CA/B フォーラムは、認証局（CA）に対して、S/MIME 証明書に含まれるメールアドレスの CAA（CA 認証）処理を採用するよう要請する投票を開始しました。

管理をドメイン所有者の手に

CAA はもともと、.rfc-editorドメイン所有者が DNS を使用して、そのドメインに対する TLS 証明書の発行を承認された CA を指定する方法として、RFC 8659 で定義されました。CAA レコードは、ドメインの使用をめぐる保有者の管理性を強化し、意図しない証明書の誤発行リスクを軽減します。

新しい CA/B フォーラムの要件では、S/MIME ベースライン要件を修正して、CAA の採用がパブリックトラストの S/MIME 証明書にまで拡大されます。これは、.rfc-editorデジサートのテクノロジーストラテジストである Corey Bonnell が執筆した新しい RFC 9495 に従ったものです。

RFC 9495 では、CAA 処理をメールアドレスに適用する方法が規定され、S/MIME の文脈で使用する新しい CAA プロパティタグ "issueemail" が定義されています。1 つ以上の "issueemail" プロパティタグを追加することで、ドメイン所有者はメールドメインに対する S/MIME 証明書の発行を承認された CA を指定できます。

SMC05 投票で提案されたタイムライン

CA/ブラウザフォーラムの S/MIME 証明書ワーキンググループは、メールへの CAA 導入を諮る SMC05 投票の最終段階に入っています。この投票の提案によると、CA は 2024 年 9 月までに S/MIME に CAA を導入することが推奨され、2025 年 3 月までの導入を義務付けられます。

CAA の利用はドメイン所有者にとってオプションのセキュリティ手法ですが、S/MIME 証明書を発行する前に CAA のチェックを実施することが、パブリック認証局にとって必須となります。

デジタルトラストに関する最新情報

証明書管理、エンタープライズセキュリティ、PKI などのトピックについて詳細をご希望ですか？ 記事を見逃さないようにデジサートのブログを参照してください。