これにより、以前お伝えした通りのものが破棄されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

以前、『Symantec系SSL証明書の停止』という記事にてお伝えした通り、Symantec系の証明書に対する信頼が破棄されました。

Symantec系の証明書への信頼破棄

GoogleのウェブブラウザChromeが正式にChrome 66となりました。

以前の予告通り、Symantec CA（認証局）によって2016年6月1日より前に発行された証明書に対する信頼は破棄されます。

従って、Symantec CAによって2016年6月1日より前に発行された証明書を使用している場合、信頼される認証局から発行された新しい証明書に変更する必要があります。

（本来はChrome 66の正式リリースより前に変更しておくべきです。）

また、10月後半でリリース予定のChrome 70においては、Symantecルートに結びついている証明書すべてに対して信頼が破棄されます。

ただし、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は除外されます。

今一度証明書を見直し、該当する場合は直ちに証明書の置き換えが必要です。

以下、参考までに掲載しておきます。

サイト運営者向けの情報

Chrome 66 以降、Symantec によって 2016 年 6 月 1 日より前に発行された証明書に対する信頼が破棄されます。現時点では、Chrome 66 は Chrome ベータ版ユーザーに対して 2018 年 3 月 15 日に、安定版ユーザーに対して 2018 年 4 月 17 日頃にリリースされる予定です。

Symantec CA によって 2016 年 6 月 1 日より前に発行された証明書を使用しているサイト運営者は、Chrome 66 のリリースよりも前に、既存の証明書を Chrome が信頼する認証局から発行された新しい証明書に置き換える必要があります。

また、Symantec は 2017 年 12 月 1 日までに信頼できる公式の証明書の発行と運用を DigiCert インフラストラクチャに移行し、この日付以降に古い Symantec インフラストラクチャから発行された証明書は Chrome で信頼されなくなります。

Symantec の古いインフラストラクチャとそれらが発行したすべての証明書に対する信頼が完全に破棄される Chrome 70 は、2018 年 10 月 23 日の週前後にリリースされる予定です。これにより、Google に以前公開された独立して運用されている監査済みの下位 CA が発行した少数の証明書を除いて、Symantec ルートに結び付けられているすべての証明書が影響を受けます。

Symantec の既存のルート認証局および中間認証局から証明書を取得する必要のあるサイト運営者は 2017 年 12 月 1 日まで Symantec の古いインフラストラクチャから取得することができますが、これらの証明書は、Chrome 70 がリリースされる前に再度置き換える必要があります。また、Symantec のインフラストラクチャから発行された証明書は、有効期間が 13 か月に制限されます。代替策として、サイト運営者は Chrome が現在信頼している他の認証局から代替証明書を取得することができます。これらの証明書は、こうした信頼の破棄や有効期間の制限の影響を受けません。

by Google Developers Japan

次のChrome 66は、4月17日に安定版の公開が予定されています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

WebブラウザのGoogle Chrome 65がリリースされたばかりですが、次のバージョンChrome 66において一部のSSL証明書への信頼が停止されます。

Symantec系SSL証明書の信頼停止

以前にもこのブログで取り上げましたが、WebブラウザのGoogle Chrome 66において、Googleに信頼できないと判断された『Symantec系認証局（CA）』の『Thawte』、『VeriSign』、『Equifax』、『GeoTrust』、『RappidSSL』が発行したSSL証明書が、同Webブラウザにおいて信頼が停止されます。

さらに、10月16日に公開が予定されているChrome 70においては、これら以外の残りのSymantec証明書に関してもすべて信頼が停止されることが予告されています。

信頼が停止されたSSL証明書のままであった場合、Chromeにて当該サイトを表示する際にエラー警告が表示されるため、事業者にとっては最低でもイメージダウンやアクセス数の低下につながってしまいます。

これが表示された場合であっても詳細設定から『〇〇にアクセスする（安全ではありません）』をクリックすれば実際のページに進めますが、『安全ではない』と表示されている状態で先に進もうとする人は心理的に少ないです。

また、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は信頼できるものとして扱われるため、これらの措置の対象からは外れます。

問題が起きないようにするため、ウェブサイトのSSL証明書を直ちにチェックして対応する必要があります。

参考：『Google Security Blog:Distrust of the Symantec PKI: Immediate action needed by site operators』

追伸：1月20日より提供されているChromeの試験運用版（Canary）、3月15日にリリースされるChrome 66のβ版においては4月17日公開予定の安定版を待たずに警告が表示されます。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

昨年、イスラエルのStartComと中国のWoSignという2つの認証局（CA）において、業界の規定に反する電子証明書が不正に発行されていたことが発覚しました。

それを受け、これら2社が発行する電子証明書がブロックされる動きが出ました。

GoogleはChrome56でブロックした

Googleは、StartComとWoSignの2社の認証局（CA）は高い基準を維持していないことから、ポリシー上、Chromeブラウザでは信頼しないものとして判断しました。

これは、Chromeブラウザ55においては従来通り信頼されていましたが、先月リリースされたChrome56以降からは信頼されなくなり、『！保護されていない通信』として警告し、SSL証明書が有効ではないことも表示しています。

これに関しては、MozillaのFirefoxブラウザ、AppleのSafariブラウザにおいても信頼されず、警告表示、もしくは表示されないといったブロックがなされています。

従って、この2社のSSL証明書を使用しているとユーザーの誤解を招く恐れがあります。

（現状は問題なく表示されている場合でも、近いうちに不安定な状態になり、最終的には警告表示がされるようになります。）

失敗しないSSL証明書選び

ウェブの暗号化（SSL化/https化）を行う際において必ず必要になるSSL証明書ですが、やはり日本国内においても普通に販売されているものを選択すべきでしょう。

Symantec（シマンテック）、GeoTrust（ジオトラスト）、GlobalSign（グローバルサイン）、Comodo（コモド）、SECOM（セコム）、DigiCert（デジサート）など、よく知られたSSL証明書を選択してください。

わからない場合はウェブ事業者に相談すれば問題ありません。

くれぐれも怪しげなSSL証明書には手を出さないようにご注意ください。