキュリティとコンプライアンスを確保する上で重要な役割を果たします。CAの内部運用および管理を外部から見ることができないことを考えると、定期的な監査および監査担当者の専門知識と関連規格の知識は、証明書のエコシステムを確保する上で大きな役割を果たします。要求事項が明確でない、または完全に定義されていない場合は、監査担当者によって要求事項の解釈が異なる可能性があります。

古い言葉が新しい意味を持つとき

要件が完全に明確ではなく、曖昧な可能性がある場合、異なる人が異なる解釈に到達することは避けられません。ある不明確なポリシーの意味は、そのようなポリシーが存在する基本的な意図や理由を理解することで推測できるかもしれませんが、意図が不明確な場合もあります。これは、それぞれの解釈が、その解釈の信憑性を高める情報や背景によって支えられている場合に特に当てはまります。さらに、特定のポリシー変更をめぐる議論や文脈が十分に文書化されていない場合もあり、どの解釈が正しいのかを判断するのはさらに複雑になります。往々にして、歴史的な背景がほとんどない場合や、意図が容易に推測できない場合には、特定のポリシーの意味を明確にするための議論が後から生じることがあります。議論のきっかけとなった当初の意図が不明瞭だった場合、一般的な解釈は驚くものや意外なものになることがあります。時には、このような明確化が投票に盛り込まれ、不明瞭な文言がより適切な文言に置き換えられることもありますが、多くの場合、ブラウザの代表者が一方的に自身の解釈が正しいと述べ、投票や移行期間なしにベースライン要件の適用を実施します。

明確なガイダンスで業界を前進させる

公的に信頼されているCAのポリシー文書は、インターネットの信頼を構築する基盤となるものでなければなりません。セキュリティにおける重要な役割を考えれば、明確な要件は必須です。セキュリティの共通ベースラインの水準を高めるためには、利害関係者は要件の潜在的な曖昧さについてオープンに議論し、それに対処できるようにする必要があります。しかし、そのような議論をするためには、オープンな対話と意見の共有を重視する環境が育まれなければなりません。CA/B フォーラムのベースライン要件のようなポリシー文書がインターネットセキュリティの基盤としての役割を認識し、公的に信頼されているCAに明確なガイダンスを提供するためのオープンな議論と継続的な改善を強く支持します。