[補足資料] 「Managed CA対応」における製品仕様変更点について

Transcription

1 [ 補足資料 ] Managed CA 対応 における製品仕様変更点について 最終更新日 : 2017 年 11 月 24 日 [ マネージド PKI for SSL 管理者様用 ]

2 目次 1. Managed CA 対応とは 2. 証明書製品仕様および利用上の注意点 3. マネージドPKI for SSLの変更点 2

3 1. Managed CA 対応とは

4 Managed CA 対応 とは o シマンテックグループの SSL サーバ証明書の発行を担う PKI のコアインフラ ならびに CA/ ブラウザフォーラムが定める業界標準に沿った認証業務を第三者の認証局事業者によって実施するモデル ( 通称 Managed CA モデル ) へ移行する一連の対応を指します o 目的 : シマンテックグループの SSL サーバ証明書 申請システムや API 等の管理サービスを 今後もお客様に継続的に 支障なくご利用いただくことを目的とする取り組みです o 背景 : シマンテックによる過去の一部の不適切な発行に対する再発防止策の提案に対して これに対する多くのパートナ様 / お客様 Google 社 /Mozilla 社等のブラウザベンダや業界関係者からのフィードバックなどを踏まえて立案された取り組みです o スケジュール ( Managed CA 対応 リリース ) : 2017 年 12 月 1 日 ( 金 ) ( 日本時間 ) o 日時は変更となる可能性があります 確定次第ご案内いたします o 対象製品 : パブリックの SSL サーバ証明書 o 全ての認証カテゴリ (EV/OV) を含む o 対象外 : プライベート SSL コードサイニング証明書 セキュア メール ID などの S/MIME 証明書その他 証明書以外の製品 ( セーフサイト WAF セキュリティ診断等 ) Managed CA 対応 は バックエンドの変更 であり 原則として (*1) デジサート ジャパン合同会社 ( 旧シマンテック ウェブサイトセキュリティ合同会社 ) のお客様がご利用いただく申請システム ( マネージド PKI for SSL) の操作等の変更はございません *1 : バックエンドの変更に伴う一部機能への影響に伴って サービス機能や操作などに変更がある場合があります 当資料の以下のページではこの背景から予定されている変更点を挙げます 4

5 Managed CA 対応後の申請 ~ 発行までの流れ お客様 ご利用中のプラットフォーム ( フロントエンド ) マネージド PKI for SSL Managed CA 連携用システム DigiCert 社のプラットフォーム ( バックエンド ) 1. 証明書要求 3. 発行 2. 認証 Managed CA の認証 / 発行システム

6 SSL サーバ証明書取得プロセス変更点まとめ 大項目中項目現在 Managed CA モデル移行後 申請 証明書申請 シマンテック (*1) のフロントエンド システム /APよりご申請 変更なし お見積 注文書シマンテック (*1) より発行変更なし 認証セキュリティチェックシマンテック (*1) にて実施変更なし 取得プロセス EV/OV 製品ドメイン名確認 EV/OV 製品申請意思確認 シマンテック (*1) によるドメイン名利用権の確認 ( メール ) シマンテック (*1) による申請団体への意思確認 ( 電話 / メール ) 発行 納品 発行処理 シマンテック (*1) のバックエンドにて 発行処理 納品 シマンテック (*1) のフロントエンドシステム ( メール /Download) Managed CA パートナ (DigiCert 社 ) によるドメイン名利用権の確認 ( メール ) Managed CA パートナ (DigiCert 社 ) による申請団体への意思確認 ( 電話 / メール ) Managed CA パートナ (DigiCert 社 ) のバックエンドにて発行処理 変更なし 請求請求書シマンテック (*1) より発行変更なし サポート技術サポートシマンテック (*1) にてサポート提供変更なし *1 : シマンテック ウェブサイトセキュリティ合同会社は 2017 年 11 月 1 日を以てデジサート ジャパン合同会社へ社名を変更いたしました 詳しくはこちら : 6

