SSL証明書のCT(Certificate Transparency)への対応について
2018/04/30 からChromeでのCT義務化がスタートします。
SSL証明書を利用してWebサービスを提供している管理者は、利用中のSSLサーバ証明書を確認して、サイトアクセス時の警告/エラーを回避する必要がありそうです。
詳細は下記サイトをご覧ください。
CT(Certificate Transparency)への対応について
CT(Certificate Transparency)とは
リンク先から引用。
CTは証明書発行の証跡を第三者の監査ログに記載する仕組みです。
主に、ウェブサイトの運営者やドメイン名の管理者が、その監査ログサーバを確認することで、自分のドメインに対して不正な証明書や、ポリシー外の認証局からの証明書が発行されていないかを検証することができます。
それにより利用者が不正に発行された証明書を信頼することを防止します。
監査ログサーバに証明書を提供する事で、ブラウザ等のクライアントは、そのログの中にその証明書データが登録されているかどうかを確認する事が出来ます。
全部は把握できてないので、一部だけメモ。
グローバルサインの場合
こちらもリンク先から引用。
アルファSSL 2016年08月29日以降に発行されるアルファSSLが対応予定です。 クイック認証SSL 2016年08月29日以降に発行されるクイック認証SSLが対応予定です。 企業認証SSL 2017年10月30日以降に発行される企業認証SSLが対応予定です。 EV SSL 2014年12月24日以降に発行された証明書は対応しております。 グローバルサインは今回の警告対象とはなっておらず、CTに非対応の証明書でも警告が出る事はない事を認証局に確認しております。
CTに非対応でもエラーメッセージが出るわけではないので直近で影響はなさそう。
AWS Certificate Manager (ACM)の場合
以下のリンクを参考。
AWS Certificate Manager (ACM) が Certificate Transparency (CT) をサポートするための準備 | Amazon Web Services ブログ
AWS Certificate Manager (ACM)のCertificate Transparency (CT)サポートが始まります ｜ Developers.IO
4/24からログ記録しますよ。無効にしたい人は3/27から無効にしてね。その場合はChromeでエラー表示されますよ。という解釈。
【訳注】Google の記事に詳細が記載されていますが、2018年4月24日までに ACM で発行された証明書には SCT 情報が付いていませんが、SCT 情報が付いて無くても Google Chrome でエラーメッセージが表示されるなどの影響は現時点では予定されていません。
CTログ無効化しない場合、SCT情報がなくてもエラーメッセージが出るわけではないので直近で影響はなさそう。
最後に
有効にするか無効にするかの判断材料については把握していません。
もう少しwatchしておく必要がありそう。
