ここ何年もの間、通常の証明書の有効期間は短縮化されており、企業によっては 1 日未満の有効期間の証明書を使っています。デジサートでは、有効期間が数時間の証明書を API を通じてサポートできますが、ほとんどの企業はこれを可能にする証明書の敏捷性を有していません。

有効期間の短い証明書のセキュリティメリットが、企業における証明書ライフサイクル管理ワークロードの増加のコストを上回るには、まず自動化の実施とシステムのテストを行っていく必要があります。この投稿では、有効期間の短い証明書とセキュリティの向上が直接的に関連していること、またベストプラクティスへの準拠につながることを示します。

証明書の有効期間が短くなっている理由

証明書の有効期間が短くなれば、セキュリティが向上し、失効のスムーズ化やポリシーの敏捷性の促進など、問題の解決につながります。有効期間の短い証明書により、危殆化された証明書や盗まれた証明書を潜在的な攻撃者が悪用する機会が最小化されます。また、従来の失効方法には欠点があります。それは、有効期間の長い証明書を交換する際に、自動化なしでは迅速に対応するのが困難な点です。証明書失効リスト（CRL）は、すべての人がダウンロードするには大きすぎで、オンライン証明書ステータスプロファイル（OCSP）は、訪問先の Web サイトをネットワーク詮索者に知らせてしまうおそれがあります。OCSP と CRL の有効期間は、平均して 24～48 時間で、サインインすると全有効期間の間有効になります。これが、今日における失効化された証明書の存在期間です。

CA/B フォーラムの要件がより短い有効期限を設定する傾向に

時おり、Web PKI が実行される方法について調整が必要になります。CA/ブラウザ（CA/B）フォーラムでは、これらの変更が定期的に議論され、有効期間が 3～2 、1 年に短縮される傾向にあります。ここで、Chrome が 90 日間の証明書有効期限を提案しました。しかし、業界全体に適用される比較的小さな変更を実施するにも、適切な伝達、認識の育成、テストと実行に 1 年の時間がかかります。証明書の有効期間が 1 年になった今、DNS 登録の一般的な有効期限を証明書の有効期間に合わせるのが、ポリシー変更の必要作業ではなくなっています。

Chrome は 90 日間の証明書への移行を確定しておらず、この提案のスケジュールも指定していません。Chrome は現在、この決定に対するコミュニティからのフィードバックを求めています。

有効期間はどれくらい短くする必要があるか

Web PKI の敏捷性を改善する上で、有効期間を 90 日間にするのが次の最善のステップであるかどうかは定かではありません。失効の短縮は、これよりもかなり短い（何日から何週間）証明書を必要とします。90 日間の証明書に移行しても失効の問題は改善されません。危殆化された証明書が存在するには長すぎることに変わらないからです。失効を処理する別の方法として、有効期間が 1 週間以内の証明書を発行することができます。そのような証明書では失効情報を必ずしも必要としません。それらが有用になる前に証明書が期限切れになるからです。同時に、有効期間が 1 週間以内の証明書に移行するには、業界であらかじめ自動化を導入している必要があります。

自動化の役割とは

自動化されたプロセスでは、危殆化された証明書の失効と交換が数分以内で可能になります。これにより、システムへの影響が最小化され、ダウンタイムが削減されます。デジサートは、何年も前から自動化の実施を顧客に働きかけていますが、PKI の自動化を始める最適なタイミングは今です。デジサートが実施した PKI 自動化の調査によると、PKI 自動化について議論したことのある組織は 91% に上るものの、自動化ソリューションを実際に導入または使用した組織は 24% にとどまっています。自動化をまだ導入していない企業が、企業全体のあらゆるデバイスとエンドポイントに広く自動化を実装するのは困難であることは理解できます。

しかし、証明書の有効期間が短くなるにつれ、証明書を毎週、大規模に手動で交換するのは不可能なため、自動化は不可欠になります。有効期間の短い証明書を試してみたい顧客は、この作業を処理する自動化ソリューションを必要とします。幸いなことに、この 5 ～10 年の間に、ACME などの自動化テクノロジーは急速な進化を遂げてきました。ひとたび自動化に移行すれば、将来の証明書の交換は一層容易に行え、有効期間の短い証明書の検証も可能になります。デジサートの自動化機能に付随して、デジサートの一部のお客様はすでに有効期間の短い証明書を採用しています。

さらに、これらのテクノロジーが当たり前になるには、解決しなければならない多くの課題があります。実装に関する問題に加えて、負荷の増大をサポートするため証明書の透明性ログ（CT Log）をアップグレードする必要があります。デジサートは、証明書の透明性に対する追加の改善を IETF を通して提案する予定です。これにより、証明書の有効期間の短縮化による負担を削減し、この証明書の導入をより現実的なものにします。

デジサートと連携した自動化の実装

PKI 管理の自動化を準備する際には、次のステップをとることをお勧めします。1) 現在の証明書環境の特定、2) 企業ポリシーに準拠しない鍵と証明書の修復、3) ベストプラクティスを実施することによる証明書インベントリの保護、4) 証明書インフラストラクチャを継続的に監視し、問題が発生する際に迅速かつ効率的に対応。証明書ワークフローにも同様のことが当てはまります。まず特定から始め、次に導入を行ってから、最後に継続的な監視を行います。詳細については、PKI の自動化のためのベストプラクティスに関するブログをご覧ください。

PKI 自動化をご検討の場合、デジサートの自動化ソリューションをぜひ考慮に入れてください。このソリューションは実装と管理が簡単です。デジサートの自動化ソリューションについては、https://www.digicert.com/jp/trust-lifecycle-manager#overview をご覧ください。