ひとくちPKI

ZT Browser が CA/B Forum の Server Cert WG に参加申請を出していて、Ballot が行われたけど否決されてしまった様子の話をしました。雑談では、手続きのためにヒューストンに行ったけど珍道中になってしまった話、学士の学位がない人は学位授与機構から学位をもらおう！という話をしました。

• [Servercert-wg] Discussion period begins: Ballot SC60: Membership of ZT Browser (cabforum.org)
• https://zotrus.com/en/blog/apple-google-mozilla-opera-what-are-you-afraid-of.html
• 単位積み上げ型の学士の学位授与制度(大学改革支援・学位授与機構)
  https://www.niad.ac.jp/n_gakui/tsumiage/degree_awards_system/

2022年12月に収録したものをやっと配信できました！Let's Encryptの運営元として知られるINTERNET SECURITY RESEARCH GROUP(ISRG)の2022年のアニュアルレポートについて話しました。Let's Encryptについはもちろん、データ収集時のプライバシーの尊重を勧める「Divvi Up」、インターネットの基幹システムをメモリセーフティなコードにしていこうというイニシアチブである「Prossimo」について紹介されていました。雑談では焼き栗にしたらうまくいった話、手打ちうどん・そばの話をしました。

• Let’s build a better Internet
  https://www.abetterinternet.org/documents/2022-ISRG-Annual-Report.pdf
• Divvi Up
  https://divviup.org/
• Prossimo
  https://www.memorysafety.org/about/

2022年11月に収録した回をようやく配信できました！お待たせいたしました。

Twitter.comの証明書の有効期限が切れそうでハラハラした話、ブラジルの国が運営しているWebPKIのCA(SERPRO's CA)を新しくルートプログラムに登録したいという議題が6週間のオープンディスカッション期間に入っていた話(のちに2023年3月まで議論がサスペンドされました)、PKI関連の書籍が新しく出ていた話をしました。雑談でははてしない物語、揺り戻しの少ない休暇の取り方について話しました。

• Twitter.com
• Public Discussion of SERPRO's CA Inclusion Request
  https://groups.google.com/a/ccadb.org/g/public/c/Mux855BsRg4/m/MhxJXipVAwAJ
• ネットワークセキュリティ詳説 PKI/TLSプロトコル
  https://www.amazon.co.jp/dp/4339029297

2022年9月下旬(収録当時)、ついにChrome Root Programがローンチされた話、ルートプログラムだけでなく証明書検証のプロセス自体もChrome Cert Verifierという独自のものを使うようになる話、証明書のパス構築と証明書検証において歴史的な変化となりそうですよね…という話をしています。雑談では、技術書典13の本にも登場したゆりかさんのピーマンの話のその後、万願寺とうがらしはテキサスのとうがらし(正確にはニューメキシコで採れてテキサスでも流通しているHatch Chile)にそっくり、お気に入りの梨(新甘泉・荒尾梨)などの話をしました。※ひとけーがモバイル環境で収録したためひとけーだけ音がよくないです、すみません！

• Announcing the Launch of the Chrome Root Program
  https://blog.chromium.org/2022/09/announcing-launch-of-chrome-root-program.html
• CA/B Forumで紹介された資料
  https://drive.google.com/file/d/1BksDjW0yCcgWiEZ5A5R_a_GHdUYPnCVc/view
• Frequently Asked Questions
  https://chromium.googlesource.com/chromium/src/+/main/net/data/ssl/chrome_root_store/faq.md
• Adam Langleyさんのブログ ImperialViolet
  https://www.imperialviolet.org/

ご無沙汰しております！休暇中の設備で録音したためひとけーだけ音がよくないです、すみません。IIJ Engineers Blogで2022年6月に発行されたRFC9110(HTTP Semantics)でHTTPSでの証明書検証においてサーバのアイデンティティの確認にCommon Name(CN)項目は使えません(CN-ID MUST NOT be used by clients)と決められた話をしています。すでにChromeでは2017年くらいからSubject Alt Name(SAN)を使うような動作になっています。

雑談ではゆりかさんが素数ゼミの本を読んだ話、ひとけーが家の窓にできた蜂の巣を観察している話をしました。

• HTTPS 証明書の Common Name の検証がしれっと禁止されていた件について
  https://eng-blog.iij.ad.jp/archives/14820
• 素数ゼミの謎
  https://www.amazon.co.jp/dp/B0855L5QZ9

PKIコンソーシアムにPKI Maturity Model Working Groupというものができ、PKIを運用している組織の成熟度を評価するモデルを整えようという活動が行われているようです。使いやすいモデルを使って自分たちの組織の成熟度評価ができるようになるといいですねという話をしています。

雑談では日本のナスがおいしいアメリカの大きい唐辛子がおいしいなど夏野菜の話、フジロックの話からコロナ時代がもたらした音楽ライブの楽しみ方の変化などについて話しました。

