IETF（Internet Engineering Task Force）が、新しい標準 RFC 9336 を発表しました。電子署名およびドキュメント署名専用の汎用の拡張鍵用途 (EKU) を定義するものです。EKU は、認証局（CA）が電子証明書の使用目的を宣言するための手段です。

新しい EKU は、パブリックトラストの PKI で、作成する電子証明書の種類によって CA を分離するという動きの一貫です。この傾向は、CA/ブラウザ（CA/B）フォーラムの活動から始まったもので、TLS/SSL とコードサイニング証明書の標準では、CA によってこれらのユースケースを分離するよう規定しています。さらに最近には、ブラウザのルートプログラムが、既存のルート CA 証明書をユースケース別に分けた新バージョンに置き換えるようCA に要求し始めました。

このような整理は、コンプライアンスや規格の観点から有益であると広く考えられています。しかし、IETF が当初定義した EKU のリストは拡張が必要であることが、すぐに明らかになりました。RFC 5280 では、TLS の id-kp-serverAuth や id-kp-clientAuth、コードサイニングの id-kp-codeSigning など汎用的な EKU を定義していますが、これまでドキュメント署名用に定義された規定はありません。

その結果、現在の署名証明書の多くは、S/MIME 証明書向けの id-kp-emailProtection EKU を採用しています。また、個々の署名プラットフォームが提供する独自の EKU を使用している CA もあります。

安全なメールおよび電子署名に使用する証明書を発行するときの CA の行動を規制する標準化作業が現在進んでおり、こうした証明書を EKU によって分けることには意味があります。たとえば、CA/ブラウザフォーラム の S/MIME ベースライン要件、EU の eIDAS 規制および適格証明書などの継続的な開発がこれに当たります。

このような証明書はそれぞれ明確な EKU 領域を持つようになり、これまでユースケースが重複していた多目的証明書について、想定外の悪影響を及ぼすリスクを低減しながら標準化を進められるようになります。

新しい RFC 9336 は、セコムの伊藤忠彦氏、デジサートの大久保智史氏、sn3rd の Sean Turner 氏によって執筆されました。 id-kp-documentSigning EKU は、IANA（Internet Assigned Numbers Authority）から 1.3.6.1.5.5.7.3.36 というオブジェクト識別子（OID）が割り当てられ、証明書に使用できるようになっています。

今後、ドキュメントサイニング標準、ルートプログラム、電子署名の各製品は、EKU を使用して特定の証明書がドキュメントサイニングに使用することを想定されているかどうかを判断できるようになります。

ドキュメントサイニング EKU の採用は、証明書の用途を分けるという業界のトレンドに沿ったものであり、ドキュメントサイニングと S/MIME に関する業界標準の継続的な開発に有益であるとデジサートは確信しています。

DigiCert^® Document Trust Manager について

DigiCert ONE™ に含まれる DigiCert® Document Trust Manager は、いつでも、どこでもどんなデバイスでも、安全で法的拘束力のある電子文書への署名を可能にして、組織のデジタルトランスフォーメーションを支援します。Document Trust Manager を使用すれば、改ざんを防ぐよう暗号化され、身元確認のために認証された自然人および法人向けのデジタル署名を作成し、自動化することができます。また、署名は eIDAS 規則 No.910.2014 など厳格なグローバルスタンダードに準拠しています。電子文書の署名は、手書き署名の必要性を排し、コストを削減して時間を節約し、環境フットプリントを削減します。DigiCert Document Trust Manager なら、ハードウェアやソフトウェアの投資追加を必要とせずに、各種のファイル形式で、どんな量でも文書を簡単に管理できます。

Document Trust Manager の詳細については、digicert.com/jp/document-trust-manager をご覧いただくか、jpn-info-pki@digicert.com までメールでお問い合わせください。