年々変化するSSL証明書の仕様、状況

毎年、SSLの更新が近づくと憂鬱になるウェブ、サーバー担当者の方は少なくないのではないでしょうか。

SSL証明書は今でこそかなり普及して、HTTPSで接続できるウェブサイトが当たり前になりましたが十数年前までは、SSL証明書の導入自体が、ホームページで必須というものではありませんでした。また、当時は、SSL証明書の取得をしたとしても、ECサイトのカートやマイページ、メールフォームなど特定のページでのみ使用される事が一般的でした。

SSL証明書自体にも仕様の変化がありました。

たとえば数年前までは長期の有効期限のSSL証明書もあったので、場合によっては3年に1回の入れ替えで良い、という程度の頻度で済んでいた方も少なくないと思います。

しかし、今では1年間の有効期限が基本となっており、これ以上長い有効期限のSSL証明書はありません。

• ※2025年5月時点におけるSSL/TLS証明書の最大有効期間は397日です。
  また、CA/Browser Forumにおいて 2029年3月15日以降、最大有効期間を47日に短縮する方針（Ballot SC-081v3）がすでに可決されており、現在はIPRレビュー期間中です。

実際に、多くのウェブサイトで利用されている「Let's Encrypt」が、有効期限が6日間の「短期証明書」の発行を開始すると発表しました。

さらに、2025年には各認証局で、SSL証明書の認証の際のメール認証にも変更が行われる予定です。

ウェブ、サーバー担当者の方から見ると仕事が増えていく一方のように映るかもしれませんが、これらにはちゃんと理由があります。

SSL証明書の役割とは

SSL証明書の役割には、大きく2つあります。

• 暗号化
• 認証(認証の種類についてはドメイン認証：DV、企業認証：OV、EVがあります。詳細はこちらをご確認ください)
• 改ざん防止

詳しい内容は、SSL証明書の必要性にありますので、そちらもご確認いただければと思いますが、 SL証明書における信頼を価値にするために、認証局では厳格な発行フローが必要となります。

その信頼性を担保するために、SSL証明書は日々仕様の見直しを行っており、その結果としてSSL証明書の発行に関わる仕様に変更が頻繁となっているという次第です。

SSL証明書の信頼性と認証(審査)

証明書の有効期限が短い=信頼性が高いという考え

証明書の有効期限が短くなったのには、証明書の有効期限が短い=信頼性が高いという考え方が根底にあります。

たとえば、3年の有効期間のSSL証明書と3か月のSSL証明書では、証明書を発行する際の審査結果の信頼性が高いためです。 もっというと、EVやOVといった企業の実在を証明する必要がある認証レベルのSSL証明書は、審査結果が適用される期間、つまりSSL証明書の有効期間を短くすることで「実はすでに廃業した企業なのに、その証明書が使われ続ける」といったリスクを避けられます。

ただ、サーバー管理者やサイト運営者のみなさんにとっては、SSL証明書を入れ替える手間はできるだけ少ない方が良く、そうなると長期間有効なSSL証明書の方が利便性が高いため、信頼性とのバランスが求められる所になってきています。

WHOIS情報の信頼性に関する疑問とSSL証明書発行プロセスへの影響

直近で予定されている変更が、メール認証によるSSL証明書のドメインの認証からWHOISのメールアドレスが外れる事です。

SSL証明書発行時の認証の1つの手段としてメールでの認証があります(認証局によって違ってきます。詳しくはこちらをご確認ください)

• SSL証明書の発行対象のドメインへのメール送信
• WHOIS情報に記載のメールアドレス

宛に認証局送られてきたメールにアクションをする事で認証が可能となる方法ですが、後者のWHOISのメールアドレスが、今後認証には使えなくなっていく予定です。

WHOIS情報の信頼性とSSL証明書の関係

WHOISという単語を聞きなれない方もいらっしゃると思いますが、簡単に言い換えると、ドメインに関する公開情報になります。このWHOIS情報のメールアドレスはドメインの管理者だけが設定できるものなので、ドメインの所有を確認するための手段として、現時点ではこちらも使えるという認証局も多いです。

しかしながら、WHOISはWHOIS自体を提供するサーバのドメインなどが変更されたときに変更を周知したりリダイレクトするような仕組みを持っていません。そのため、結果として、各OSのWHOISコマンドなどからのリクエストが古いWHOISサーバへ飛び続けることになってしまったり、そもそもレジストリがドメインの更新を怠ってしまったことによりWHOISを偽装できる状態になってしまっており実際に、SSL証明書を不正に発行する直前までいってしまったことから、議論が始まりました。

繰り返しますが、SSL証明書は信頼性に依って立つ所が大なので、このままではいけない、となった次第です。

セキュリティと利便性の関係

インターネットの普及から30年ほど経ちますが、それはそのままサイバー犯罪の隆盛の歴史とも言えると思います。エンジニアの多くがそれぞれの持ち場で、みんなが安全に使えるインターネットとはどういう形だろうという問いを常に胸に抱いています。

セキュリティと利便性は多くの場合、トレードオフです。

SSLはその安全なインターネットのために必要不可欠な中心的な存在であるため、セキュリティの向上を図るとどうしても、サーバー、Web管理者は利便性の面で劣る部分が出てくることもあります。

しかし、すべては安全なインターネットのためになります。安心して使えるインターネットの社会を築くために、様々なレイヤーの事業者や利用者が常に問題と向き合っていく必要があります。