S/MIME証明書 CA/ブラウザフォーラムのワーキンググループは、S/MIME Eメール証明書のベースライン標準の作成に取り組んでいます。

Stephen Davidson DigiCert Inc. ガバナンス、リスク＆コンプライアンス部門、S/MIME証明書 ワーキンググループ 議長

S/MIME証明書 ワーキンググループ(SMCWG)は、CA/ブラウザフォーラムの最新の専門サブグループであり、Eメールで使用される電子証明書を発行する認証局(CA)のため最初のグローバルな要件を作成することに焦点を当てています。

• Eメールの内容の完全性を保護したり、Eメールの出所や真正性を明示するためにデジタル署名を利用します。合意や内容の約束を表現するために署名を使うこともあります。
• 機密性を保護するための暗号化を提供します。

2020年8月に結成されたSMCWGには、世界中の主要CA、証明書利用者（企業向けEメールゲートウェイを含むEメールソフトウェアやクラウドサービスの重要なプロバイダを含む）、WebTrust、欧州認定適合性評価団体協議会などの監査機関、業界の専門家を代表する37名のメンバーがすでに所属しています。

なぜグローバルS/MIMEのベースラインが必要なのか？

SMCWGが直面している課題の一部は、S/MIME証明書が多くの方法で実装される可能性があり、これはTLS/SSLサーバ証明書のような他の証明書タイプとは異なっているということです。例えば、鍵は、ユーザがソフトウェアで生成しローカルに保持したり、モバイルデバイスや暗号トークンで生成し保持されます。同様に、Eメールサービスや企業の鍵管理システムやEメールゲートウェイによりクラウド上に保持されることもあります。時としてS/MIMEは、認証や署名に使用する証明書の追加機能として扱われてきた側面があります。また、データ保持の必要性から、Eメールのアーカイブ処理が必要な場合に暗号化に使用する秘密鍵をエスクロー（第三者委託）しようとする業界もあります。

同時に、S/MIME証明書に関する既存の規格のほとんどは、業界、プラットフォーム、公共部門のプログラムに特化したものでした。その結果、歴史的にほとんどのEメールソフトウェアアプリケーションは証明書の処理に寛容であり、暗号化にディールブレイカー的な欠陥がない限り、S/MIME機能を利用できるようにしてきました。

SMCWGは、既存の技術標準を統合し、Mozilla、Gmail、米国連邦政府公開PKI 、ETSIを含む現在の業界要件からのベストプラクティスを統合して、S/MIME証明書のための最初の世界的なベースライン標準を作成することを目的として設立されました。パブリックに信頼された証明書を対象としていますが、結果として得られる S/MIME ベースライン要件は、他のグループとの相互運用性を確立しようとしている企業など、私的に信頼された S/MIME の実装にも同様に関心を持たれると考えます。

S/MIMEのベースライン要件は何をカバーしますか？

SMCWGは、まず認証局とリーフ証明書（エンドエンティティ証明書）を発行するためのベースライン証明書プロファイルを作成することを目標に、作業のロードマップを作成しています。初期バージョンでは、現在使用されているコア要件とベストプラクティスの文書化に焦点を当て、有用な規格を可能な限り迅速に進めることを目指します。今後のバージョンでは、例えば、依拠当事者が証明書のリスクを評価する際に役立つ可能性のある証明書の側面を特定することでセキュリティレベルを上げることに焦点を当てます。

さらに、S/MIMEベースライン要件では、個人のEメールボックス、またはドメインの下にあるすべてのメールボックスを管理する企業のいずれかについて、認証局がEメールアドレスの管理を検証するための中核的なプロセスを定義します。

S/MIMEベースライン要件は、鍵管理、証明書ライフサイクル、および物理/論理セキュリティを含む認証局運用慣行などCA/Bフォーラムのベースライン要件に見られる既知の分野もカバーします。

SMCWG は、自然人および法人の ID 認証については、そのプロセスの後半で対処することを決定しました。このような洞察を提供する証明書の透過性がないため、グループはSubjectDN フィールドの利用とその根拠に関する情報を収集できるようにします。

EメールのS/MIMEセキュリティを向上

他の CA/B フォーラムのベースライン要件は、ルートストアプログラムや独立した監査により強制できるよう特定の要件を明確に文書化することで、CA エコシステム全体で TLS/SSLサーバ証明書 やコードサイニング証明書など、他の証明書タイプのセキュリティを改善する上で顕著な影響を与えてきました。データプライバシーへの関心が常に高まっていることからも、最終的にはS/MIMEのベースライン要件がEメール通信のセキュリティを向上させることになると考えています。