次のChrome 66は、4月17日に安定版の公開が予定されています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

WebブラウザのGoogle Chrome 65がリリースされたばかりですが、次のバージョンChrome 66において一部のSSL証明書への信頼が停止されます。

Symantec系SSL証明書の信頼停止

以前にもこのブログで取り上げましたが、WebブラウザのGoogle Chrome 66において、Googleに信頼できないと判断された『Symantec系認証局（CA）』の『Thawte』、『VeriSign』、『Equifax』、『GeoTrust』、『RappidSSL』が発行したSSL証明書が、同Webブラウザにおいて信頼が停止されます。

さらに、10月16日に公開が予定されているChrome 70においては、これら以外の残りのSymantec証明書に関してもすべて信頼が停止されることが予告されています。

信頼が停止されたSSL証明書のままであった場合、Chromeにて当該サイトを表示する際にエラー警告が表示されるため、事業者にとっては最低でもイメージダウンやアクセス数の低下につながってしまいます。

これが表示された場合であっても詳細設定から『〇〇にアクセスする（安全ではありません）』をクリックすれば実際のページに進めますが、『安全ではない』と表示されている状態で先に進もうとする人は心理的に少ないです。

また、DigiCertがSymantecの証明書事業を買収した後にDigiCertから再発行された証明書は信頼できるものとして扱われるため、これらの措置の対象からは外れます。

問題が起きないようにするため、ウェブサイトのSSL証明書を直ちにチェックして対応する必要があります。

参考：『Google Security Blog:Distrust of the Symantec PKI: Immediate action needed by site operators』

追伸：1月20日より提供されているChromeの試験運用版（Canary）、3月15日にリリースされるChrome 66のβ版においては4月17日公開予定の安定版を待たずに警告が表示されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先月の終りごろだったでしょうか。

Google（グーグル）のChrome（クローム）チームが、Symantec（シマンテック）が発行した証明書に対して、証明書の有効期間を短縮するなどの措置提案を行いました。

グーグルがシマンテックに提案した理由

Googleが公表したところによると、Symantecは証明書発行において不手際を繰り返しているとしています。

Googleは数ヵ月前からSymantecの証明書の不手際を調査しており、結果的には3万件にも上る証明書発行の不手際があったとしています。

また、Symantecは過去にも同様のことがあったとされ、GoogleはSymantecの証明書を信用できないものと位置付けたのでしょう。

しかし、Symantecはそれを事実ではないと反論しており、同社の証明書は信頼できるものと主張しています。

シマンテックのSSL証明書の行方

このまま行けば、Symantecをはじめ、Symantecの傘下にあるVerisign（ベリサイン）、Thawte（ソート）などを含めたSSL証明書がChromeブラウザにおいてエラーとなってしまう可能性があります。

ただし、もしそうなるにしても段階的な措置が行われるものとされており、3年以上かけて有効期間を短縮していくようです。

しかし、Symantecとその傘下のSSL証明書がエラーとされてしまうとなると、全世界で30%～40%ものSSL証明書がエラーとなってしまうため、現在、Symantec系列のSSL証明書を使用しているウェブサイトにおいては他社への移行を検討した方が良いかもしれません。