これにより、以前お伝えした通りのものが破棄されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

以前、『Symantec系SSL証明書の停止』という記事にてお伝えした通り、Symantec系の証明書に対する信頼が破棄されました。

Symantec系の証明書への信頼破棄

GoogleのウェブブラウザChromeが正式にChrome 66となりました。

以前の予告通り、Symantec CA（認証局）によって2016年6月1日より前に発行された証明書に対する信頼は破棄されます。

従って、Symantec CAによって2016年6月1日より前に発行された証明書を使用している場合、信頼される認証局から発行された新しい証明書に変更する必要があります。

（本来はChrome 66の正式リリースより前に変更しておくべきです。）

また、10月後半でリリース予定のChrome 70においては、Symantecルートに結びついている証明書すべてに対して信頼が破棄されます。

ただし、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は除外されます。

今一度証明書を見直し、該当する場合は直ちに証明書の置き換えが必要です。

以下、参考までに掲載しておきます。

サイト運営者向けの情報

Chrome 66 以降、Symantec によって 2016 年 6 月 1 日より前に発行された証明書に対する信頼が破棄されます。現時点では、Chrome 66 は Chrome ベータ版ユーザーに対して 2018 年 3 月 15 日に、安定版ユーザーに対して 2018 年 4 月 17 日頃にリリースされる予定です。

Symantec CA によって 2016 年 6 月 1 日より前に発行された証明書を使用しているサイト運営者は、Chrome 66 のリリースよりも前に、既存の証明書を Chrome が信頼する認証局から発行された新しい証明書に置き換える必要があります。

また、Symantec は 2017 年 12 月 1 日までに信頼できる公式の証明書の発行と運用を DigiCert インフラストラクチャに移行し、この日付以降に古い Symantec インフラストラクチャから発行された証明書は Chrome で信頼されなくなります。

Symantec の古いインフラストラクチャとそれらが発行したすべての証明書に対する信頼が完全に破棄される Chrome 70 は、2018 年 10 月 23 日の週前後にリリースされる予定です。これにより、Google に以前公開された独立して運用されている監査済みの下位 CA が発行した少数の証明書を除いて、Symantec ルートに結び付けられているすべての証明書が影響を受けます。

Symantec の既存のルート認証局および中間認証局から証明書を取得する必要のあるサイト運営者は 2017 年 12 月 1 日まで Symantec の古いインフラストラクチャから取得することができますが、これらの証明書は、Chrome 70 がリリースされる前に再度置き換える必要があります。また、Symantec のインフラストラクチャから発行された証明書は、有効期間が 13 か月に制限されます。代替策として、サイト運営者は Chrome が現在信頼している他の認証局から代替証明書を取得することができます。これらの証明書は、こうした信頼の破棄や有効期間の制限の影響を受けません。

by Google Developers Japan

しかし、これに対して『パスワードの定期的な変更は不要』という考え方に変化してきています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

総務省の『国民のための情報セキュリティサイト』にある、『IDとパスワード　設定と管理の在り方』を紹介するページでは、『パスワードを複数のサービスで使い回さない（定期的な変更は不要）』という文言が出てきます。

これは以前の考え方から変化していますが、何故そのように変化したのでしょうか？

パスワードの定期的な変更は不要

一部のインターネット記事を見ると、これはNISC（内閣サイバーセキュリティセンター）の見解を受けて変更されたようです。

しかし、NISCも他での見解を受けて方針を変更したのではないでしょうか？

約1年程前、米政府機関である『NIST（National Institute of Standards and Technology/アメリカ国立標準技術研究所』が発行する『電子認証に関するガイドライン』の新版からルールを変更するとされていました。

（参考：電子的認証に関するガイドライン by NIST）

これは、ユーザーに新しいパスワードへの変更を求めてもいい加減に作る傾向にあり、特別な理由がない限りはパスワード変更を求めるべきではないという考え方が専門家の間でも増えてきたこともあります。

