これにより、以前お伝えした通りのものが破棄されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

以前、『Symantec系SSL証明書の停止』という記事にてお伝えした通り、Symantec系の証明書に対する信頼が破棄されました。

Symantec系の証明書への信頼破棄

GoogleのウェブブラウザChromeが正式にChrome 66となりました。

以前の予告通り、Symantec CA（認証局）によって2016年6月1日より前に発行された証明書に対する信頼は破棄されます。

従って、Symantec CAによって2016年6月1日より前に発行された証明書を使用している場合、信頼される認証局から発行された新しい証明書に変更する必要があります。

（本来はChrome 66の正式リリースより前に変更しておくべきです。）

また、10月後半でリリース予定のChrome 70においては、Symantecルートに結びついている証明書すべてに対して信頼が破棄されます。

ただし、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は除外されます。

今一度証明書を見直し、該当する場合は直ちに証明書の置き換えが必要です。

以下、参考までに掲載しておきます。

サイト運営者向けの情報

Chrome 66 以降、Symantec によって 2016 年 6 月 1 日より前に発行された証明書に対する信頼が破棄されます。現時点では、Chrome 66 は Chrome ベータ版ユーザーに対して 2018 年 3 月 15 日に、安定版ユーザーに対して 2018 年 4 月 17 日頃にリリースされる予定です。

Symantec CA によって 2016 年 6 月 1 日より前に発行された証明書を使用しているサイト運営者は、Chrome 66 のリリースよりも前に、既存の証明書を Chrome が信頼する認証局から発行された新しい証明書に置き換える必要があります。

また、Symantec は 2017 年 12 月 1 日までに信頼できる公式の証明書の発行と運用を DigiCert インフラストラクチャに移行し、この日付以降に古い Symantec インフラストラクチャから発行された証明書は Chrome で信頼されなくなります。

Symantec の古いインフラストラクチャとそれらが発行したすべての証明書に対する信頼が完全に破棄される Chrome 70 は、2018 年 10 月 23 日の週前後にリリースされる予定です。これにより、Google に以前公開された独立して運用されている監査済みの下位 CA が発行した少数の証明書を除いて、Symantec ルートに結び付けられているすべての証明書が影響を受けます。

Symantec の既存のルート認証局および中間認証局から証明書を取得する必要のあるサイト運営者は 2017 年 12 月 1 日まで Symantec の古いインフラストラクチャから取得することができますが、これらの証明書は、Chrome 70 がリリースされる前に再度置き換える必要があります。また、Symantec のインフラストラクチャから発行された証明書は、有効期間が 13 か月に制限されます。代替策として、サイト運営者は Chrome が現在信頼している他の認証局から代替証明書を取得することができます。これらの証明書は、こうした信頼の破棄や有効期間の制限の影響を受けません。

by Google Developers Japan

次のChrome 66は、4月17日に安定版の公開が予定されています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

WebブラウザのGoogle Chrome 65がリリースされたばかりですが、次のバージョンChrome 66において一部のSSL証明書への信頼が停止されます。

Symantec系SSL証明書の信頼停止

以前にもこのブログで取り上げましたが、WebブラウザのGoogle Chrome 66において、Googleに信頼できないと判断された『Symantec系認証局（CA）』の『Thawte』、『VeriSign』、『Equifax』、『GeoTrust』、『RappidSSL』が発行したSSL証明書が、同Webブラウザにおいて信頼が停止されます。

さらに、10月16日に公開が予定されているChrome 70においては、これら以外の残りのSymantec証明書に関してもすべて信頼が停止されることが予告されています。

信頼が停止されたSSL証明書のままであった場合、Chromeにて当該サイトを表示する際にエラー警告が表示されるため、事業者にとっては最低でもイメージダウンやアクセス数の低下につながってしまいます。

これが表示された場合であっても詳細設定から『〇〇にアクセスする（安全ではありません）』をクリックすれば実際のページに進めますが、『安全ではない』と表示されている状態で先に進もうとする人は心理的に少ないです。

また、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は信頼できるものとして扱われるため、これらの措置の対象からは外れます。

問題が起きないようにするため、ウェブサイトのSSL証明書を直ちにチェックして対応する必要があります。

参考：『Google Security Blog:Distrust of the Symantec PKI: Immediate action needed by site operators』

