technophobic.2017-03-27Symantecが再びGoogleの信頼を失った件についてのメモPKI(初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。Sleeviさん(Googleの人)がBlink-devのメーリングリストに投稿したこれにまとまっています:https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。year.ざっくり訳すと、Symantecから新規に発行される証明書は、有効期限が9カ月以下のものしか受け付けない。Chromeのリリースごとに徐々に、最終的にはすべてdistrustする。信頼が回復されればこの措置は解除するがたぶん1年以上後だろう。技術的な詳細に関しては、SleeviさんがGitHubに上げているドキュメントが参考になるでしょう。GitHubまた、後述のようにこの話題はmozilla.dev.security.policyというメーリングリストでやり取りされていたので、少なくともMozillaはある程度歩調を合わせると思われます。よれば、影響を受けるのは、Chromiumのnet/data/ssl/symantec以下に含まれる証明書をルートとする証明書です。今回の経緯を見る前に、まずは2年前を思い出してみましょう。Symantecには前科があります。Security)私もすっかり忘れてたんですが、Symantec傘下のThawteは、Googleの許可なしに、google.comとwww.google.comのEV証明書を発行してしまったのでした。それを受けて、GoogleはSymantecのルート証明書を無効にします。Symantecが今回やらかしたことGがSymantecに激おこの件。誤発行数の多さというよりシマンテックの証明書発行システムを十分なチェックなしに他の組織に使わせていたことと指摘されてもそれをちゃんと開示しなかったことが原因なのね。今回Googleが怒っているのは、EV証明書が大量に発行されたことそのものではなく、前回の再発防止策がまったく徹底されていないことです。事が明るみに出たのは2カ月ほど前。mozilla.dev.security.policyへの以下の投稿でした。Symantecが、自身が所有していないexample.comなどのドメインに勝手に証明書を発行しているのがCTのログから見つかった、というものでした。https://groups.google.com/d/msg/mozilla.dev.security.policy/fyJ3EK2YOP8/yvjS5leYCAAJこれに対するSleeviさんの怒りの投稿がこちら。改善するっつったのにできてなくない??という感じです。2017年2月9日で、1カ月ちょっとの間ここで長いやり取りが繰り返されて、Symantecの中の人から満足いく回答が返ってこなかったので今回の対応に至った、ということのようです。私たちの証明書発行業務ならびに過去の不適切な発行の影響範囲に関するGoogle社のステートメントは誇張されており、誤解を助長するものです。私たちが3万枚の証明書を不適切に発行したとするGoogle社の主張は正しくありません。Google社が言及する事象において、3万枚ではなく、127枚の証明書が不適切に発行されましたが、これによる被害は消費者には及んでいません。Connect)という風にSymantecは言っていますが、上に書いたように結果の問題ではないので、Googleからすれば的外れな反論ということになるでしょう。考慮点とはいえ、Symantecが不満をにじませているように、若干見せしめっぽい雰囲気も感じます。全ての大手認証局がSSL/TLSサーバ証明書の不適切な発行という事態を経験している中、Google社はブログの中でいくつかの認証局における問題の存在を指摘しつつ、Symantecの認証局のみをその提案の対象としています。Connect)あとはそもそもSleeviさんが既存のCAに対して批判的な立場にいる(でもComodoの人とは仲がよさそう)、ということも頭の片隅に入れたいところです。09:05Symantecが再びGoogleの信頼を失った件についてのメモTweet広告を非表示にする関連記事2018-02-20ネットワークセキュリティ関連で追っているTwitterアカウント・ブログを聞かれる機会があったので、主なものをメモっておきます。2017-12-15メモ:EV証明書でブラウザのURLバーを緑色にするのもうやめない?という話またSleeviさんがなんかぶっこんでいるのでメモ。Encryptで障害が起こっていました。Actionsでpkgdownサイトをビルドする月別アーカイブはてなブログをはじめよう!yutannihilationさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。