また、NISTでは定期的なパスワード変更を止める代わりとして、最低64文字でスペースも入れられる『パスフレーズ』を推奨するとしています。

では、パスワード設定はどのように行うか？

パスワード生成を自動で行ってくれるツールを使うと良いです。

このようなものを使えば、個人に関連する情報が一切含まれず、英字の大文字・小文字、数字、記号、文字数、強度などを選択しながらパスワード生成を行うことができますので、非常に解読されにくいものであると言えます。

（参考：パスワードジェネレータ/Norton by Symantec）

そして、これを適切に管理さえしていれば、推測されやすいパスワードの定期的な変更よりも適切なものであると言えるでしょう。

次のChrome 66は、4月17日に安定版の公開が予定されています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

WebブラウザのGoogle Chrome 65がリリースされたばかりですが、次のバージョンChrome 66において一部のSSL証明書への信頼が停止されます。

Symantec系SSL証明書の信頼停止

以前にもこのブログで取り上げましたが、WebブラウザのGoogle Chrome 66において、Googleに信頼できないと判断された『Symantec系認証局（CA）』の『Thawte』、『VeriSign』、『Equifax』、『GeoTrust』、『RappidSSL』が発行したSSL証明書が、同Webブラウザにおいて信頼が停止されます。

さらに、10月16日に公開が予定されているChrome 70においては、これら以外の残りのSymantec証明書に関してもすべて信頼が停止されることが予告されています。

信頼が停止されたSSL証明書のままであった場合、Chromeにて当該サイトを表示する際にエラー警告が表示されるため、事業者にとっては最低でもイメージダウンやアクセス数の低下につながってしまいます。

これが表示された場合であっても詳細設定から『〇〇にアクセスする（安全ではありません）』をクリックすれば実際のページに進めますが、『安全ではない』と表示されている状態で先に進もうとする人は心理的に少ないです。

また、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は信頼できるものとして扱われるため、これらの措置の対象からは外れます。

問題が起きないようにするため、ウェブサイトのSSL証明書を直ちにチェックして対応する必要があります。

参考：『Google Security Blog:Distrust of the Symantec PKI: Immediate action needed by site operators』

追伸：1月20日より提供されているChromeの試験運用版（Canary）、3月15日にリリースされるChrome 66のβ版においては4月17日公開予定の安定版を待たずに警告が表示されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先月の終りごろだったでしょうか。

Google（グーグル）のChrome（クローム）チームが、Symantec（シマンテック）が発行した証明書に対して、証明書の有効期間を短縮するなどの措置提案を行いました。

グーグルがシマンテックに提案した理由

Googleが公表したところによると、Symantecは証明書発行において不手際を繰り返しているとしています。

Googleは数ヵ月前からSymantecの証明書の不手際を調査しており、結果的には3万件にも上る証明書発行の不手際があったとしています。

また、Symantecは過去にも同様のことがあったとされ、GoogleはSymantecの証明書を信用できないものと位置付けたのでしょう。

しかし、Symantecはそれを事実ではないと反論しており、同社の証明書は信頼できるものと主張しています。

シマンテックのSSL証明書の行方

このまま行けば、Symantecをはじめ、Symantecの傘下にあるVerisign（ベリサイン）、Thawte（ソート）などを含めたSSL証明書がChromeブラウザにおいてエラーとなってしまう可能性があります。

ただし、もしそうなるにしても段階的な措置が行われるものとされており、3年以上かけて有効期間を短縮していくようです。

しかし、Symantecとその傘下のSSL証明書がエラーとされてしまうとなると、全世界で30%～40%ものSSL証明書がエラーとなってしまうため、現在、Symantec系列のSSL証明書を使用しているウェブサイトにおいては他社への移行を検討した方が良いかもしれません。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

