Microsoft PowerPoint - UPKI_OF_2018.pptx

Transcription

1 学術情報基盤オープンフォーラム 2018 国 情報学研究所

2 UPKI 機関数 ドメイン数の推移 ドメイン 機関 機関数 ドメイン数 2

3 証明書発 状況 サーバ証明書 枚 枚 0 のべ発行数 有効数 3

4 証明書発 状況 クライアント証明書コード署名 証明書 クライアント証明書コード署名用証明書 年 1 月 2015 年 4 月 2015 年 7 月 2015 年 10 月 2016 年 1 月 2016 年 4 月 2016 年 7 月 2016 年 10 月 2017 年 1 月 2017 年 4 月 2017 年 7 月 2017 年 10 月 2018 年 1 月 2018 年 4 月 2015 年 1 月 2015 年 4 月 2015 年 7 月 2015 年 10 月 2016 年 1 月 2016 年 4 月 2016 年 7 月 2016 年 10 月 2017 年 1 月 2017 年 4 月 2017 年 7 月 2017 年 10 月 2018 年 1 月 2018 年 4 月 のべ発行数有効数 のべ発行数有効数

5 HTTPS の使 状況 5 より引用 2018/6/16 閲覧

6 Chrome の表 変更 Chrome 68 (7 24 ) Chrome 69 (9 4 ) 日本語表記 : 6 上 : 下 : より引用 2018/6/16 閲覧

7 DNS CAA レコードの検証 CA/B Forum BRにおいて 証明書発 時に DNS CAA レコードの検証が義務付けられました これにあわせて CPを改定しました CAAレコードの確認 本 CAは 申請情報の審査時にCAAレコードを確認する 本 CAを DNSのCAAレコードに記載する場合 Issuer Domain Name は certs.nii.ac.jp とする 下記のいずれかの場合 発 可能です CAAレコードが存在しない CAAレコードが存在し かつ certs.nii.ac.jp が記載されている 下記に該当する場合 発 不可となります CAA レコードが存在し かつ certs.nii.ac.jp が記載されていない 7

8 発 可能なケース 利用管理者 1 鍵ペア CSR の作成 2 発行申請ファイルの作成 登録担当者 証明書自動発行支援システム STS 証明書発行システム ( 申請中継サーバ ) 機関の DNS 3 新規申請 TSV ファイル送付 4 審査 申請ファイルのアップロード 5 処理連携 6CAA レコード問合せ 7CAA レコード返却 10 サーバ証明書取得 URL の通知 9 チェック処理 OK 8 チェック処理 下記パターンの場合正常に処理する CAA レコードが存在しない CAA レコードに certs.nii.ac.jp がある 11 サーバ証明書取得 URL にアクセス 12 サーバ証明書取得 8 13 ダウンロード完了通知メール

9 発 不可のケース 利用管理者登録担当者 1 鍵ペア CSRの作成 2 発行申請ファイルの作成 サービス窓口 証明書自動発行支援システム STS 証明書発行システム ( 申請中継サーバ ) 機関の DNS STS 3 新規申請 TSV ファイル送付 4 審査 申請ファイルのアップロード 5 処理連携 6CAA レコード問合せ 7CAA レコード返却 9 チェック処理 NG ( エラーコード発行 [338]) 8 チェック処理 下記の場合異常となる CAA レコードが存在するが issue タグに certs.nii.ac.jp の登録がない 10 アラート発報 11CAA に関するエラー発生のご連絡 13CAA 対応 再申請依頼 12CAA に関するエラー発生のご連絡 13 時までに発報 当日中にご連絡 13 時以降に発報 翌営業日にご連絡 9

10 主体者 DN の値チェック厳格化 CA/B Forum BR に準拠するため 主体者 DN の値のチェックを厳格化します CN 記号で始まったり.. のように記号が連続する場合 申請時にエラーとなります OU 記号と半 スペースのみが記 されている場合 申請時にエラーとなります 現在発 済みのものに これらに該当する証明書があったとしても 直ちに失効とはなりません 将来的に 失効 新規発 をお願いする可能性があります 10

11 11 UPKI 電 証明書発 サービス 2018 アップデート

12 アップデートで対応したもの サービス利 機関のご要望 CA/B Forum のBRでの定めによるもの ブラウザベンダの要求 環境のアップデートに付随するもの ミドルウェア群 12

