-
Notifications
You must be signed in to change notification settings - Fork 4
/
747.txt
274 lines (204 loc) · 13.2 KB
/
747.txt
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
[35] [DFN[[RUBYB[ルート証明書]@en[root certificate]]]]は、[[証明書]]の検証の起点となる[[証明書]]です。
[[Webブラウザー]]などの [[TLSクライアント]]は、自身 (の[[利用者]]) が信頼する[[ルート証明書]]群を保持しており、それを使って [[TLS]]
によって受信した[[サーバー証明書]]を検証します。
* 仕様書
[REFS[
- [14] [[BR]] ([TIME[2014-11-01 05:54:38 +09:00]] 版)
<https://cabforum.org/wp-content/uploads/BRv1.2.3.pdf#page=12>
]REFS]
* ルートCA
[8] [[Application Software Suppliers]] によって[[ルート証明書]]が配布されると共に、
[[下位CA証明書]]を[[発行]]する最上位[[認証局]] ([[CA]]) を[DFN[[RUBYB[[[ルートCA]]]@en[Root CA]]]]といいます [SRC[>>14]]。
[33] [[BR]] は[[ルートCA]]に対する要件を定めています。
* ルート証明書
[32] [[ルートCA]]が自己を識別するため、および[[下位CA]]に[[発行]]した[[証明書]]を[RUBYB[検証]@en[verify]]させるために[[発行]]する[[自己署名証明書]]を[DFN[[RUBYB[[[ルート証明書]]]@en[Root Certificate]]]]といいます [SRC[>>14]]。
[34] [[BR]] は[[ルート証明書]]に対する要件を定めています。
次のものは[[ルート証明書]]に関する規定があります。
[FIG(short list)[
- [[証明書ポリシー]]
- [[extended key usage]]
]FIG]
[31] [[Webブラウザー]]等の[[TLSクライアント]]は[[ルートCA証明書]]に次の[[メタデータ]]を付与して管理しています。
[FIG(short list)[
- [[EV証明書]]用であるか否か
- [[trust bits]]
]FIG]
* ルート証明書採用ポリシー
[47] 各種の [[OS]] や [[Webブラウザー]]の事業者は、自身の製品に含める[[ルート証明書]]について基準を設けて公表しています。
各[[ルートCA]]は各基準に従い運用していることを事業者に示し、
[[ルート証明書]]を事業者に提供しています。
[48] 各事業者の基準はそれぞれに異なりますが、 [[CA/Browser Forum]] の運用基準や
[[WebTrust]] の監査基準に従うこと、またはそれに相当することを求めているものもあります。
[49] いずれにせよ、ほとんどの[[利用者]]は[[ルート証明書]]の選択を完全に[[利用者エージェント]]に委ねていますから、
各事業者が[[ルートCA]]を厳格に審査し信頼できる[[ルート証明書]]のみを含めることが極めて重要です。
[REFS[
- [43] [CITE@en-US[Info about Root-Embedding Programs - CA Trust Anchors in Browsers/OS]]
([TIME[2015-04-02 12:22:39 +09:00]] 版)
<https://cabforum.org/browser-os-info/>
- [25] [CITE@en[Mozilla CA Certificate Policy — Mozilla]]
([TIME[2015-04-06 18:34:55 +09:00]] 版)
<https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/>
-- [26] [CITE@en[Mozilla CA Certificate Inclusion Policy — Mozilla]]
([TIME[2015-04-06 18:36:16 +09:00]] 版)
<https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/inclusion/>
-- [39] [CITE@en[Mozilla CA Certificate Maintenance Policy — Mozilla]] ([TIME[2015-04-06 23:03:08 +09:00]] 版) <https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/maintenance/>
-- [40] [CITE@en[Mozilla CA Certificate Enforcement Policy — Mozilla]] ([TIME[2015-04-06 23:03:24 +09:00]] 版) <https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/enforcement/>