• What is the PKI Maturity Model (PKIMM) and how can you contribute?
• https://pkic.org/2022/07/11/what-is-the-pki-maturity-model-pkimm-and-how-can-you-contribute/

Certificate Transparencyのデータを使って大量の証明書からRSA鍵を取り出して調べたら因数が重複しているものが見つかったという研究について話しました。2022年5月の時点で1.59億個の鍵を調査することができ、問題があった鍵は8個見つかったのだとか。案外少ないなと思ったし、以前より良くなっている気がする…というような話をしています。

雑談では夏は暑い、JRの青春18きっぷで東京から博多まで行くときのお気に入りのルーティーン、九州列車旅の話をしました。

• Finding shared RSA factors in the Certificate Transparency logs
  https://bora.uib.no/bora-xmlui/bitstream/handle/11250/3001128/Masters_thesis__for_University_of_Bergen.pdf
• 青春18きっぷ
  https://railway.jr-central.co.jp/tickets/youth18-ticket/

Sysadminの立場からTLS接続エラーのトラブルシュートをして面倒だった話をChris Siebenmannさんがブログに書かれており、結果的にWebサーバが中間CA証明書を送っていなかったという結末だったのですが、その話の中でFirefoxは中間CA証明書をプリロードしていたり、ChromeやEdgeは中間CA証明書をキャッシュしたりするんだって～えっ証明書の中に入っている機関情報アクセス(AIA)は見られないの！？知らなかった～！というような話をしました。

雑談ではずっと車の話をしています。旅先でCivic Del Solという珍しい車を見たがRecognizeできず焦った(経験だけで足りるということはなく、体系的な学習が必要なのだ)話やそのシビックデルソルの屋根の開き方がやばい話(絶対映像見てほしい)、昔乗ってた古い車の話、次買う車ガソリン車かな～というような話などをしています。

そして話の中でS600と言っているのはS660が正しく、MRSと言っているのはMR2が正しく、キャデラックエスカレードの全長が4mくらいと言っているのは5.4mが正しいです！大変失礼いたしました。

• Missing TLS intermediate certificates can create mysterious browser problems
  https://utcc.utoronto.ca/~cks/space/blog/web/TLSIntermediateCertHell
  URLおもしろい。依存関係のトラブルをDLL HELLと言うのと似てますね。
• Preloading Intermediate CA Certificates into Firefox
  https://blog.mozilla.org/security/2020/11/13/preloading-intermediate-ca-certificates-into-firefox/
• Civic Del Solのオープン屋根の開き方がやばい
  CR-Xデルソル　電動オープン

以前からやるよと言われていたChrome Root Programのポリシーが公開されました。CA証明書を5年ごとにリプレースしてほしいというところが目玉なのかな、といった話をしました。雑談では枝豆、マスターキートンの電子版の配信が始まった、推しって単純に好きっていう状態とは違うのか？それともほとんど同じなのか？とにかく飛行機乗りたいなどの話をしました。

• Chrome Root Program (chromium.org)
  https://www.chromium.org/Home/chromium-security/root-ca-policy/
  https://twitter.com/estark37/status/1533923475491958784

Mozillaのルート証明書ストアポリシーが、サーバ証明書のCRLにはRFC 5280で決められている失効理由を表すReason Codeを入れることを求める内容に変更された話と、そのほか失効検証にまつわるあれこれを話しました。雑談では、私たちなまってますよね、技術書典で本を出すつもり、記念のマグカップを作ろうの話をしました。

• Revocation Reason Codes for TLS Server Certificates - Mozilla Security Blog
  https://blog.mozilla.org/security/2022/05/16/revocation-reason-codes-for-tls-server-certificates/
• MozillaのRevocation についてのWiki
  CA/Revocation Checking in Firefox - MozillaWiki
• 失効検証のFailure Rate
  https://telemetry.mozilla.org/new-pipeline/evo.html#!aggregates=0%2520bucket%2520percentage&cumulative=0&end_date=2019-12-02&include_spill=0&keys=!__none__!__none__&max_channel_version=beta%252F71&measure=CERT_VALIDATION_HTTP_REQUEST_RESULT&min_channel_version=beta%252F50&processType=*&product=Firefox&sanitize=1&sort_keys=submissions&start_date=2019-10-21&trim=1&use_submission_date=0
• Mozilla CRLite
  Introducing CRLite: All of the Web PKI’s revocations, compressed - Mozilla Security Blog
• 藤井風さん
• さよならべいべ： Fujii Kaze - SAYONARA Baby at Okayama Civic Hall
• 何なんw： 藤井 風(Fujii Kaze) - “何なんw”(Nan-Nan) at 日本武道館(Nippon Budokan)

Alexa Top Millionを提供していたalexa.comが2022/5/1にリタイアした話、CTを監視して作りたてのWordPressを狙って攻撃してくる手法があるみたいという話をしました。雑談ではピザの話（続き）、家庭菜園何植える？、期待に応えるための接待サボテン、テキサスは2番目(アラスカの次)に大きくて日本の2倍、デラウェア州、本州一周6000kmの旅の話などをしました。

