運用の観点を交えて取り上げ、Webサーバのセキュアな運用をめざすエンジニアが知っておくべき動向と最新の話題をお届けします。~向き合おう、”グローバル”インターネット~」が、浅草橋のヒューリックホール&カンファレンスで開催される。セキュリティ関連のプログラムでは、(ISC)2が認定する情報セキュリティの国際資格であるCISSP維持のための「CPEクレジット」も貯められる。認証局とHTTPSの最新動向」について、日本ネットワークインフォメーションセンター(JPNIC)の木村泰司氏に話を聞いた。――2017年は証明書に関していろいろありましたが、このプログラムを企画した狙いを教えて下さい。今年はWeb周りの認証、いわゆるHTTPSや認証局に関して、動きがあった年だと思います。SSLサーバ証明書の一種であるEV証明書について、大手事業者が発行する証明書でも「EVの表示にならない」ということが起こりました。仕様がほぼ固まり、いくつかの課題が解決したら実装が出回り始めるでしょう。Webサーバの設定はデフォルトでもそこそこ運用できるようになっているので、動いているサーバもたくさんあると思います。TLSや証明書の具体的な話となると、「TLS1.3を入れると何がいいのか?ネットワークへの影響は?」「サーバ証明書の見え方が変わってしまうのはなぜなのか?」など、結構迷われることがあるのではないでしょうか。証明書に絡んだ話となるとサーバの設定上では分かりにくい問題が起こりがちで厄介ですし、CTログの扱いにしても良い面と悪い面があって判断しかねる事があると思います。公開前のWebサーバのホスト名が検索できてしまうなど、CTログで公開されている情報の是非について議論が続いています。このグローバルな組織間の関係が影響してくる話は、認証技術に詳しい一部の人には知られていても、必要に応じてWebサーバを動かす立場の人には分かりにくいのではないかと思います。この状況で橋渡しになるようなセッションを設けたいと思い、今回のプログラムを企画しました。Transparencyログ」の略です。2011年頃に商用の認証局が不正な証明書を発行してしまう事件が起きたことから、同一のホスト名を持つような不正な証明書を検出できるように、Googleなどが提案しIETFで標準化された仕組みです。現在WebブラウザのChromeでは、このCTログに対応しているサーバ証明書かどうかを必ずチェックし、ユーザーが不正な証明書を見つけられる状態を一般的に作り出しつつあります。FirefoxにもこのCTログをチェックする動きがあります。ブラウザと認証局の力関係が変わってきている、という点も注目すべきポイントです。今回のプログラムでは、このあたりについてWebサーバなどを運営している方に分かりやすく解説したいと考えています。――ブラウザと認証局の力関係が変わったからと言って、Webサーバを管理する方などが、具体的に何か対処すべき問題が起こるのでしょうか?例えばいくつかの政府による認証基盤のWebサーバ証明書(日本ではGPKIと呼ばれる認証基盤によるサーバ証明書)は、ブラウザベンダーによる検査への対応に追い付いていないものがあります。CA/Browserフォーラムにおける基準とガイドライン、認証局における認証業務の監査という形で信頼性が担保されてきたという形だったものが、現在は更に、Webブラウザによる検査や無効化処理が行われていないもの、ということになります。この形態に対応できない認証局の証明書は有効と表示されないということが起こります。Webサーバに携わっている人は、ぜひ押さえておいたほうがいいところです。Encryptを使いたい方もかなり増えてきていると思います。Encryptのサーバ証明書はCTログに対応していて、DV(ドメイン・バリデーション)証明書としては技術への対応が早いものであると言えます。他の証明書との違いや特徴のあたりを今回のプログラムで押さえていただきたいと思っています。――具体的にプログラムの中身はどのようになりますか?ヤフー株式会社の大津繁樹さんには、大規模なサービス運用を行う立場から知っておくべきTLSプロトコルの動向について話していただきます。Connections)という新しいプロトコルの動向と耐量子暗号についてもカバーして頂く予定です。PKIを支えるトラストの動向」という観点で、先ほど話したCTログやその影響、ブラウザと認証局の力関係といった話をいただけると思います。――このプログラムをどういう方に聴いてもらいたいでしょうか?プログラムの参加者やメッセージがあれば、それもあわせてお願いします。Webサーバを動かしている方や、httpsの動向に関心を持っている技術者の方には、ぜひとも聴いてもらいたいと思います。証明書とか認証局に関する最新動向は、ブラウザがグローバルに開発されているものであることから、国内動向だけを見ていてもダメという類いのものです。Week全体のテーマ「向き合おう、"グローバル"インターネット」の通り、普段運用などの業務がある中で、こういったグローバルな動きを、どういう風に効率的に押さえていけばいいのか、また具体的に「使える」情報をお伝えできればと思っています。Encryptでいいや」ではなく、一歩進んだ、そして自信を持った証明書の選び方やサーバ運用をしていただければと思います。多くの方のご来場をお待ちしています。本セッションで取り上げるCAやトラスト、TLSなどのプロトコルについての論点と全体像について紹介します。後半のパネルディスカッションに向けた本セッションのイントロダクションです。HTTPS対応した大規模サービスの運用の現場では、一度HTTPS化したらそれで終わりということにはなりません。対外的なアクセスが全てHTTPSになるため、TLS通信でインシデントが発生するとその影響はこれまでになく広範囲で大きなものになります。長期的に安全で安定したサービスを提供するためには、暗号技術や攻撃方法など動向を把握した上で将来の運用を考えることが必要です。本講演では、今後のHTTPSサービス運用で知っておくべきTLSプロトコルの現状の課題と最新動向について技術的な観点から解説します。してHTTPSにしないといけないのか。今後TLS1.0をどうしたらいいのか。暗号方式のSPOF解消に向けて(非NIST暗号の特徴)。TLS1.3でどう変わるのか。耐量子暗号を見据えて。PKIの上に成り立っていますが、2010年前後を境にその認証局の信頼が乱れ始めました。PKIを支えるトラストを回復するための取組みが始まっています。一方で、このようなトラストの乱れや取組みは、Webブラウザの挙動変更や利用している証明書の毀損など、一時的とは言え様々な影響をHTTPSサービスにもたらします。PKIを支えるトラストの動向について解説します。HTTPSのサーバを運用するにあたって、TLS、認証、トラストなどの最新動向をどう捉えたらいいのか。つきましては、予告なく変更になる場合があります。サービス起動時に操作するファイルの検証不備に起因する、任意のファイルの書き換えが可能となる脆弱性が、報告されています。ブラウザ、狙われるダークウェブ利用者ダークウェブへの入り口ともいえるTorブラウザ。オニオンルーターという追跡を困難にするしくみを利用したブラウザで、ブラック、ホワイトを問わずハッカー御用達ブラウザといってよい。HTTPS(DoH)について講演した。DoHは、いくつかのブラウザで実装が進み、試験運用などがスタートしているが、DNSの権威であるビクシー氏はどう考えているのだろうか。年は全体的なサイバー攻撃傾向として、サプライチェーンや取引先を通じたサイバー攻撃事案が多く確認されました。包括的なサイバーセキュリティ対策が世界的に求められていますが、その責任範囲を示すものが無い上、現実的な対応にも限界が見られました。会員限定記事をすべて閲覧できます。アップグレードすれば全ての限定コンテンツにフルアクセスできます)。当サイトに掲載の記事・見出し・写真・画像の無断転載を禁じます。