昨年、イスラエルのStartComと中国のWoSignという2つの認証局（CA）において、業界の規定に反する電子証明書が不正に発行されていたことが発覚しました。

それを受け、これら2社が発行する電子証明書がブロックされる動きが出ました。

GoogleはChrome56でブロックした

Googleは、StartComとWoSignの2社の認証局（CA）は高い基準を維持していないことから、ポリシー上、Chromeブラウザでは信頼しないものとして判断しました。

これは、Chromeブラウザ55においては従来通り信頼されていましたが、先月リリースされたChrome56以降からは信頼されなくなり、『！保護されていない通信』として警告し、SSL証明書が有効ではないことも表示しています。

これに関しては、MozillaのFirefoxブラウザ、AppleのSafariブラウザにおいても信頼されず、警告表示、もしくは表示されないといったブロックがなされています。

従って、この2社のSSL証明書を使用しているとユーザーの誤解を招く恐れがあります。

（現状は問題なく表示されている場合でも、近いうちに不安定な状態になり、最終的には警告表示がされるようになります。）

失敗しないSSL証明書選び

ウェブの暗号化（SSL化/https化）を行う際において必ず必要になるSSL証明書ですが、やはり日本国内においても普通に販売されているものを選択すべきでしょう。

Symantec（シマンテック）、GeoTrust（ジオトラスト）、GlobalSign（グローバルサイン）、Comodo（コモド）、SECOM（セコム）、DigiCert（デジサート）など、よく知られたSSL証明書を選択してください。

わからない場合はウェブ事業者に相談すれば問題ありません。

くれぐれも怪しげなSSL証明書には手を出さないようにご注意ください。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

大企業の場合、情報システム部門から指定された情報をクライアントに設定し、ある程度保護された世界でインターネット通信が行われていますが、中小・零細企業、小規模事業者の場合においてはなかなかそこまでのセキュリティ対策は困難であることが多いです。

その場合、社内的に許されるのであればこんなものを使ってみるのも良いかもしれません。

パブリックDNSを使ってみる

インターネットに接続する際、DNS（Domain Name System）というものを使い、ドメイン名とIPアドレスの変換を行っています。

つまり、『例：example.comは例：192.168.1.1ですよ。』と、ドメインの住所を教えたりしている住所録のような役割をしています。

そして、通常のインターネット接続にはプロバイダー（OCNやSo-net、Yahoo!BBなど）が提供しているDNSを利用していることが大半です。

このプロバイダーのDNSが安全ではないというわけではないですが、それよりも安全性が高いとされるパブリックDNSというものが存在します。

このパブリックDNSというものは、検索大手の『Google』、世界最大手のネットワーク機器メーカー『Cisco』、ウイルス対策で有名な『Norton（Symantec）』、SSL証明書などで有名な『Comodo』などにおいて無料で提供されているもので、各社の仕様は異なりますが、多くの目的はマルウェアサイト、フィッシングサイト、詐欺サイトなど、有害なサイトをブロックするようになっています。

つまり、一定以上の『セキュリティ』が保たれた状態でインターネットブラウジングを行うことが可能だということです。

パブリックDNSの設定方法

設定方法は簡単です。

Windowsからコントロールパネルを開き、ネットワークとインターネットの中にあるアダプタのプロパティを開き、インターネットプロトコルバージョン4（インターネットプロトコルバージョン6）のプロパティにある『優先DNSサーバー』と『代替DNSサーバー』にIPアドレスを入れるだけです。

もちろんWindowsに限らず、Macでもスマートフォンでも設定可能です。

※　上部にある画像はWindows設定の際のものです。

また、設定を行うと有害サイトは以下のようにブロックされたりします（Norton ConnectSafeの場合）。

パブリックDNSのIP一覧

参考までにパブリックDNSのIPアドレスを掲載しておきます。

＜Google Public DNS＞：悪意のあるトラフィックをうまく処理するプロビジョニングサーバー、負荷分散共有キャッシュ、世界中のデータセンターでホストされたグローバルカバレッジを有し、『DNSルックアップ時間を高速化』。キャッシュ汚染、DOS攻撃などに対応する高い『セキュリティ』を誇り、安全で高速なブラウジングをサポート。

