Mozilla、電子フロンティア財団などの支援を受ける新しい組織が、ウェブサイト所有者に無料の SSL/TLS 証明書を提供する新しい証明機関 (CA) の設立に取り組んでいます。
新しいCAは「Let's Encrypt」と名付けられ、来年第2四半期に運用開始予定です。カリフォルニア州に設立された新しい公益法人であるInternet Security Research Group（ISRG）によって運営されます。
この取り組みの目標は、SSL（Secure Sockets Layer）の後継となるより安全なTLS（Transport Layer Security）プロトコルを、できるだけ多くの人に利用してもらうことだと、ISRGのエグゼクティブディレクター、ジョシュ・アース氏は述べています。アース氏はMozillaのシニアテクノロジーストラテジストも務めています。
新しい CA は証明書を無料で提供するだけでなく、TLS の広範な採用を促進するために証明書の発行、構成、更新のプロセスも自動化します。
目標は証明書の取得を可能な限り容易にすることです。なぜなら、TLSを有効にする上で現在最も難しいのは証明書の取得だからです、とAas氏は言います。新しいCAでは「課金のやり取りはなく、アカウントを作成する必要もありません。TLSを有効にしたいという意思以外、ほとんど何も知らなくても大丈夫です。」
CAが使用するソフトウェア、およびApache、Nginx、Microsoft IISなどのWebサーバー上でユーザーがTLS証明書を設定するのに役立つクライアントアプリケーションは、オープンソースとなります。CAは透明性のある運用を計画しており、証明書の発行および失効記録は、閲覧を希望するすべての人に公開されると、Aas氏は述べています。
火曜日にはデモソフトウェアがいくつか公開され、フィードバックの提供が開始されます。Aasによると、証明書の発行と更新を自動化するAPI（アプリケーション・プログラミング・インターフェース）プロトコルのドラフト仕様も本日公開され、まもなくインターネット技術タスクフォース（IETF）に提出され、オープンスタンダードとしての検討が進められる予定です。
Let's Encrypt は他の CA と同じ監査プロセスを経て、デジタル証明書の発行と管理に関する CA/ブラウザ フォーラムの基本要件に従います。
ISRGは、MozillaやMicrosoftなどが運営する主要なルートプログラムに、このCAのルート証明書が受け入れられるよう申請する予定です。これにより、Webブラウザやその他のソフトウェアクライアントは、新しいCAが発行する証明書をデフォルトで信頼するようになります。ただし、このプロセスには1年から3年かかる可能性があるため、その間、Let's Encryptのルート証明書は、既に信頼できるCAを運営し、このプロジェクトの主要スポンサーでもあるIdenTrustによって相互署名されることになる、とAas氏は述べています。
これにより、来年の夏の初めに CA が稼働し始めるとすぐに、Let's Encrypt はほとんどのアプリケーションで信頼される証明書の発行を開始できるようになります。
このプロジェクトのスポンサーには、シスコシステムズとアカマイ・テクノロジーズも含まれており、ミシガン大学の研究者も参加しています。Aas氏は、今後さらに多くの個人や組織が支援を申し出てくれることを期待しています。
「今後、私たちは2つの点で成功を測るつもりです。TLSの利用拡大と、暗号化に対するユーザーの考え方の変化です」とアース氏は述べた。「ユーザーが銀行だけでなく、訪れるすべてのウェブサイトが暗号化されていることを期待し、要求するようになる段階に到達したいと考えています。」
これは、米国国家安全保障局や英国政府通信本部などの諜報機関によるインターネットの大量監視が発覚したことを受けて、セキュリティとプライバシーの専門家が呼びかけている、あらゆる形態のオンライン通信を暗号化するというより大規模な取り組みの一環である。
IETFはすでに、様々な通信プロトコルにおけるTLS導入ガイドラインの策定作業を開始しています。元NSA契約職員エドワード・スノーデンが漏洩した機密文書のキャッシュにアクセスした暗号技術とセキュリティの専門家、ブルース・シュナイアー氏は昨年、技術コミュニティの目標は、暗号化の普及によって盗聴を高価にすることであり、NSAは大量のデータ収集を放棄し、標的を絞った収集に切り替えざるを得なくなるだろうと述べています。
Google は今年、ウェブマスターにサイトに TLS 暗号化を実装するよう促す目的で、HTTPS (HTTP Secure) ウェブサイトを優先するように検索ランキング アルゴリズムを変更しました。
TLSの採用拡大は、攻撃者がデジタル証明書に関連付けられた秘密鍵を標的とする動機を高める可能性があります。しかし、これは業界全体の取り組みが必要となる、より大きな問題だとAas氏は述べています。
Let's Encrypt は、TLS およびコード署名証明書の発行、失効、管理に関するガイドラインとベストプラクティスを開発するブラウザベンダーと証明機関の協会である CA/B フォーラムに参加する予定です。