- [5] [CITE@ja[Operaに含まれているルート証明書の取得]]
([[ドキュメント]] 著, [TIME[2015-03-14 20:51:34 +09:00]] 版)
<http://www.opera.com/docs/ca/>
- [44] [CITE@en[Introduction to The Microsoft Root Certificate Program - TechNet Articles - United States (English) - TechNet Wiki]]
([TIME[2015-04-02 12:21:48 +09:00]] 版)
<http://social.technet.microsoft.com/wiki/contents/articles/3281.introduction-to-the-microsoft-root-certificate-program.aspx>
- [45] [CITE[Root Certificate Policy - The Chromium Projects]]
([TIME[2015-04-02 11:12:06 +09:00]] 版)
<http://dev.chromium.org/Home/chromium-security/root-ca-policy>
- [46] [CITE@en-US[Apple - Root Certificate Program]]
([[Apple Inc.]] 著, [TIME[2015-04-02 12:22:45 +09:00]] 版)
<http://www.apple.com/certificateauthority/ca_program.html>
]REFS]
* 相互運用性
[36] [[相互運用性]]のためにはすべての[[クライアント]]がまったく同じ[[ルート証明書]]の[[集合]]を保持している必要がありますが、
実際には各[[クライアント]]の開発元や[[クライアント]]を実行する環境のシステム管理者、
末端の[[利用者]]の設定などによって利用できる[[ルート証明書]]は異なります。
[38] 実際に、 [[HTTPS]] で利用される[[サーバー証明書]]が変更され、必要な[[ルート証明書]]が変化したためにある日突然[[クライアント]]が正しく動作しなくなるトラブルがしばしば起こっています。
[37] 多くの環境で利用できる[[ルート証明書]]を用いた[[証明書]]ほど[[相互運用性]]が高いため、
[[証明書]]を[[発行]]する [[CA]] を選択する基準の一つともなっています。
* メモ
[41] [CITE@en-US[Mozilla CA Certificate Policy]]
( ([[Frank Hecker and Kathleen Wilson]] 著, [TIME[2013-12-03 01:48:20 +09:00]] 版))
<http://www.mozilla.org/projects/security/certs/policy/>
[1] [CITE@ja[ルート証明書 - Wikipedia]]
([TIME[2015-02-05 09:57:04 +09:00]] 版)
<http://ja.wikipedia.org/wiki/%E3%83%AB%E3%83%BC%E3%83%88%E8%A8%BC%E6%98%8E%E6%9B%B8>
[4] [CITE[cURL - Extract CA Certs from Mozilla]]
([TIME[2015-02-09 19:02:35 +09:00]] 版)
<http://curl.haxx.se/docs/caextract.html>
[2] [CITE[Mozilla::CA - search.cpan.org]]
([TIME[2015-03-08 10:00:58 +09:00]] 版)
<http://search.cpan.org/dist/Mozilla-CA/lib/Mozilla/CA.pm>
[3] [CITE@en[gisle/mozilla-ca]]
([TIME[2015-03-08 10:01:49 +09:00]] 版)
<https://github.com/gisle/mozilla-ca>
[6] [CITE@en[CA:IncludedCAs - MozillaWiki]]
([TIME[2015-03-21 11:10:02 +09:00]] 版)
<https://wiki.mozilla.org/CA:IncludedCAs>
[FIG(quote)[
[FIGCAPTION[
[7] [CITE@en[Necko/Differences - MozillaWiki]]
([TIME[2015-03-21 17:34:27 +09:00]] 版)
<https://wiki.mozilla.org/Necko/Differences>
]FIGCAPTION]
> Our SSL CA certificate database is basically a subset of Windows' and Mac OS X's, so our users are probably more likely to encounter certificate error pages unnecessarily.