7 2. 証明書製品仕様の変更点および利用上の注意点

8 SSL サーバ証明書製品仕様変更点まとめ 製品共通 大項目中項目現在 Managed CA モデル移行後 証明書ルート < 製品ごとに異なる > 変更あり ( 詳細後述 ) 端末対応率 ( 標準 ( 推奨 ) 階層構造 ) 階層構造オプション その他の製品仕様 中間証明書 < 製品ごとに異なる > 変更あり ( 詳細後述 ) End Entity < 製品ごとに異なる > 変更あり ( 詳細後述 ) PC SHA-2 対応環境 (WinXP SP3 以降など ) 変更なし フィーチャフォン SHA-2 対応環境 (Android1.5 以降など ) 変更なし スマートフォン SHA-2 対応環境 ( アクセスシェア約 9 割 ) 変更なし RSA 標準 ( 推奨 ) / フル SHA-2 チェーンオプションから選択可変更なし ECC Full-ECC / Hybrid(RSA ルート ) オプションから選択可変更なし DSA 選択可ご提供を終了させていただきます CT 登録 / 一部非公開 / 登録なしから選択 一部非公開 オプションを削除 今後 登録あり および 登録なし の2つの選択肢 からご選択いただきます OCSP/CRL - CDP/OCSP レスポンダ URL 変更 無償バンドル マルウェアスキャン EV SSL グローバル サーバID セキュア サーバIDで 利用可能 変更なし 脆弱性アセスメント EV SSL グローバル サーバ ID で利用可能変更なし シールインサーチ ノートンセキュリティ /ilunascape/sleipnir 上で表示 一部変更あり ilunascapeおよびsleipnir 各ブラウザ上でのシール インサーチ表示を終了させていただきます (*1) 02 *1 : ilunascape/sleipnir 提供事業者との契約満了に伴うサービスの提供終了となります

9 Managed CA 対応後の証明書階層構造 企業認証 (OV) 次世代のシマンテック企業認証 (OV)SSL サーバ証明書は 以下のような階層構造 ( ルート / 中間証明書 ) を採用します 携帯電話 ( フィーチャフォン FP) との互換性維持を目的とするクロスルート証明書を併せて提供します ルート証明書 1. DigiCert Global Root CA 3. SHA1withRSA /11/9 1. Baltimore CyberTrust Root 3. SHA1withRSA /5/13 携帯電話 (FP) 対応 凡例 1. Subject CN 2. 公開鍵 3. デジタル署名 4. 有効期間終了日 中間証明書 1. DigiCert SHA2 Secure Server CA 3. SHA256withRSA /3/8 1. < お客様のウェブサイト FQDN> 3. SHA256withRSA 1. DigiCert Global Root CA 3. SHA256withRSA /5/10 対象証明書製品 : 企業認証 (OV) グローバル サーバ ID セキュア サーバ ID 携帯電話 ( フィーチャフォン ) との互換性維持を目的とするクロスルート証明書 各製品 暗号アルゴリズムオプションごとの階層構造詳細は以下を併せて参照ください 9

10 ( 参考 ) クロスルートとは? - インストール時の注意点 クロスルート とは ルート証明書普及に関する下位互換性を確保する仕組みです 新しいルート認証局に対して 旧来から普及するルート証明書を持つ認証局から署名を行い クロスルート証明書 ( 中間証明書として利用される ) として Web サーバにインストールすることで 新しいルート証明書が普及していない端末上でのサーバ認証を可能とします お客様の Subject コモンネーム (FQDN) に対して End-Entity 証明書 (a) と併せて 追加で 2 階層分の中間証明書 ((b) および (c)) の計 3 枚の証明書をお客様のサーバへインストールする必要があります (*1) ブラウザからの通信要求時には 3 枚の証明書がダウンロードされて TLS ハンドシェイク (CertificateVerify) に用いられます ブラウザにプレインストールされるルート証明書 (c) (b) (a) Web サーバにインストールする中間証明書 Web サーバにインストールする End-Entity 証明書

11 Managed CA 対応後の証明書階層構造 EV SSL 証明書 次世代のシマンテック EV SSL 証明書は 以下のような階層構造 ( ルート / 中間証明書 ) を採用します 携帯電話 (FP) との互換性維持を目的とするクロスルート証明書を併せてご提供します ルート証明書 1. DigiCert High Assurance EV Root CA 3. SHA1withRSA /11/9 1. Baltimore CyberTrust Root 3. SHA1withRSA /5/13 携帯電話 (FP) 対応 凡例 1. Subject CN 2. 公開鍵 3. デジタル署名 4. 有効期間終了日 中間証明書 1. DigiCert SHA2 Extended Validation Server CA 3. SHA256withRSA /10/22 1. < お客様のウェブサイト FQDN> 3. SHA256withRSA 1. DigiCert High Assurance EV Root CA 3. SHA256withRSA /5/10 対象証明書製品 : EV SSL 証明書 グローバル サーバ ID EV セキュア サーバ ID EV 携帯電話 ( フィーチャフォン ) との互換性維持を目的とするクロスルート証明書 各製品 暗号アルゴリズムオプションごとの階層構造詳細は以下を併せて参照ください 11

