HTTPS証明書業界は、ChromeルートプログラムとCA/Browserフォーラムが新たなセキュリティ要件を採用したことを受け、ドメイン制御確認に用いられる11の旧式方式を段階的に廃止する方向に進んでいる。廃止対象の方式は、通常の郵便、電話、電子メッセージなど、より脆弱な信号に依存している。一方、新しい規則は、自動化され、暗号学的に検証可能な代替方式の利用を促している。
Chromeルートプログラムチームによると、影響を受けるサイト運営者に移行の時間を与えるため、廃止は段階的に実施される。この措置の完全なセキュリティ上の効果は、2028年3月までに実現する予定だ。この取り組みは、2022年に開始された一般的なロードマップ「Together with Forward」に関連しており、TLS基本要件に関する最近の更新によって、この方向性が業界の方針へと変わりつつある。
ドメイン制御確認とは何か
ドメイン制御確認は、証明書発行前の重要な段階である。認証局（CA）は、申請者が保護対象となるドメインを実際に管理していることを確認しなければならない。これにより、権限のない第三者が、自分の所有していないサイトに対して有効な証明書を取得することを防ぐ。そうした証明書は、サイトのなりすましや通信の傍受を可能にするおそれがある。
現代的な方式は、多くの場合「チャレンジ・レスポンス」の仕組みに依存している。認証局は、間接的な連絡先情報だけに頼るのではなく、申請者にランダムな値を提供し、申請者はそれをDNS TXTレコードなどの指定された場所に設置する。その後、認証局がその値の存在を確認する。一方、旧式の方式では、WHOISレコードから取得した連絡先情報を利用したり、ドメインに関連付けられたアドレスへメッセージを送信したりしていたが、これらの方式は脆弱性にさらされることが明らかになっている。
廃止される方式
電子メールに基づく方式には、以下が含まれる。
- ドメイン連絡先への電子メール、ファクス、テキストメッセージ、または通常の郵便。
- IPアドレス連絡先への電子メール、ファクス、テキストメッセージ、または通常の郵便。
- 生成された電子メールをドメイン連絡先へ送信する方式。
- DNS CAA連絡先への電子メール。
- DNS TXT連絡先への電子メール。
電話に基づく方式には、以下が含まれる。
- ドメイン連絡先への電話。
- DNS TXTレコード連絡先への電話。
- 電話による確認。
- DNS CAA連絡先への電話。
- IPアドレス連絡先への電話。
また、アドレスの逆引きに基づく方式として、IPアドレスの逆引きも廃止される。
サイトとユーザーへの変更の影響
一般ユーザーがこれらの変更を直接認識することはない。Chromeルートプログラムチームによれば、これは意図された結果である。しかし、古い、または間接的な信号を廃止することで、攻撃者が認証局を欺き、自分が管理していないドメインの証明書を発行させることはより困難になる。
新しい規則は、古いWHOISデータ、複雑な電子メールおよび電話環境、ならびにレガシーインフラストラクチャの悪用リスクを低減することを目的としている。また、サイト所有者に対し、ACMEなどの現代的で標準化され、監査可能な方式の採用を促す。これにより、自動化を通じて証明書のライフサイクルをより迅速かつ効率的に管理できる。ルートプログラムチームは、これらの措置によってインターネット上の信頼構築メカニズムに存在する弱い結び付きが取り除かれ、さまざまなブラウザー、プラットフォーム、サイトのユーザーにとって閲覧の安全性が高まると考えている。