PRESENTATION TO ADOBE

Transcription

1 [ 補足資料 ] Managed CA 対応 における製品仕様変更点について 最終更新日 : 2017 年 11 月 16 日 [SSL-API パートナー様用 ]

2 目次 1. Managed CA 対応とは 2. 証明書製品仕様および利用上の注意点 3. SSL-APIならびにパートナーポータル機能の変更点 補足 : テスト用 (Pilot) 環境における変更点 2

3 1. Managed CA 対応とは

4 Managed CA 対応 とは o シマンテックグループの SSL サーバ証明書の発行を担う PKI のコアインフラ ならびに CA/ ブラウザフォーラムが定める業界標準に沿った認証業務を第三者の認証局事業者によって実施するモデル ( 通称 Managed CA モデル ) へ移行する一連の対応を指します o 目的 : シマンテックグループの SSL サーバ証明書 申請システムや API 等の管理サービスを 今後もお客様に継続的に 支障なくご利用いただくことを目的とする取り組みです o 背景 : シマンテックによる過去の一部の不適切な発行に対する再発防止策の提案に対して これに対する多くのパートナ様 / お客様 Google 社 /Mozilla 社等のブラウザベンダや業界関係者からのフィードバックなどを踏まえて立案された取り組みです o スケジュール ( Managed CA 対応 リリース予定日時 ) : 2017 年 11 月 30 日 ( 木 ) 24 時 ( 日本時間 ) o 弊社都合により変更する場合 改めてご案内申し上げます o 対象製品 : パブリックの SSL サーバ証明書 o 全ての認証カテゴリ (EV/OV/DV) 全てのブランド (Symantec/GeoTrust/RapidSSL) を含む o 対象外 : コードサイニング証明書 セキュア メール ID などの S/MIME 証明書その他 証明書以外の製品 ( セーフサイト WAF セキュリティ診断等 ) Managed CA 対応 は バックエンドの変更 であり 原則として (*1) デジサート ジャパン合同会社 ( 旧シマンテック ウェブサイトセキュリティ合同会社 ) のお客様がご利用いただく申請システム (SSL-API パートナーポータル等 ) の操作等の変更はございません *1 : バックエンドの変更に伴う一部機能への影響に伴って サービス機能や操作などに変更がある場合があります 当資料の以下のページではこの背景から予定されている変更点を挙げます 4

5 Managed CA 対応後の申請 ~ 発行までの流れ お客様 ご利用中のプラットフォーム ( フロントエンド ) SSL-API パートナーポータル エンドユーザーポータル Managed CA 連携用システム DigiCert 社のプラットフォーム ( バックエンド ) 1. 証明書要求 3. 発行 2. 認証 Managed CA の認証 / 発行システム 5

6 SSL サーバ証明書取得プロセス変更点まとめ 大項目中項目現在 Managed CA モデル移行後 申請 証明書申請 シマンテック (*1) のフロントエンド システム /APよりご申請 お見積 注文書シマンテック (*1) より発行 認証セキュリティチェックシマンテック (*1) にて実施 取得プロセス DV 認証 (whois/file/dns) EV/OV 製品ドメイン名確認 EV/OV 製品申請意思確認 シマンテック (*1) のシステムによる DV 認証 ( メール /Polling) シマンテック (*1) によるドメイン名利用権の確認 ( メール ) シマンテック (*1) による申請団体への意思確認 ( 電話 / メール ) 発行 納品 発行処理 シマンテック (*1) のバックエンドにて 発行処理 納品 シマンテック (*1) のフロントエンドシステム ( メール /Download) Managed CA パートナ (DigiCert 社 ) のシステムによる DV 認証 ( メール /Polling) Managed CA パートナ (DigiCert 社 ) によるドメイン名利用権の確認 ( メール ) Managed CA パートナ (DigiCert 社 ) による申請団体への意思確認 ( 電話 / メール ) Managed CA パートナ (DigiCert 社 ) のバックエンドにて発行処理 請求請求書シマンテック (*1) より発行 サポート技術サポートシマンテック (*1) にてサポート提供 *1 : シマンテック ウェブサイトセキュリティ合同会社は 2017 年 11 月 1 日を以てデジサート ジャパン合同会社へ社名を変更いたしました 詳しくはこちら : 6