追伸：1月20日より提供されているChromeの試験運用版（Canary）、3月15日にリリースされるChrome 66のβ版においては4月17日公開予定の安定版を待たずに警告が表示されます。

そしてこの先、信頼できない証明書はホワイトリストから削除されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今朝の報道によると、GoogleのブラウザChromeは、バージョン61のリリースをもって、中国の認証局（CA）であるWoSignとその子会社StartComが発行するデジタル証明書への信頼を取り消すことを警告しています。

では、何に影響があるのでしょうか？

Chrome61からStartComの証明書が拒否される

日本国内において影響がありそうなのはStartComの方で、無料で使えるデジタル証明書もあることから一部のユーザーが使用している可能性があります。

そして、もしこのStartComの証明書を使い続けた場合、Chrome61がリリースされた段階で『安全ではないもの』として扱われます。

これは、WoSignとStartComの両社が関与した事例の中で、認証局（CA）に期待される高い水準を維持していない内容の事例があり、以前からChromeにおいて段階的に信頼を取り消しつつあったものです。

（現在は2016年10月21日以前発行の証明書のみ信頼しているとのこと。）

この影響は、ブラウザにおいて『安全ではないもの』として扱われる以上、そのサイトへの信頼が損なわれることになります。

単純に言えばイメージダウンになるということです。

従って、もしこれらの証明書を使用しているのであれば、早急に証明書の差し替えを行うべきでしょう。

参考記事：『グーグルに信頼されない証明書』

※　CDNとは、Webコンテンツをインターネット経由で配信するために最適化されたネットワークのことです。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

CDNサービスの中でも無料プランが用意されていることで有名なCloudflareですが、この無料の範囲には注意しなければいけないものもあります。

※　無料プラン以外に、プロプラン（$20/月）、ビジネスプラン（$200/月）、エンタープライズプラン（$5,000/月）があります。

Cloudflareの仕組み

CloudflareなどのCDNは、レンタルサーバなどのオリジナルサーバとVisitorであるウェブサイトへの訪問者（ブラウザ）の間に存在します。

オリジナルサーバにあるコンテンツをCloudflareなどのCDNサービスが最適化（キャッシュや軽量化など）を行い、ウェブサイトへの訪問者に提供しています。

もちろん、ウェブサイトへの訪問者はそういったサービスが介在しているウェブサイトかどうかはわかりません。

通常のウェブサイトと全く同じように閲覧することになります。

CloudflareにおけるSSLの注意点

CloudflareのSSL（暗号化通信）には、Off、Flexible、Full、Full（strict）の選択があり、Offはもちろん暗号化通信なしですが、Flexibleはウェブサイトへの訪問者とCloudflareの間のみ暗号化通信され、Cloudflareとオリジナルサーバの間は暗号化通信されません。

また、FullのモードにおいてはCloudflareとオリジナルサーバ間においても暗号化通信がなされますが、Fullの場合はオリジナルサーバ側のSSL証明書が自作のものであってもよく、Full（strict）の場合のみ公的に信頼された認証局によって署名された有効なSSL証明書を要するというモードになっています。

つまり、完全な暗号化通信と公的に信頼された認証局に署名されたSSL証明書、これらの条件が必ず満たされていなければならないのはFull（strict）のモードのみということになります。

一般的に考えた場合、ウェブサイトの常時SSL化は訪問者のブラウザとオリジナルサーバの間が暗号化通信となり、そこには公的に信頼された認証局に署名されたSSL証明書が存在します。

ここから考えると、こういったCDNサービスを使う場合においてもすべてに暗号化通信がなされ、公的に信頼された認証局に署名されたSSL証明書が存在することがユーザーの安全性を確保するものと考えることが妥当でしょう。

そのあたりは是非念頭において活用していただきたいものです。

ちなみに、Full（strict）のモードはビジネスプラン、エンタープライズプランへのアップグレードや、Cloudflareにおける専用証明書の購入をしなくても使うことは可能ですが、ブラウザにてSSL証明書の発行先確認をした場合にはCloudflareのドメイン（Universal SSL）が表示されるため、訪問者に安心してもらうにはサイトシールなどにてドメインや企業名などの確認ができる状態を作っておくことが望ましいと思われます。