]FIG]
[FIG(quote)[
[FIGCAPTION[
[42] [CITE[Certificate Authority Program]]
([TIME[2015-04-06 14:29:01 +09:00]] 版)
<http://web.archive.org/web/19970727173502/http://home.netscape.com/assist/security/certificates/caprogram.html>
]FIGCAPTION]
> The Certificate Authority Program is designed to make it easier for Netscape customers to get certificates. For more information on getting a personal certificate, check out the Certificate Authorities that are currently offering client and server certificate services.
> The Certificate Authority program is open to Certificate Authorities that meet an established set of criteria. Certificate Authorities may participate at the Premier, Distinguished, and Basic levels, though the Premier level is closed at this time.
]FIG]
[FIG(quote)[
[FIGCAPTION[
[9] [CITE@ja[ダウンロードコーナーのご利用に当たって【事前準備】|e-Tax]]
([[国税庁]] 著, [TIME[2015-03-23 08:29:08 +09:00]] 版)
<https://www.e-tax.nta.go.jp/download/index.htm>
]FIGCAPTION]
> e-Taxのご利用に当たっては、ご使用のパソコンに政府共用認証局(官職認証局)と政府共用認証局(アプリケーション認証局2)のルート証明書・中間証明書をインストールする必要があります
]FIG]
[FIG(quote)[
[FIGCAPTION[
[10] [CITE[中国ネット管理機関、ルート証明書に関するグーグル決定非難 | テクノロジーニュース | Reuters]]
([[]] 著, [TIME[2015-04-03 00:47:29 +09:00]] 版)
<http://jp.reuters.com/article/technologyNews/idJPKBN0MT0OQ20150402>
]FIGCAPTION]
> CNNICのルート証明書をこれ以上認識しないと決定したことについて「理解できず、受け入れられない」と表明した。
]FIG]
[11] [CITE@en-US[Phasing out Certificates with 1024-bit RSA Keys | Mozilla Security Blog]]
([TIME[2015-04-03 00:53:34 +09:00]] 版)
<https://blog.mozilla.org/security/2014/09/08/phasing-out-certificates-with-1024-bit-rsa-keys/>
[12] [CITE[Node-v0.10.34がはまったクロスルート証明書とOpenSSLの落とし穴 - ぼちぼち日記]]
([TIME[2015-03-04 23:16:15 +09:00]] 版)
<http://d.hatena.ne.jp/jovi0608/20141222/1419265270>
[13] [CITE[携帯電話とSSLルート証明書]]
([TIME[2015-02-18 02:34:53 +09:00]] 版)
<http://triaez.kaisei.org/~kaoru/ssl/cell.html>
[15] [CITE@ja-JP[Java環境に手動でグローバルサインのルート証明書をインストールする方法 | SSL・電子証明書ならGMOグローバルサイン]]
([TIME[2015-04-06 14:16:28 +09:00]] 版)
<https://jp.globalsign.com/support/faq/331.html>
[16] [CITE@ja[Superfishのように勝手にルート証明書をインストールするソフト、続々見つかる | スラッシュドット・ジャパン セキュリティ]]
([TIME[2015-04-06 14:51:37 +09:00]] 版)
<http://security.slashdot.jp/story/15/02/24/0230220/>
[17] [CITE[gitやcurlやwgetでGitHubにアクセスするとcertification errorになる原因を調べてみた - Dマイナー志向]]
([TIME[2015-03-29 12:43:51 +09:00]] 版)
<http://d.hatena.ne.jp/tmatsuu/20110614/1308010044>
[18] [CITE[RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ - インフラエンジニアway - Powered by HEARTBEATS]]
([TIME[2015-04-06 14:55:45 +09:00]] 版)
<http://heartbeats.jp/hbblog/2014/01/rhel5centos5globalsign.html>