7 2. 証明書製品仕様の変更点および利用上の注意点

8 SSL サーバ証明書製品仕様変更点まとめ ブランド / 申請システム / 製品共通 ( 一部注記ある場合を除く ) 大項目中項目現在 Managed CA モデル移行後 証明書ルート < 製品ごとに異なる > 変更あり ( 詳細後述 ) 端末対応率 (RSA 版標準階層構造 ) 階層構造オプション その他の製品仕様 無償バンドル ( シマンテックブランド製品のみ ) 中間証明書 < 製品ごとに異なる > 変更あり ( 詳細後述 ) End Entity < 製品ごとに異なる > 変更あり ( 詳細後述 ) PC SHA-2 対応環境 (WinXP SP3 以降など ) フィーチャフォン SHA-2 対応環境 (Android1.5 以降など ) スマートフォン SHA-2 対応環境 ( アクセスシェア約 9 割 ) RSA 標準 / フル SHA-2 チェーンオプションから選択可 ECC Full-ECC / Hybrid(RSA ルート ) オプションから選択可 DSA 選択可ご提供を終了させていただきます CT 登録 / 一部非公開 / 登録なしから選択 一部非公開 オプションを削除 今後 登録あり および 登録なし の2つの選択肢 からご選択いただきます OCSP/CRL - CDP/OCSP レスポンダ URL 変更 マルウェアスキャン EV SSL グローバル サーバ ID セキュア サーバ ID で 脆弱性アセスメント EV SSL グローバル サーバ ID で シールインサーチ ノートンセキュリティ /ilunascape/sleipnir 上で表示 一部変更あり ilunascapeおよびsleipnir 各ブラウザ上でのシール インサーチ表示を終了させていただきます (*1) 02 *1 : ilunascape/sleipnir 提供事業者との契約満了に伴うサービスの提供終了となります

9 Managed CA 対応後の証明書階層構造 企業認証 (OV) 次世代のシマンテック企業認証 (OV)SSL サーバ証明書は 以下のような階層構造 ( ルート / 中間証明書 ) を採用します 携帯電話 ( フィーチャフォン 以下 FP) との互換性維持を目的とするクロスルート証明書を併せて提供します ルート証明書 1. DigiCert Global Root CA 3. SHA1withRSA /11/9 1. Baltimore CyberTrust Root 3. SHA1withRSA /5/13 携帯電話 (FP) 対応 凡例 1. Subject CN 2. 公開鍵 3. デジタル署名 4. 有効期間終了日 中間証明書 1. DigiCert SHA2 Secure Server CA 3. SHA256withRSA /3/8 1. < お客様のウェブサイト FQDN> 3. SHA256withRSA 1. DigiCert Global Root CA 3. SHA256withRSA /5/10 携帯電話 ( フィーチャフォン ) との互換性維持を目的とするクロスルート証明書 対象証明書製品 : 企業認証 (OV) グローバル サーバ ID ( 左図の階層構造となります ) セキュア サーバ ID ( 左図の階層構造となります ) ジオトラストトゥルービジネス ID ( ルート証明書 クロスルート証明書は左図と同一ですが *1 : 各製品ごとの階層構造詳細は以下を併せて参照ください 中間証明書の名称等が異なります (*1)) 9

10 ( 参考 ) クロスルートとは? - インストール時の注意点 クロスルート とは ルート証明書普及に関する下位互換性を確保する仕組みです 新しいルート認証局に対して 旧来から普及するルート証明書を持つ認証局から署名を行い クロスルート証明書 ( 中間証明書として利用される ) として Web サーバにインストールすることで 新しいルート証明書が普及していない端末上でのサーバ認証を可能とします お客様の Subject コモンネーム (FQDN) に対して End-Entity 証明書 (a) と併せて 追加で 2 階層分の中間証明書 ((b) および (c)) の計 3 枚の証明書をお客様のサーバへインストールする必要があります (*1) ブラウザからの通信要求時には 3 枚の証明書がダウンロードされて TLS ハンドシェイク (CertificateVerify) に用いられます ブラウザにプレインストールされるルート証明書 (c) (b) (a) Web サーバにインストールする中間証明書 Web サーバにインストールする End-Entity 証明書 10