12 各ルート証明書の概要ならびにクライアント対応状況 用途 暗号アルゴリズム ( 鍵長 自己署名アルゴリズム ) DigiCert Global Root CA OV/DV 証明書用のルート証明書 ( 推奨階層構造オプション ) RSA2048bit / sha1withrsa DigiCert High Assurance EV Root CA EV SSL 証明書用のルート証明書 ( 推奨階層構造オプション ) RSA2048bit / sha1withrsa Baltimore CyberTrust Root 携帯電話 (FP) に対応したルート証明書 ( クロスルート証明書の追加設定により利用可 ) RSA2048bit / sha1withrsa ( 参考 ) VeriSign Class 3 Public Primary Certification Authority - G 年 11 月以前発行分のシマンテック製品のルート証明書 RSA2048bit / sha1withrsa 有効期間開始日 ( 配布開始 ) 2006 年 2006 年 2000 年 2006 年 普及率総合評価 PC Internet Explorer Google Chrome Firefox Safari スマホ Android ios FP 携帯電話 (FP) (SHA-2 対応の全機種 約 9 割 ) (SHA-2 対応の全機種 約 9 割 ) 詳細な携帯クライアント対応状況は 11 月下旬を目処に以下ウェブページへ公開予定 13

13 SSL サーバ証明書 End-Entity プロファイル変更 Managed CA 対応後の新しい証明書 (End-Entity 証明書 ) のプロファイルは 以下のように変更されます 製品共通 変更対象証明書フィールド変更内容注意点 Issuer ( 発行者 ) 新しい中間 CA 証明書の Subject DN 特になし Certificate Policy ( 証明書ポリシー ) CRL Distribution Points (CRL 配布ポイント ) ポリシー 規約の参照 URL を新 URL(*1) へ移動 Policy OID (SYMC No Auth Data Reuse) を追加 特になし CRL 配布ポイントの URL を新 URL(*2) へ移動 Firewall 設定等に注意 (*3) Authority Information Access ( 機関情報アクセス ) Subject Key Identifier ( サブジェクトキー識別子 ) OCSP レスポンダおよび Issuer 証明書ダウンロード URL を新 URL(*2) へ移動 フィールドを追加 SCT (Signed Certificate Timestamp) 登録する を選択した場合 SCT を含む ( 変更なし ) 登録しない を選択した場合 SCT は含まれない ( 一部非公開 は今後選択できなくなります ) Firewall 設定等に注意 (*3) 特になし 特になし *3 : エンドユーザ様の環境によって 例えばグループ内 ITポリシーとして外部アクセス可能ドメイン名のホワイトリストを運用し これ以外のドメインへの通信をFirewall 等で遮断するような設定をされている場合 新しいドメイン名を設定追加いただく必要がございます *1 : 新しい証明書プロファイルにおけるポリシー 規約の参照 URL は以下の当社 Knowledge Base(FAQ) に順次公開予定 *2 : CRL ならびに OCSP の新 URL は以下の当社 Knowledge Base(FAQ) に順次公開予定

14 3. マネージド PKI for SSL の変更点

15 マネージド PKI for SSL 扱い製品 / 各機能など変更点まとめ 大項目中項目現在 Managed CA 移行 扱い製品 グローバル サーバ ID EV セキュア サーバ ID EV ( 新規 / 更新 / 再発行を問わず ) 現行製品仕様にて発行 ( 新規 / 更新 / 再発行を問わず ) 新製品仕様にて発行 グローバル サーバ ID セキュア サーバ ID (Wildcard を含む ) ( 新規 / 更新 / 再発行を問わず ) 現行製品仕様にて発行 ( 新規 / 更新 / 再発行を問わず ) 新製品仕様にて発行 イントラネットセキュア サーバ ID ラピッド SSL 証明書 プライベートサーバ ID コードサイニング証明書 ( 新規 / 更新 / 再発行を問わず ) 現行製品仕様にて発行 現行製品仕様にて発行 ( 新規 / 更新 / 再発行を問わず ) 新製品仕様にて発行 変更なし 証明書申請 新規 / 更新 利用可能 一部変更あり 同一 DN( ディスティングイッシュネーム ) で証明書を重複発行可能となります 発行される証明書は [ 新仕様 ] となります コントロールセンター 再発行申請 利用可能 一部変更あり 1 枚の証明書から異なるアルゴリズムの証明書を取得する 代替方式を取得 オプション ( 例 :RSA ECC) がご利用いただけなくなります 発行される証明書は [ 新仕様 ] となります 発行承認利用可能変更なし 再発行申請 利用可能 一部変更あり 申請団体およびドメインの管理画面に Managed CAパートナ (DigiCert 社 ) による認証情報が追加されます レポート利用可能変更なし 無償バンドル機能管理機能利用可能変更なし