13 発 可能な証明書 変更なし サーバ証明書 クライアント証明書 個 認証 証明書 S/MIME 証明書 クライアント証明書のうち S/MIME 署名の機能を有するものを特に S/MIME 証明書と呼びます 証明書にメールアドレスが記載されます コード署名 証明書 13

14 サーバ証明書 対応ブラウザ Update! Microsoft Internet Explorer 11 Microsoft Edge 38 以上 Firefox 52.0 以上 Opera 40 以上 Apple Safari 10.0 以上 Google Chrome 56 以上 ios9.3.5 以降に対応したSafari Android 4.4 以降に対応したGoogle Chrome 14

15 サーバ証明書 対応 Web サーバ ミドルウェア Update! Apache httpd 2.2 Apache httpd New! Microsoft Internet Information Server 7.5 Microsoft Internet Information Server 8.0 Microsoft Internet Information Server 8.5 Microsoft Internet Information Server 10.0 New! IBM HTTP Server 7.0 Nginx New! Apache Tomcat 7 Apache Tomcat 8 New! Apache Tomcat 8.5 New! OpenLDAP 2.4 New! 15

16 クライアント証明書 対応環境 Update! Microsoft Internet Explorer 11 Microsoft Edge 38 以上 Firefox 52.0 以上 Opera 40 以上 Apple Safari 10.0 以上 Google Chrome 56 以上 ios9.3.5 以上 Android 4. 4 以上 16

17 クライアント証明書 途 SSL/TLSクライアント認証 証明書 S/MIME 証明書 Microsoft Office Outlook 2013 以上 Apple Mail 10 以上 Mozilla Thunderbird 52.0 (Windows, macos) 以上 17

18 コード署名 証明書 対応環境 Windows.exe 形式 Windows.cab 形式 Windows.dll 形式 VBAマクロ形式 Windows PowerShell スクリプト形式 JAVA.jar 形式 Android アプリケーション.apk 形式 Adobe AIR 形式 18

19 OCSP レスポンダ Update! OCSP( Online Certificate Status Protocol ) による証明書ステータス確認機能の提供 サーバ証明書 コード署名 証明書 New! 19

20 第 次アップデート 2018/2/26 証明書発 状況の統計表 証明書発 援システムにて 各ドメインごとに発 状況の統計を表 する機能を提供 メール通知機能の変更 登録担当者が受信する通知メールのうち まとめられるもの ( 有効期限の通知等 ) をダイジェスト版に変更 ただし件数が多く メール 1 通の容量が 10MB を超える場合は分割されます 利 者向けの通知メール本 については 英 を併記 クライアント証明書取得時の英語インタフェイス等追加 証明書取得時の Web インタフェイスに 英語版を追加 ブラウザの 語設定によって 動的に切り替わりますリンクをクリックすることで 動で切り替えることもできますクライアント証明書利 者向けインストールマニュアルに 英語版を追加 クライアント証明書の有効期間変更 有効期間を 25 ヶ から 52 ヶ に変更 20

21 証明書発 援システム 基本的にこれまでの機能はそのまま備えます 発 失効 更新の受付 これまで通り TSV ファイルにて受け付けます 覧の取得 各証明書情報の 覧を取得できます 登録担当者 クライアント証明書による認証必須 登録担当者 証明書を再発 する必要はありません これまで発 したものは 継続して有効期限まで利 できます 21

22 証明書発 援システム 発 統計 New! 証明書発 状況の統計情報を表 できるように たとえばこんな項 発 状況 各証明書のべ発 数 失効数 有効数 取得状況 ダウンロード 取得操作完了数 同未了数 有効期限間近 (30 未満 ) な証明書の数 22

23 証明書発 援システム メール通知 Update! これまで通り各種通知を登録担当者や利 管理者にメールでお届けします あらかじめ設定された期 に送信が決まっているメールについては 極 1 通にまとめて送信します たとえば 証明書の有効期限の通知 リマインドなどなど 利 者に向けたメール本 には英 も併記します 各証明書取得のための通知等 23

24 有効期間 各証明書の有効期間 サーバ証明書 発 から 24 ヶ +30 間 CA/B Forum BR では 下記の通り定めています 2018 年 3 1 以降発 する証明書では 有効期間 825 を超えないこと クライアント証明書 Update! 発 から52ヶ コード署名 証明書 発 から 24 ヶ +30 間 24