11 Managed CA 対応後の証明書階層構造 ドメイン認証 (DV) 次世代のドメイン認証 (DV)SSL サーバ証明書は 以下のような階層構造 ( ルート / 中間証明書 ) を採用します 携帯電話 ( フィーチャフォン 以下 FP) との互換性維持を目的とするクロスルート証明書を併せて提供します ルート証明書 1. DigiCert Global Root CA 3. SHA1withRSA /11/9 1. Baltimore CyberTrust Root 3. SHA1withRSA /5/13 携帯電話 (FP) 対応 凡例 1. Subject CN 2. 公開鍵 3. デジタル署名 4. 有効期間終了日 中間証明書 1. GeoTrust RSA CA SHA256withRSA /11/6 1. < お客様のウェブサイト FQDN> 3. SHA256withRSA 1. DigiCert Global Root CA 3. SHA256withRSA /5/10 携帯電話 ( フィーチャフォン ) との互換性維持を目的とするクロスルート証明書 対象証明書製品 : ドメイン認証 (DV) 製品 ジオトラストクイック SSL プレミアム ( 左図の階層構造となります ) ラピッド SSL ( ルート証明書 クロスルート証明書は左図と同一ですが 中間証明書の名称等が異なります (*1)) *1 : 各製品ごとの階層構造詳細は以下を併せて参照ください

12 Managed CA 対応後の証明書階層構造 EV SSL 証明書 次世代のシマンテック EV SSL 証明書は 以下のような階層構造 ( ルート / 中間証明書 ) を採用します 携帯電話 (FP) との互換性維持を目的とするクロスルート証明書を併せてご提供します ルート証明書 1. DigiCert High Assurance EV Root CA 3. SHA1withRSA /11/9 1. Baltimore CyberTrust Root 3. SHA1withRSA /5/13 携帯電話 (FP) 対応 凡例 1. Subject CN 2. 公開鍵 3. デジタル署名 4. 有効期間終了日 中間証明書 1. DigiCert SHA2 Extended Validation Server CA 3. SHA256withRSA /3/8 1. < お客様のウェブサイト FQDN> 3. SHA256withRSA 1. DigiCert High Assurance EV Root CA 3. SHA256withRSA /5/10 対象証明書製品 : EV SSL 証明書 グローバル サーバ ID EV ( 左図の階層構造となります ) セキュア サーバ ID EV ( 左図の階層構造となります ) トゥルービジネス ID with EV ( ルート証明書 クロスルート証明書は左図と同一ですが *1 : 各製品ごとの階層構造詳細は以下を併せて参照ください 携帯電話 ( フィーチャフォン ) との互換性維持を目的とするクロスルート証明書 中間証明書の名称等が異なります (*1)) 12

13 各ルート証明書の概要ならびにクライアント対応状況 用途 暗号アルゴリズム ( 鍵長 自己署名アルゴリズム ) DigiCert Global Root CA OV/DV 証明書用のルート証明書 ( 推奨階層構造オプション ) RSA2048bit / sha1withrsa DigiCert High Assurance EV Root CA EV SSL 証明書用のルート証明書 ( 推奨階層構造オプション ) RSA2048bit / sha1withrsa Baltimore CyberTrust Root 携帯電話 (FP) に対応したルート証明書 ( クロスルート証明書の追加設定により利用可 ) RSA2048bit / sha1withrsa ( 参考 ) VeriSign Class 3 Public Primary Certification Authority - G 年 11 月以前発行分のシマンテック製品のルート証明書 RSA2048bit / sha1withrsa 有効期間開始日 ( 配布開始 ) 2006 年 2006 年 2000 年 2006 年 普及率総合評価 PC Internet Explorer Google Chrome Firefox Safari スマホ Android ios FP 携帯電話 (FP) (SHA-2 対応の全機種 約 9 割 ) (SHA-2 対応の全機種 約 9 割 ) 詳細な携帯クライアント対応状況は 11 月下旬を目処に以下ウェブページへ公開予定