[19] [CITE@ja[JVNVU#92865923: Komodia Redirector がルート CA 証明書と秘密鍵をインストールする問題]]
([TIME[2015-02-24 11:44:44 +09:00]] 版)
<https://jvn.jp/vu/JVNVU92865923/>
[20] [CITE@en[CA:UserCertDB - MozillaWiki]]
([TIME[2015-04-06 09:56:30 +09:00]] 版)
<https://wiki.mozilla.org/CA:UserCertDB>
[FIG(quote)[
[FIGCAPTION[
[21] [CITE@ja-JP[ルート証明書について - 福井大学総合情報基盤センター]]
([TIME[2015-03-05 11:35:23 +09:00]] 版)
<http://www.cii.u-fukui.ac.jp/service/cert.html>
]FIGCAPTION]
> 総合情報基盤センターでは、情報システム切り替えに伴い、例えばメールサーバなどでSSLを用い通信を保護した設定にするなど、セキュリティ面の強化を行っております。
> 大学のルート証明書をインポート(インストール)していない場合、SSLを使用した学内の各種サーバへのアクセスにおいて、警告が表示されるようになります。
> そこで、以下のルート証明書のインポート(インストール)をお願いいたします。
> <発行者>
> RootCertification Authority,
> Center for Information Initiative,
> UNIVERSITY OF FUKUI,
> JP
> <有効期間>
> 2012/01/12~2018/03/31
]FIG]
[FIG(quote)[
[FIGCAPTION[
[22] [CITE@ja[作ろうiモードコンテンツ:主なスペック | サービス・機能 | NTTドコモ]]
([TIME[2015-04-06 15:02:31 +09:00]] 版)
<https://www.nttdocomo.co.jp/service/developer/make/content/ssl/spec/>
]FIGCAPTION]
> 以下7種類の認証局に対応したルート証明書(以下、端末側ルート証明書)が、SSL対応機種にそれぞれ搭載されています。
]FIG]
[FIG(quote)[
[FIGCAPTION[
[23] [CITE@ja[Mobile Creation | ソフトバンクモバイル]]
([TIME[2014-08-29 10:51:46 +09:00]] 版)
<http://creation.mb.softbank.jp/mc/tech/tech_web/web_ssl.html>
]FIGCAPTION]
> ルート証明書
> 下記8社31種類のCAが発行したサーバ証明書に対応しています。
]FIG]
[FIG(quote)[
[FIGCAPTION[
[24] [CITE@ja[Mobile Creation | ソフトバンクモバイル]]
([TIME[2014-08-29 10:51:46 +09:00]] 版)
<http://creation.mb.softbank.jp/mc/tech/tech_web/web_ssl.html>
]FIGCAPTION]
> ルート証明書
> 下記8社31種類のCAが発行したサーバ証明書に対応しています。
]FIG]
[FIG(quote)[
[FIGCAPTION[
[27] [CITE[cURL - Extract CA Certs from Mozilla]]
([TIME[2015-02-09 19:02:35 +09:00]] 版)
<http://curl.haxx.se/docs/caextract.html>
]FIGCAPTION]
> Around early September 2014, Mozilla removed the trust bits from the certs in their CA bundle that were still using RSA 1024 bit keys. This may lead to TLS libraries having a hard time to verify some sites if the library in question doesn't properly support "path discovery" as per RFC 4158. (That includes OpenSSL and GnuTLS.)
]FIG]
[28] [CITE[Symantec/Thawte EV and Trust Bit Change Request - Google Groups]]
([TIME[2015-04-06 18:44:48 +09:00]] 版)
<https://groups.google.com/forum/#!topic/mozilla.dev.security.policy/Ej7n2b7NxVs>
[29] [CITE@en[CA:PendingCAs - MozillaWiki]]
([TIME[2015-04-06 13:44:18 +09:00]] 版)
<https://wiki.mozilla.org/CA:PendingCAs#Symantec%20/%20thawte>
[30] [CITE@en[CA:IncludedCAs - MozillaWiki]]
([TIME[2015-04-06 13:46:35 +09:00]] 版)
<https://wiki.mozilla.org/CA:IncludedCAs>