DigiCertが、現実の問題を解決するために、デジタルトラストの確立、管理、拡大をどのように支援しているかをご覧ください。
世界のIT・情報セキュリティリーダーたちが、デジタル技術の信頼性を欠いたセキュリティはセキュリティではないと考えている理由とは?
2023年8月15日よりCertCentralのサインインではユーザ名とパスワードのほかにワンタイムパスワード(OTP)もしくはクライアント証明書の二要素認証による提示が必要となりました。 設定等についてはこちらのKnowledgeを参照ください。
銀行、保険代理店、証券会社、クレジットカード会社のいずれの金融機関でもWebサイトは多くの場合、通信のセキュリティを確保するうえで、あるいはサイトが正規のものであることを利用者に示すために、Extended Validation(EV)証明書を使用しています。ブラウザのアドレスバーには企業名とともに、接続が暗号化されていることを示す鍵が表示されます。ブラウザによっては、この内容が緑色で強調表示されることもあります。この証明書は、対象の企業の身元が確認済であることを表しており、また、証明書には、企業の住所や所在地の国名、登録してある事業の種類などの詳細情報も記載されています。
金融機関の保有する情報や資産の価値が高いために、金融機関は常に攻撃者の標的になってきました。そのため銀行などの金融機関は身元の証明が重要であることやEV証明書が顧客にもたらす価値を認識しています。ただし、Webサイトが正規のサイトであるのを示すことだけがEV証明書を採用する理由ではありません。その他のEVの利用用途について説明する前に、まずは金融機関がEVを使用する理由を以下にまとめてみます。
EV証明証はどのような用途に使用できるのでしょうか。Webサイトが正規のサイトであるのを示すこと以外にもサイバーセキュリティ上のさまざまな利用用途があります。IT部門はEV証明書をさまざまな用途で使用しており、たとえば、自社のWebサイトの確認や、社内のファイアウォールへのルールの追加、管理対象とするセキュリティサービスの構成のほか、内部監査やコンプライアンスの用途にも使用しています。
欧州連合(EU)では、EV証明書は別の役割も果たしています。2016年にEUは、eIDASという新たな規則を施行しました。これは、1999年のEU電子署名指令をアップデートしたものです。このアップデートの一環として、eIDASでは、ウェブサイト認証の為の適格証明書(QWAC)を規定しました。この証明書はEV証明証をベースにしており、新たないくつかの情報が加えられています。さらに別の規則である欧州決済サービス指令第2版(PSD2)では、EU域内で事業を行う特定の金融機関に対しQWACの使用を義務付けています。この規則は2019年6月に施行されており、EUに拠点を置き欧州で事業を行っている銀行などの金融機関から、この証明書の発行を求める声が多くの認証局に届いています。
エンドユーザーを保護するべく、Webビジネスのための本人確認を最高の水準で実現できるよう作業が続いています。特に注目すべき点として、この規則がブラウザに焦点を当てていることが挙げられます。EV証明書では、ブラウザによって動作が変わってしまう状態が続いています。
ここまでで述べたすべての内容に関連して唯一問題となるのが、Webサイトの閲覧で使用するソフトウェア、すなわちブラウザについての問題です。現在のところ、EV証明書を実装したWebサイトの場合、ブラウザごとに動作が著しく異なってしまいます。たとえば、あるブラウザでは、企業の名前が緑色で表示され、別のブラウザではグレーで表示されるといった具合です。また、企業名を全く表示しないながら、ドメイン名は緑色で表示するといったブラウザもあります。さらには、ユーザーインターフェースの変更が約束されているブラウザがあれば、何年も変更がなされていないブラウザもあります。
このような状況で、どのような改善が期待できるのでしょうか。以下にその内容を示します。
金融機関などのように高い価値を扱うサイトでは、改善が実現するまでの期間、一般に公開するWebサイトであるかどうかを問わず、EV証明書を使って自社のサイトが正規のものであることをユーザーに知らせる方法が、これまで述べてきたような理由から有効です。取引相手がわからない状態では暗号化をしても意味がないからです。
DigiCertは今後数か月のうちに、EV証明書の標準について新たな改善を提案する予定です。さまざまな要素が相互につながるデジタル社会では、あらゆる側面においてアイデンティティが重要な役割を果たします。弊社は今後もこの点について議論を深めていきたいと考えています。
原文はこちら
© 2024 DigiCert, Inc. All rights reserved.
リーガルリポジトリ Webtrust 監査 利用条件 プライバシーポリシー アクセシビリティ Cookie 設定 プライバシーリクエストフォーム