14 SSL サーバ証明書 End-Entity プロファイル変更 Managed CA 対応後の新しい証明書 (End-Entity 証明書 ) のプロファイルは 以下のように変更されます ブランド / 製品共通 変更対象証明書フィールド変更内容注意点 Issuer ( 発行者 ) 新しい中間 CA 証明書の Subject DN 特になし Certificate Policy ( 証明書ポリシー ) CRL Distribution Points (CRL 配布ポイント ) ポリシー 規約の参照 URL を新 URL(*1) へ移動 Policy OID (SYMC No Auth Data Reuse) を追加 特になし CRL 配布ポイントの URL を新 URL(*2) へ移動 Firewall 設定等に注意 (*3) Authority Information Access ( 機関情報アクセス ) Subject Key Identifier ( サブジェクトキー識別子 ) OCSP レスポンダおよび Issuer 証明書ダウンロード URL を新 URL(*2) へ移動 フィールドを追加 SCT (Signed Certificate Timestamp) 登録する を選択した場合 SCT を含む ( ) 登録しない を選択した場合 SCT は含まれない ( 一部非公開 は今後選択できなくなります ) *1 : 新しい証明書プロファイルにおけるポリシー 規約の参照 URL は以下の当社 Knowledge Base(FAQ) に順次公開予定 *2 : CRL ならびに OCSP の新 URL は以下の当社 Knowledge Base(FAQ) に順次公開予定 Firewall 設定等に注意 (*3) 特になし 特になし *3 : エンドユーザ様の環境によって 例えばグループ内 IT ポリシーとして外部アクセス可能ドメイン名のホワイトリストを運用し これ以外のドメインへの通信を Firewall 等で遮断するような設定をされている場合 新しいドメイン名を設定追加いただく必要がございます 14

15 3. SSL-API ならびにパートナーポータル機能の変更点

16 SSL-API 機能変更点まとめ (1/2 オーダ系 ) 大項目中項目小項目現在 Managed CA 移行後 SSL-API (SOAP API) オーダ機能 QuickOrder : 通常の申請 EV/OV 証明書 DV-WHOIS 認証 DV-DNS/FILE 認証 一部動作に変更あり SecurityFlag 該当時に FILE 認証用トークン (FileAuthDVDetails-FileContents) がResponseに含まれまれない場合があります シマンテック認証サポートチームがSecurityFlag 処理後に GetOrderByPartnerOrderIDでオーダ情報を照会することでトークン情報を参照いただけます QuickInvite : Invitation 機能呼出し Reissue : 証明書再発行要求 ValidateOrderParameters : 申請前の申請情報チェック ChangeApprover WHOIS 認証用メールアドレス変更提供停止 ( マニュアルプロセスにて代替 ) ModifyOrder : オーダ内容変更要求 :APPROVE (Pilot 限定 (*1) 認証完了状態へ遷移 ) :PUSH_ORDER_STATE (Pilot 限定 (*1) SecurityFlag 解除 ) :UPDATE_DV_AUTH_METHOD (DV 認証方式を FILE/DNS->MAIL へ切替 ) (Pilot 限定 (*1)) (Pilot 限定 (*1)) 誤 ( 前回ご案内 ): 一部動作変更 (SecurityFlag を省略し即時発行 ) 正 ( 最新のご案内 ): 提供停止 ( マニュアルプロセスにて代替 ) 提供停止 提供停止 ( マニュアルプロセスにて代替 ) :RECHECK_CAA (CAA チェック再実行 ) 提供停止 ( マニュアルプロセスにて代替 ) 上記以外の ModifyOrderOperation イベント Revoke : 失効要求 *1 : テスト用 (Pilot) 環境における変更点については後述の項番 4 を併せてご参照ください

17 SSL-API 機能変更点まとめ (2/2 クエリ系 ) 大項目中項目小項目現在 Managed CA 移行後 SSL-API (SOAP API) 照会機能 GetOrderByPartnerOrderID : 単一オーダ照会機能 オーダステータスの確認 オーダステータス : 認証進捗状況の 詳細 ステータス (OrderStatusMinor など ) の内容が変更となります オーダ概要ステータス (OrderStatusMajor) ならびに 証明書ステータス (CertificateStatus) には変更はございません 詳細は API Developer Guide(*1) をご参照ください 上記以外のオーダ / 証明書情報照会機能 GetModifiedOrders : 範囲指定によるオーダ ( 複数可 ) 照会機能 GetOrdersByDateRange : 範囲指定によるオーダ ( 複数可 ) 照会機能 GetQuickApproverList : WHOIS 認証になメールアドレスリスト照会機能 *1 : 最新の API Developer Guide は 以下のウェブページからダウンロードいただけます [Website Security Developer Portal( 英語 )] *2 : ( ご参考 ) 変更点サマリにつきましては Managed CA 対応マイクロサイト ( 英語 ) を併せてご参照 ご活用ください 17