25 マニュアル Update! オンラインマニュアルの提供 これまで PDF Word で提供していましたが meatwiki に記述し ブラウザから参照できる形式に変更します システムから PDF 出 も可能です 各ソフトウェアに対応したマニュアルはもちろん 証明書利 者を対象とするものについては英語版も提供 クライアント証明書のインストール S/MIME 証明書のメーラへのインストール スクリーンショットについては Windows10, macos Sierra を いて提供中 meatwiki が られなくなっちゃうと困るのだけど? 法定停電の対策を講じています 25

26 第 次アップデート 2018/3/26 サーバ証明書の Certificate Transparency 対応 Certificate Transparency( 以下 CT といいます ) 対応の SHA-2 認証局を新設し これを中間認証局とするサーバ証明書の発 が可能になりました CT に対応したサーバ証明書が必要な場合は 新規あるいは更新申請を ってください 3 26 のメンテナンス後に発 する証明書は 全て CT 対応となります 2018 年 :00 以降に新規発 または更新発 した証明書では 中間証明書が変更になりました 国 情報学研究所オープンドメイン SHA-2 認証局 CT 対応版 CA 証明書 (nii-odca3sha2ct.cer) を取得してインストールしてください 対応の認証局からのサーバ証明書発 は停 しました 26

27 サーバ証明書 Certificate Transparency 対応 New! Certificate Transparency ( RFC6962 ) 2018 年 4 30 移 発 された証明書において CT 対応要件を満たすことが必須になりました (Chrome) UPKI のサーバ証明書でも対応しました 既存の証明書を失効する必要はありませんが CT 対応版が必要な場合は 更新申請を ってください 既存の証明書は 有効期限まで利 可能です 中間証明書が変更になりました x.html 国 情報学研究所オープンドメイン SHA-2 認証局 CT 対応版 CA 証明書 (nii-odca3sha2ct.cer) 27

28 CT 対応の必須化 Apple(2018/10/15) Apple のプラットフォームでも CT 対応が必須化されます 2018 年 以降に発 された証明書は CT ポリシーを満たす必要がある 公開 28

29 Certificate Transparency 対応の利点は? 悪意ある者が nii.ac.jp の証明書を 管理者に知られずに正規の CA に発 させたら? CT ログがなかった過去 認証局は とにかくそういうことがないように頑張る NII は 知らないところで勝 に発 されていても気づきにくい CT ログがある今 認証局は 証明書発 時に必ずCT Log Serverに登録する すべてのCT Log Server は公開されており NIIはそれを監視できる 29

30 censys CT ログを監視するには 検索項 が充実ユーザ登録すると 無償で 250 Queries/ Cert Spotter sslmate の1サービスユーザ登録すると Watch listを作成できる ドメインを Watch listに登録すると 次でCTログに新しく登録された証明書 覧をメールで通知してくれる 無償利 の場合 有効な証明書のみ検索可 Facebook 開発者ツール こちらもWatch listを作成し メール通知をうけられる 期限切れ 失効済みの証明書も検索可 30

31 31 画 イメージ :Facebook 開発者ツール

32 32 画 イメージ :Facebook 開発者ツール

33 33 第三次アップデート 2018/7/9 予定 ECDSA( 楕円曲線暗号 ) サーバ証明書の提供 ECDSA 認証局を新設し これを中間認証局とするサーバ証明書 (ecdsawith-sha384) の発 が可能になりますタイムスタンプサービス UPKIのコード署名 証明書およびクライアント証明書で使 できる タイムスタンプサービスが提供されます UPKI 電 証明書発 サービス利 機関は 追加料 なく タイムスタンプを いた署名が可能です タイムスタンプを使 する回数に上限はありません主体者 DNの制限緩和 STが使 可能になります ただしSTは都道府県名を いることとします Lの値としてこれまでは Academe を指定していましたが この制限は廃 となります 市町村名を れてくださいアクセスPIN 指定機能の提供 クライアント証明書の 括発 申請時に アクセスPINを指定できるようになります これにともない クライアント証明書の申請 TSVに アクセスPINを指定する列が1つ追加されます

34 証明書の署名アルゴリズム sha256withrsaencryption 廃 :sha1withrsaencryption New! サーバ証明書については 加えて下記が使 できるようになります ecdsa-with-sha384 国 情報学研究所オープンドメイン ECC 認証局 CA 証明書 (nii-odca3ecdsa.cer) New! サーバ証明書の鍵ペアにも RSA に加えて ECC が使 可能です 鍵は ECC384 ビットとします secp384r1 34

