ジェイサート、「スターフィールドSSL」における「偽証明書」発行回避策についてを報告

～「偽証明書」の発行方法から原因究明～

サービス

2011年4月4日 11:30

ジェイサート株式会社(本社：東京都千代田区、代表取締役：石原章年、以下：ジェイサート)は、「スターフィールドSSL」の発行元で世界最大の認証局である米国Go Daddy社が、いかにして「偽証明書」の発行回避に万全を期しているのか、についてをご報告致します。

「スターフィールドSSL」詳細： http://www.jcert.co.jp

2011年3月15日(米国時間)、米国のある有力SSL認証局が「第三国の何者かにハッキングされ、MicrosoftやGoogle、Yahoo!、Skype、Mozillaなど、著名サイトのログインページ等に利用される「偽証明書」が9枚発行された」と発表しました。その後ただちに、同認証局より全ての「偽証明書」が失効されました。同時に、MicrosoftやMozilla、OperaなどクライントOSおよびブラウザベンダにより「偽証明書」が設置されたサイトへの接続を自動的にブロックする措置が施され、「なりすましサイトでの個人情報盗難等の被害の報告はない」としております。

同認証局から直接報告を受けたブラウザベンダであるMozilla等の信頼性が高い第三者の公開情報を踏まえれば、今回の「偽証明書」発行の背景には、次のような同認証局に固有の事情があるものと想定しております。

1) 同認証局は証明書発行業務を、WebTrust(注1)等の第三者監査機関の認証を取得していない米国内外における複数の外部協力会社に委託しているためではないか。
2) 同認証局は外部協力会社による証明書発行業務を、事前承諾するのではなく、事後追認に留めてきたためではないか。
3) 同認証局の外部協力会社の中には、同認証局のルート認証局に直接アクセスし証明書を発行できるところがあったためではないか。

これに対し、「スターフィールドSSL」の発行元であるGo Daddy社では、世界最大規模の証明書を発行(年間60万枚以上、世界シェア1位)しており、SSLサーバ証明書サービスへの信頼維持・向上には細心の注意を払っておりますが、次のような同社のビジネスモデルが、高い精度で「偽証明書」の発行を未然に防ぐ管理体制の構築に資するところが大きいと考えております。

1) 証明書発行業務の一切を外部委託せずその全てを、WebTrust監査認証を取得済の米国アリゾナ州の同社本社において一元的に実施、マルチリンガル管理(日本語含め)している。
2) 証明書発行に至るまでに、複数階層の社内部署に発行承認権限を分散、発行前承認の精度を高めている。特に、同社が併設するドメイン管理事業(管理ドメイン数4,700万、世界シェア1位)により作成される世界の不正サイトに関わるブラックリストによる検証機能は他社に例を見ないものです。
3) 万が一「偽証明書」が発行されるような事態が起こっても、ルート認証局へのハッキングを回避するため、すべてのエンド証明書は中間認証局から発行されている。

今回の「偽証明書」発行事故を受け、世界の認証局とMicrosoft等のブラウザベンダが組織するCA Browser Forum(注2)では、証明書発行業務の外部委託について何らかの規制を打ち出すものと想定しており、同時に認証局各社による証明書発行業務の見直しにより、インターネット上の信頼基盤の一翼を担うSSLサーバ証明書サービスの品質の向上が一層進められるものと確信しております。

(注1) WebTrust(ウェブトラスト)とは、国際監査法人により毎年実施される、電子証明書を発行する認証機関として具備すべき、業務手順やシステム運用規定に関わる監査プログラムであり、マイクロソフト等世界で広く利用されている各種ウェブ・ブラウザにおいて「信頼されたルート証明機関」として登録されるための要件ともなっています。

(注2) CA Browser Forum(CABF)とは、世界の主要な認証局とMicrosoft等ブラウザベンダーによって米国に設立された団体で、EV SSL証明書の技術仕様および認証基準の標準化を行うとともに、SSL/TSL技術がインターネットの信頼基盤として広く安心して利用されるよう業界調整を行うことを目的としています。( http://www.cabf.org/ )

【Go Daddy Group, Inc.　会社概要】
代表　　： CEO ＆ Founder　Bob Parsons
本社　　：米国アリゾナ州スコッツデール
年商　　： 750億円(2009年実績)
URL　　： http://www.godaddy.com
事業概要：
1.ドメインレジストラ事業(世界最大4,700万ドメイン)
2.ホスティング事業(世界最大500万アカウント)
3.SSL証明書事業(世界最大60万ライセンスシェア30％)

【ジェイサート株式会社　会社概要】
代表　：代表取締役　石原章年
本社　：〒102-0082 東京都千代田区一番町4番22号プレイアデ一番町6階
資本金： 7,600万円
URL　： http://www.jcert.co.jp