「Google Chrome」でCertificate Transparency準拠が必須に、何が変わる？

GoogleのWebブラウザ「Google Chrome」では、公的に信頼されるWebサイト証明書の安全性検証にCertificate Transparency（証明書の透明性）への準拠が必須となる。

公開 2016年11月09日 15時00分

著者

Peter Loshin

[TechTarget]

印刷する

　GoogleのWebブラウザ「Google Chrome」では、2017年10月以降発行のWebサイト証明書について、Google ChromeのCertificate Transparencyポリシーに準拠している場合のみ信頼できるものと見なすことになる。

　Google Chromeチームは、CA/Browserフォーラムの第39回ミーティングでこの決定を発表した。詳細は、Googleのソフトウェアエンジニア、ライアン・スリービ氏がCertificate Transparencyポリシーのメーリングリスト宛に送信したメールで公開された。

併せて読みたいお薦め記事

Google Chrome関連記事

Google の Certificate Transparency（証明書の透明性）プロジェクトではHTTPS 証明書の監視や監査を行うためのオープンフレームワークを提供して、証明書の発行プロセスを保護することを目指す《クリックで拡大》

　GoogleのCertificate Transparency（CT）プログラムは、Webサイトで使用するHTTPS証明書の監視や監査を行うためのオープンフレームワークを提供する。これによって、不正な証明書や誤発行された証明書をより効率的に排除できる。

　スリービ氏は次のように述べた。「これはオンライン信頼エコシステムの大きな前進だ。認証局（CA）がCTに対応し、Chromeが一部のケースでCTを要求してきたことは、既に多大な成果を上げ、インターネットの安全性と信頼性を高めている。Certificate Transparencyの活用により、ブラウザとサイト所有者や関係者は、これまでとは全く違う方法で証明書の誤発行を検知して対応できるようになった。この新しい手法は、CAがコミュニティの要求とブラウザプログラムに対応できなくなったとき、発生するダメージを軽減する新しい手段となる」

　不正発行された証明書は、それが悪意によるものであろうと誤りによるものであろうと、安全であるという印象をユーザーに与え、攻撃に悪用されても気付きにくくなる。不正発行された証明書を使って作成した偽物のWebサイトでは、だまされたユーザーのログイン資格情報やその他の個人情報が盗み取られる可能性がある。

　Certificate Transparencyは、CAが発行する全ての証明書を公開ログに登録する仕組みを提供し、これによって、ドメイン所有者は発行された全ての証明書の詳細を確認できる。ドメイン所有者は監査と監視のサービスを利用して、証明書が不正にまたは誤って発行されていないか検証することができる。

　GoogleのCertificate Transparencyは、Googleのベン・ローリー氏、アダム・ラングレー氏、エミリア・キャスパー氏が2013年公開のRFC 6962 "Certificate Transparency"で実験的なインターネットプロトコルとして提唱したものに基づいている。

印刷する