35 鍵 成 ECC の鍵と CSR 成 $ openssl ecparam -genkey -name secp384r1 openssl ec -out ec384.key -aes128 CSR 成 $ openssl req -new -key 秘密鍵ファイル名 -out CSR ファイル名 -sha384 35

36 タイムスタンプサービス New! UPKI の証明書を いた 期署名 ( RFC5126 ) に利 できる タイムスタンプサーバを提供 電 署名のみでは 署名検証が可能な期間は署名に いた証明書の有効期間内となります 電 署名にタイムスタンプを組み合わせると 署名検証が可能な期間をより 期間確保できます 詳しくはこのあとで タイムスタンプの概要 動向および活 事例 36

37 主体者 DN の制限緩和 Update! ST が指定可 L=Academe 固定を廃 サーバ証明書とクライアント証明書の主体者 DN の仕様を下記の通り変更します L=Academe 固定を廃 市区町村名を してください 値として Academe は使えなくなります 7 9 のメンテナンス以降 更新前と同じ主体者 DNは使えません 新規発 申請を ってください ST= が指定可能に 都道府県名を してください できる値の 覧は マニュアルページをご参照ください STは いくつかの表記パターンを許容します 例 :Tokyo や Toukyou など L と ST のいずれかが必須 両 を指定することもできます L と ST には 本サービスの利 申請書に記 した所在地を いてください 37

38 主体者 DN の制限緩和 Update! ST が指定可 L=Academe 固定を廃 主体者 DN の例は 下記の通りです 既存の主体者 DN の例 CN=certs.nii.ac.jp,O=National Institute of Informatics,L=Academe,C=JP 7 9 以降の主体者 DN の例 CN=certs.nii.ac.jp,O=National Institute of Informatics,L=Chiyoda-ku,C=JP CN=certs.nii.ac.jp,O=National Institute of Informatics,ST=Tokyo,C=JP CN=certs.nii.ac.jp,O=National Institute of Informatics,L=Chiyoda-ku,ST=Tokyo,C=JP 38

39 クライアント証明書 PIN 指定発 New! クライアント証明書発 時 PIN を指定できるようになります クライアント証明書発 更新申請 TSV の仕様が変更されます これまで 14 列で構成された TSV ファイルに 1 列 され 15 列となり 15 列 でアクセス PIN が指定できるようになります は任意で 値なしでも問題ありませんが TSV ファイルとしては 15 列が必須になります 7 9 を 処に TSV 作成ツールでもこの仕様変更にあわせたアップデートを います 39

40 EV 証明書について 本サービス利 機関 ( ) に対し, 証明書発 もとであるセコムトラストシステムズより,EV 証明書が有償で提供されます サービスに登録したドメイン以外も対象です ご希望の機関には, セコムトラストシステムズより提供された 申請ガイド を送付いたします certs@nii.ac.jp までご依頼ください! 申請ガイド 受領以降のEV 証明書についてのお問い合わせ, 発 続き, お 払い等は, セコムトラストシステムズと直接 ってください 40

41 EV SSL 証明書 ( セコムパスポート forweb EV2.0) の特徴 機能 アドレスバーが緑色に変化し 安全性をアピール EV SSL 証明書対応ブラウザでアクセスすると アドレスバーが緑色に変化 OV( 組織認証 ) 証明書 ( セコムパスポート forweb SR3.0) では でアクセスしてもアドレスバーの色は白色のままです 危険なサイトはアドレスバーが赤色に変化 でアクセスしたとき 失効されている 有効期限が切れている Web サイトの URL と一致していない 疑わしいサイトの場合には 危険なサイトとして アドレスバーが赤色に変化します 効果 識別情報の表示で運営組織を確認 フィッシング対策に有効 従来 ブラウザの鍵マークをクリックしなければ確認できなかった サーバー証明書に記載されている組織名 がアドレスバーの横に表示されます EV SSL 証明書は 実在証明としてより一層安全性をアピールすることができます セコムの Web ステッカーが EV SSL 証明書の更なる安全性を訴求

42 おわりに ご連絡 お問い合わせ先 国 情報学研究所 ( 認証担当 ) Mail: Web: 学術基盤課総括 連携基盤チーム certs@nii.ac.jp 原則, サービス利 機関または利 予定機関の機関責任者 登録担当者からお願いします 42