Hatena::ブログ(Diary)

kazuhoのメモ置き場

2013-11-26

オレオレ認証局の適切な運用とName Constraints

オレオレ認証局が忌避されるべきものとされてきた理由は、X.509 PKIが保証する安全性は、最も信頼性が低い認証局(trusted root)のそれに等しいからです。

しかし、X.509 v3以降ではName Constraintsが導入され、「特定のドメインに対してのみ証明書を発行可能な認証局」を定義できるようになっており、同constraintをcritical key usage extension*1として宣言したルート証明書を安全な経路で配布、インストールすることができれば、上記のようなX.509 PKIの系全体に対する影響は発生しないことになります*2

ここで問題になるのは、どの程度のウェブブラウザがName Constraintsに対応しているのか、という点になりますがhttps://news.ycombinator.com/item?id=5194103によると、Chrome, IE*3, Firefoxは対応済だがSafariは未対応*4とのことです。

以上です。誰か実際に試験してくれるといいんじゃないかなと思いました。

*1:実装にとって拡張が未知である場合は証明書を信頼しないと宣言する機能

*2:本稿では、ドメイン内へのhttpsアクセスの信頼性を規定するのは、そのドメイン管理者裁量である、という前提をおいています

*3:実際はVista以降なら対応とかじゃないかな

*4:つまり、上記ルート証明書を使うサーバとは交信できない

スパム対策のためのダミーです。もし見えても何も入力しないでください
ゲスト


画像認証

トラックバック - http://d.hatena.ne.jp/kazuhooku/20131126/1385433092