IPv4：優先DNS＝8.8.8.8　代替DNS＝8.8.4.4

IPv6：優先DNS＝2001:4860:4860::8888　代替DNS＝2001:4860:4860::8844

＜Cisco OpenDNS＞：タイプミスや危険なサイトへの閲覧をブロックする機能あり。

IPv4：優先DNS＝208.67.222.222 　代替DNS＝208.67.220.220

IPv6：優先DNS＝2620:0:ccc::2 　代替DNS＝2620:0:ccd::2

＜Norton ConnectSafe＞：3段階のDNSが用意されており、セキュリティ、セキュリティアダルト、ファミリーセキュリティの中から選択して利用可。

セキュリティ：優先DNS＝199.85.126.10　代替DNS＝199.85.127.10

セキュリティアダルト：優先DNS＝199.85.126.20　代替DNS＝199.85.127.20

ファミリーセキュリティ：優先DNS＝199.85.126.30　代替DNS＝199.85.127.30

＜Comodo Secure DNS＞：マルウェアに感染したドメインへの接続をブロック。

IPv4：優先DNS＝8.26.56.26　代替DNS＝8.20.247.20

他にもありますが、このあたりが良いかと思います。

一度お試しください。

＜Update:2017/1/24 14:27＞

これらのパブリックDNSも完璧ではありませんのでブロックできていないサイトもありますが、リスクの軽減に役立つ可能性は高いです。

また、情報を取得されてしまう可能性についてはインターネットを使っている以上、同じかと思われます。

＜Update:2017/1/24 15:01＞

パブリックDNSを追加で記載しておきます。

＜Neustar Recursive DNS＞：4段階のフィルタリング機能が特徴。

制限なし：優先DNS＝156.154.70.1　代替DNS＝156.154.71.1

セキュリティ：優先DNS＝156.154.70.2　代替DNS＝156.154.71.2

ファミリーセキュリティ：優先DNS＝156.154.70.3　代替DNS＝156.154.71.3

ビジネスセキュリティ：優先DNS＝156.154.70.4　代替DNS＝156.154.71.4

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

Googleの『Project Zero』というブログにて、Symantec（シマンテック）のウイルス対策製品のコア部分に共通した脆弱性があることが公表されました。

これを受け、Symantec（シマンテック）は直ぐに脆弱性を修正し、アップデートを公開しました。

セキュリティソフトにも脆弱性はある

セキュリティソフトだから脆弱性などはないであろうという考え方は危険です。

頻発するものではないですが、セキュリティソフトにも脆弱性が見つかることはあり得ます。

何らかのプログラムを利用している以上こういったことはなかなか避け難いものがありますので、常に最新の情報を入手しておき、即対応できる準備をしておくことが重要です。

シマンテック製品の脆弱性対象

今回の脆弱性に関してはすべての製品が影響を受けるとされています。

Endpoint protectionなどの法人向け製品と、Nortonシリーズなどのコンシューマー向け製品のすべてです。

・Norton Security, Norton 360, and other legacy Norton products (All Platforms)
・Symantec Endpoint Protection (All Versions, All Platforms)
・Symantec Email Security (All Platforms)
・Symantec Protection Engine (All Platforms)
・Symantec Protection for SharePoint Servers
・And so on.

セキュリティも最新を保て

やはり、セキュリティ製品も常に最新を保つ必要性があります。

通常、コンシューマー製品などはデフォルトで自動アップデートとなっているはずですので、インターネットにつながってさえいれば定期的に新しい定義ファイルが更新されます。

その設定をあまりカスタマイズしないことです。

Symantec（シマンテック）製品を使われている方は既にアップデートを済まされていることかと思いますが、万が一まだの方がおられましたら直ぐにアップデートをしてください。