update.はじめにどうも、去年のAdventCalenderがQiita初投稿でしたが、今年のCalenderで2投稿目という、itamitoです。何に?12/9までに記載しなければならない本記事、時間オーバーでした。中途半端で公開してます...「Qiitaは、プログラミングに関する知識を記録・共有するためのサービス」を今知りました。本記事はプログラミングには関係しないかも。forumの流れなどを起点に、証明書の世界の行く末を占う意見を載せたいと思います。forumってなに?あまり知らないですよね、かくいう自分もいろいろ仕様変更が乱発されるようになってから知りました。・証明書にかかわる主要な会社(CAとブラウザベンダー)が、現在のトレンドやセキュリティ技術などをみて議論する場(仕様変更含む)・CA自体を承認する場ですね。最近の議論と、その結果は?詳しい人は良く知ってると思うんですけど、最近、CA/B発祥の証明書仕様変更が多いですね。今年分だけでも...1.長期証明書の発行終了(Ballot193によるもの)825日以上の有効期間をもつ、エンドエンティティ証明書の発行をしないといったもの。Ballot185で否決されたもの2.CAによるCAAレコードチェックの義務化など、結構大きな変更が決められているようです。ちなみにCA/Bでの決議採択は投票により決められるようなんですが、否決されたものでは次のようなものがあるようです。1.長期証明書の発行終了(Ballot193に引き継がれてます)2.SANsなどにアンダースコア文字を使えるようにするもの最近(2013年ごろから?)は、ブラウザベンダーの力が強くなっているようで、議論の開始はブラウザベンダーからが多いように見受けられます。CAたちに比べてブラウザベンダーの数が少ないので、投票の重みも大きいことで意見集約等がしにくいとかも一因としてはありそうです。本質的な部分では、CA陣営がいろんなミスを頻発させたことによるものが大きい気がします。Symanteが所有権のないドメインのテスト証明書を発行してた件などなど...Symantecさんもこのあたりの力関係に負けたのかな?周辺は?テスト証明書を不正に発行したせいで、mozilla.dev.securityなどで議論されて結局Digicertに買収される形になったSymantecの件は、ほかにも影響を及ぼしているようです。Transparencyの仕様変更がらみでCTログサーバに登録が義務化された背景に、この証明書不正発行たちがあったようですし。...Googleって、自分が自分のために認証局を運営し始めてるので...http://www.itmedia.co.jp/enterprise/articles/1701/27/news058.htmlこれも結構グレーなんじゃないかと思うなぁ。rootはGlobalsignだけど。今後のこのあたりの進む先...ブラウザベンダーなどは、セキュリティ面を考慮して、期間の極端に短い証明書の発行を望んでいるようです。この望みはわかる気がします。今後量子コンピュータのような計算がとても速くできる機構が生まれたとき、現在の2年物の証明書が発行されていた場合は解読された場合の影響が大きいので...。(再発行とか含めて)ただ、個人的にはこれは、「ログインパスワードを定期的に変更しましょう」と同じ理屈で、リスクの軽減方法でしかないと思うので、意味としては薄そうに感じます。管理の面からもあまりに長い有効期間の発行は良くないと思うので、いまよりも短縮されるでしょう。私見ですが、1年物よりも長いものは発行されなくなりそうだと、思います。ここからはちょっと邪推かもしれませんが...IoT機器を意識すると、小型コンピュータにファームウェアレベルで証明書を組み込むパターンが多くあると思います。いった場合に、あまり期間の短い証明書を発行されると、入れ替えが難しいために困りますよね。するとIoTのメーカーは、そもそもCAを利用せず独自の仕組みを利用するようになるでしょうから、CAを使わなくなるのでは?と思います。...一種のCAが関与する部分の引きはがしを図っているようにも考えることができるかなと。最後にだいぶ中途半端に意見を書いてきましたが、中には解釈の間違い等あると思います。書きたいな~と思ってたこともあったのですが、時間切れで書けませんでした。機会に記事書きなおすかも...です。つたない文章でしたが、読んでくださった方、ありがとうございました。upLoginユーザーは見つかりませんでした。