Google、Symantecのセキュリティ証明書を拒否へ――約3万件の不適切発行で信頼性が揺らぐ

GoogleとSymantec、証明書発行をめぐり対立

さまざまな報道によると、GoogleとSymantecは、インターネット全体を暗号化するという大規模な取り組みの主導権をめぐって対立しています。Symantecは一部の企業に対し拡張認証（EV）証明書を発行してきましたが、これは特定のドメインやその利用者にとってサイバーセキュリティ上のリスクになりかねません。このためGoogleは、これらの証明書が不正に扱われているとして、その信頼性を引き下げる方針を示しました。

あわせて読む：Google Home ― 家事やショッピングのやり方を変える

ウェブの約30%を担う認証局の責務を巡って

Symantecは世界有数の認証局（CA）であり、2014年〜2015年にかけてはウェブ全体の約30%の証明書を発行していました。Googleは、Symantecがその責務を怠っていると主張しています。同社はウェブサイトとの適切な検証を行わないまま、約3万件の証明書を発行したとされるのです。一方のSymantecは、Googleの主張について「無責任」「誇張され誤解を招く」と反論しています。

「1月19日以降、Google Chromeチームは、Symantec社が証明書を適切に検証していなかった一連の事例について調査を行ってきました。調査の過程でSymantecから提供された説明を見ると、Chromeチームからの質問のたびに不適切な発行の範囲が拡大し続けました。当初報告されていた127件の証明書は、数年にわたって発行された少なくとも3万件の証明書へと拡大したのです」

あわせて読む：Google Playストアのエラー491・495の修正方法

GoogleエンジニアがSymantecへの不信を表明

GoogleのソフトウェアエンジニアであるRyan Sleevi氏は、Symantecに対する問題点について投稿で言及しました。「これは以前のSymantecによる不適切な証明書発行に続く一連の失敗でもあり、我々はここ数年のSymantecの証明書発行ポリシーと慣行に対する信頼を失いました」と述べています。

さらに同氏は次のように指摘します。「Symantecは少なくとも4つの組織に対し、証明書発行を可能にする形でインフラへのアクセスを許可しましたが、求められる監督を十分に行いませんでした。また、これらの組織が適切な基準を遵守していない証拠が提示された際にも、その情報を適時に開示せず、報告された問題の重大性を認識することもありませんでした」

「これらの問題と、それに伴う監督体制の失敗は数年にわたって続き、公開されている情報やSymantec自身が共有した情報から容易に特定できたものです」

あわせて読む：Google、「Android O」開発者プレビューをリリース

サイト運営者は何をすべきか

Symantecの対応については多くの議論が交わされています。同社は証明書を発行する前にウェブサイトを適切に審査していなかったため、認証を受けた多くのサイトが利用者にとって必ずしも安全ではない可能性があります。GoogleとSymantecの対立は今後も続くとみられますが、Symantecは「状況を解決するため、Googleとの協議にはオープンである」との姿勢を示しています。

Symantecの証明書でHTTPS接続を保護しているサイト運営者は、Chromeユーザーがセキュリティ警告やポップアップなしにサイトへアクセスできるよう、何らかの対応が必要となります。

Symantecは不適切に発行された証明書に関して4つの異なる組織と密接な関わりを持っていたため、今後Chromeは新しく発行されたSymantec証明書のみを信頼する方向です。運営者側は、既存の古い証明書を新しいものに交換するだけで対応できる見込みです。