初めてパスポートを取得したときの手続きをすべて思い出してみてください。出生証明のある謄本を役所で取得し、真面目な顔でパスポート用の写真を撮り、公認のパスポート受付担当者が見つめる中で申請書に署名します。

では、小切手を郵送するだけでパスポートを取得できるとしたら、自国のパスポートの効力がどれほど弱くなってしまうかを想像してみてください。

デジタルの世界で、パスポートに当たるのが証明書です。証明書を持っていれば、ウェブサイト、組織、個人の身元を証明でき、オンラインで安全に活動できるようになります。 

そして、パスポートと同様に電子証明書も、その信頼性は発行する機関の信頼性で決まります。 

認証局の信頼性を保証するものは何か？

認証局（CA）が電子証明書に署名すると、その署名は、証明書の所有者の身元と公開鍵を CA が検証したという証明の機能を果たします。しかし、その署名が意味を持つには、まず CA が公的な信頼を得なければなりません。

公的に信頼される認証局になるのは容易ではありません。組織は以下を満たす必要があります。

• 証明書の発行、認証、失効を処理できる堅牢で安全なインフラストラクチャを構築する。
• 電子証明書に関する厳格な技術基準を遵守して、相互運用性と互換性を確保する。
• 主要なブラウザおよびオペレーティングシステムのルートプログラムへの登録を申請し、厳格なセキュリティ、運用、法的コンプライアンス基準を満たす。
• 必要な基準を CA が引き続き満たしていることを確認するために、定期的な監査に合格する。
• 透明性、セキュリティと信頼性に対する継続的な取り組み、セキュリティ問題への速やかな対応を示すことによって、ユーザーや企業との信頼関係を築く。

CA としての称号を取得できる組織はわずかです。それでも、各 CA は、コネクテッドな世界全体のデジタルトラストを維持するうえで重要な役割を果たします。

ブラウザの信頼と不信に関する基本

最も一般的なタイプの電子証明書が TLS/SSL 証明書です。これは、ウェブサーバーとユーザーのブラウザ間での通信を保護するものです。ブラウザは、ウェブサイトの正当性を保証する認証局に依存して、オンラインのインタラクションを保護する際に必要な信頼性を確立します。

ユーザーがウェブサイトにアクセスすると、ブラウザがそのサイトの TLS 証明書を、信頼済みの認証局の一覧と照合します。Google、Mozilla、Microsoft などのブラウザベンダーは、認証局/ブラウザ（CA/B）フォーラムなどの団体が定めた基準を満たした認証局の一覧を独自に管理しています。

証明書が有効で、信頼された認証局によって署名されている場合、ブラウザは安全な接続を確立します。そのことを示すのが、アドレスバーに表示される南京錠のアイコンです。しかし、信頼された認証局によって発行された TLS 証明書がウェブサイトにない場合、状況に応じてユーザーには次のような内容が表示されます。

• サイトに、自己署名された TLS 証明書、または、ブラウザで信頼されていない認証局によって発行された TLS 証明書がある場合、接続がプライベートではなく保護されていないというメッセージが表示されます。
• サイトに TLS 証明書がない場合、ブラウザはそのウェブサイトへのアクセスをブロックし、アドレスバーに「保護されていない通信」という警告を表示します。
• サイトの TLS 証明書が有効期限切れの場合、「この接続ではプライバシーが保護されません」あるいは「このサイトの証明書は失効しています」といった警告メッセージが表示されます。

これらの警告は単なる邪魔ではなく、中間者攻撃、フィッシング、マルウェア配布といったセキュリティリスクから、ブラウザがユーザーを守るための機能です。信頼性の高い証明書がなければ、組織は顧客を失うリスクがあります。悪くすれば、ウェブサイトとブラウザの間で交換されるデータが攻撃対象になる可能性もあります。

不信による影響

ブラウザの信頼済みリストに追加されても、認証局がそこに恒久的に掲載されるわけではありません。むしろ逆で、信頼を維持するには、厳しいセキュリティ基準を常に満たし続けなければなりません。 

ブラウザは、いくつかの理由から CA をそのリストから削除することができます。セキュリティ侵害、証明書の誤発行、不正な証明書の発行、業界標準に対する不遵守などが挙げられます。そして、CA が信頼を失うと、証明書も信頼を失うことになります。 

企業にとって、信頼できない認証局が発行した証明書を継続して使用すると、顧客からの信頼を失い、ウェブサイトへのアクセス数が減少して、財政上の損失につながる可能性があります。ユーザーにとっては、フィッシング攻撃をはじめとするオンラインの脅威の被害に遭うリスクが高くなります。

認証局への不信がもたらすリスクと影響については、どの組織も知っておくべきものです。しかし、コンプライアンスとデジタルトラストへの取り組みが実証されている認証局と提携すれば、企業とその顧客を保護することができます。

誤発行は、コードのバグや人為的ミスなど、さまざまな理由で発生します。また、どの認証局でも起こり得ます。信頼される認証局としてあり続けるかどうかは、誤発行だけではなく、認証局の対応によっても決まるのです。

CA の不信から組織を守るには

繰り返しますが、証明書の信頼性失墜を防ぐ最善の方法は、確かなコンプライアンス実績を持つ信頼性の高い認証局と協力することです。デジサートは、コンプライアンスを信頼性の測定および検証の指標としてだけ見ているわけではありません。CA/B フォーラムを共同設立した認証局メンバーとして、顧客と、顧客のユーザーのために、インターネットをより安全でセキュアなものにするという CA/B フォーラムの取り組みに継続的に貢献しています。

また、デジサートは、以下を備えたDigiCert Trust Lifecycle Manager などの包括的なソリューションを提供し、お客様が証明書をより管理しやすくなるよう努めています。

• PKI 証明書の検知
• パブリックおよびプライベートのあらゆる証明書の完全なリポジトリ
• きめ細かな可視性と運用管理
• 証明書の有効期限切れの事前通知
• 脆弱性への対策
• 各種の認証局間のガバナンスと、ビジネスシステムとの相互運用性

証明書ライフサイクル管理（CLM）を自動化することは、証明書の誤発行や有効期限切れによるサービス停止を防ぐための最良の方法のひとつです。DigiCert Trust Manager のような CLM ソリューションと、デジサートをはじめとする信頼された認証局が発行する電子証明書を組み合わせれば、証明書の信頼性に関する問題は完全に解決できます。

デジタルトラストに関する最新情報

CA/B フォーラム、コンプライアンス、証明書ライフサイクル管理などのトピックについて詳細をご希望ですか？ 記事を見逃さないようにデジサートのブログを参照してください。