18 パートナーポータル / エンドユーザーポータル機能変更点まとめ 大項目中項目小項目現在 Managed CA 移行後 パートナーポータル エンドユーザーポータル 申請 [ 証明書の注文 ] メニュー : 新規 / 更新 / 乗換申請 検索 / レポート 電子メールテンプレート編集 [QuickSearch] メニュー [ レポート ] メニュー 認証 に用いられるメールテンプレート編集機能 [Approval ] DV-WHOIS 認証承認依頼メール 上記以外のメールテンプレート編集機能 ユーザ管理 ユーザ追加 / 変更 / 削除 権限設定 パスワード変更 オーダ情報確認 / 管理 証明書情報確認 / 管理 バンドル機能管理 [Managed Order] メニュー : オーダ情報確認 オーダキャンセル 発行メール再送 [View Certificate Information] メニュー : 証明書情報確認 証明書ダウンロード ご利用いただけなくなります 12 月 1 日以前発行分の証明書に対しては既存のメールテンプレートが利用されます [Replace Certificate] メニュー : 証明書の再発行 一部変更あり 再発行時のアルゴリズムオプション変更 ( 例 :RSA ECC) がご利用いただけなくなります 同一アルゴリズムオプションでは再発行可 発行される証明書は [ 新仕様 ] となります [Revoke Certificate] メニュー : 証明書の失効 [Seal Preference] メニュー : マルウェアスキャン /Seal-in-Search 設定機能 [Vulnerability Scanning] メニュー : 脆弱性アセスメント設定 / レポート確認機能 18

19 またぎオーダ の扱いについて リリース時点で PENDING( 申請受付済かつ未発行 ) ステータスにあるオーダ ( 通称 またぎオーダ ) は リリース時点から順次 ManagedCA 対応後の新インフラ ( 現 DigiCert インフラ ) に情報が引き渡され これと同時に DigiCert の認証プロセスならびにツール類を使った認証作業が実施されます この時点までに現シマンテックインフラ上で 部分的に 認証作業が完了されていたとしても 発行が完了していない場合 現シマンテックインフラ上の認証記録は無効となり DigiCert インフラ上での認証が最初から実施される運びとなります ドメイン認証 - メール (WHOIS) 認証方式の場合 PENDING の状態でリリース時点を迎えた場合 旧インフラで生成された PIN 情報を含む承認申請メール (Approver ) は その時点で無効となります 新インフラにて再生成された PIN 情報を含む承認申請メールが WHOIS 掲載のメールアドレスならびに 5 種類の規定のアドレス ( 例 :admin@) に配信されます 結果的に 該当のお客様は 旧と新 両インフラから 2 通の承認申請メール (Approver ) を受信することとなりますが リリース以後は 新インフラから配信された承認申請メールから承認 (Approve) をいただくことで 証明書を発行することが可能となります ドメイン認証 - ファイル認証方式の場合 PENDING の状態でリリース時点を迎えた場合 旧インフラで生成されたファイル認証用のトークン情報はその時点で無効となります 新インフラにて再生成されたファイル認証用のトークン情報を再度配置いただく必要がございます この時点移行 新インフラの Polling 機能にて 対象のウェブサーバに対して認証用トークンの確認を行います 尚 新インフラにて再生成されたファイル認証用のトークン情報は GetOrderByPartnerOrderID を呼び出していただくことで ( 再 ) 取得いただくことが可能となります 19

20 補足 : テスト用 (Pilot) 環境における変更点

21 テスト用 (Pilot) 環境における変更点 テスト用 (Pilot) 環境で申請いただいた SSL サーバ証明書を 発行 するためには 申請いただいた製品のカテゴリ (EV/OV/DV) に応じて 本番 (Production) 環境同等の認証が必要となります EV/OV の場合 電話認証へのご対応が必要となります ドメインの利用権をご確認いただくために 実環境に配信されるメールへのアクション ( メール (WHOIS) 認証の場合 ) や認証用ファイルの配置 ( ファイル認証の場合 ) が必要となります ご注意ください : エンドユーザ様の企業情報 / ウェブサイト情報を用いてテスト用オーダを申請いただいた場合 エンドユーザ様へ認証のご連絡が入ります テスト用 (Pilot) 環境を用いて 発行 までのテストを実施される場合は パートナ様ご自身の情報を用いて申請をいただくことを推奨いたします EV/OV カテゴリの製品の場合 上記のプロセスを経て一度テスト用 (Pilot) 環境で証明書を発行させていただいた場合 これ以降に同一の内容でご申請いただいたオーダについては 証明書を即時発行させていただきます DV カテゴリの製品の場合は ご申請の内容の異同に関わらず ご申請の都度 ドメイン認証へのご対応をいただく必要がございます ( 例 : メールへのアクション 認証用ファイルの配置 ) 21