• Alexa.com
• Mirror, Mirror, on the Wall, Who’s the Fairest (website) of Them all?
  https://www.domaintools.com/resources/blog/mirror-mirror-on-the-wall-whos-the-fairest-website-of-them-all
• CTからの攻撃について@matsuuさんのツイートスレッド
  https://twitter.com/matsuu/status/1522751803242455043?s=20&t=yRyJ5_doufEWESpXecld9Q
• WordPress sites getting hacked ‘within seconds’ of TLS certificates being issued
  https://portswigger.net/daily-swig/wordpress-sites-getting-hacked-within-seconds-of-tls-certificates-being-issued

SHA1のリタイアが進んでいます。2022/6/1からはOCSPレスポンスの署名にSHA1を利用できなくなる話、CABFのS/MIME WGでは証明書の項目を詰める議論がされてるみたいという話をしました。雑談では「令和の時代に○○を見るとは思わなかった～」を英語で表現する方法、カフェオレ作るとき氷・牛乳・コーヒーどの順番で入れる？の話などをしました。

• Sunset for SHA1
  Ballot SC53: Sunset for SHA-1 OCSP Signing | CAB Forum

• CABF S/MIME WG  Meeting Minutes
  https://cabforum.org/2022/04/13/2022-04-13-minutes-of-the-s-mime-certificate-working-group/

https://cabforum.org/2022/03/30/2022-03-30-minutes-of-the-s-mime-certificate-working-group/

EUで適格Webサイト証明書というものの導入が議論されており、有用性や適格証明書を発行する認証局の認定を巡ってラウザベンダーからはレターが出されるなど懸念が表明されている状況らしい…という話をしました。雑談パートでは庭に咲いた花、テキサスの夏、日本のコンビニ、アメリカのお菓子の話をしました。

適格Webサイト証明書 Qualified Website Authentication Certificates (QWACs)

• 参考サイト
• EU plans to mandate less secure certificates in browsers | Bulletproof TLS Newsletter | Feisty Duck
• If it looks like a duck, swims like a duck, and QWACs like a duck, then it's probably an EV Certificate (scotthelme.co.uk)
• Qualified website authentication certificate - Wikipedia
• Mozilla and the EFF publish letter about the danger of Article 45.2

Cloudflareでは何らかの理由で現在利用中の鍵や証明書が使えなくなった場合に備えて、予備の鍵と証明書を発行しておく取り組みを始めるらしいという話、個人でS/MIME証明書を取得するには苦難が伴う話、ベジフル大百科というポッドキャストが面白い話、雑草絶対抜く器具や虫絶対殺すやつの話をしました。

• Cloudflare
  Introducing: Backup Certificates (cloudflare.com)
• Ryan HurstさんのS/MIMEについてのツイート
  https://twitter.com/rmhrisk/status/1501635511097577472
• 雑草絶対抜くやつ
  https://www.gizmodo.jp/2022/01/248663-machi-ya-skidger-start.html

Amazon.co.jpと楽天が送信するメールにBIMIでブランドロゴが表示される

ようになってるという話と、ひとくちPKIが1周年を迎えましたという話をしました。

• 楽天サービスに対する不正対策-なりすまし・フィッシングメール対策- (rakuten.co.jp)
• BIMI Inspector - BIMI Group

• HTTP Public Key pinning(HPKP)廃止のタイムラインにつて
  Remove HTTP-Based Public Key Pinning - Chrome Platform Status (chromestatus.com)
  https://groups.google.com/a/chromium.org/g/blink-dev/c/he9tr7p3rZ8/m/eNMwKPmUBAAJ
  > Finally, remove support for built-in PKP (“static pins”) at a point in the future when Chrome requires Certificate Transparency for all publicly-trusted certificates (not just newly-issued publicly-trusted certificates). (We don’t yet know when this will be.)
  →Preloaded(Static/Built-in) Public Key pinnning は今も廃止されていない？
  67で廃止予定だった(2017年10月に発表、2018年5月に安定版配信)が開発者コンソールにメッセージが出るようになり、72(2019年1月)で完全に廃止になったように見られる
  779166 - Deprecate And Remove header-based HTTP Public Key Pinning (HPKP) - chromium
• OUフィールドが廃止される話
  Ballot SC47v2: Sunset subject:organizationalUnitName | CAB Forum
  Due to New Rule, OU Field to Be Deprecated in Sectigo Issued Certificates Starting July 1st 2022 | Sectigo® Official
• アニメの令和リファイン
  ダイの大冒険狂おしいほどいい
  https://dq-dai.com/
  うる星やつら楽しみ
  https://uy-allstars.com/

HTTP Public Key pinnning、OCSP Staplingの話、WebPKIの証明書のブラウザでの失効検証の話と、おもちとうどんの話、御座候の話、たこあげの話をしました。

• HTTP Public Key Pinning
  "HPKP" | Can I use... Support tables for HTML5, CSS3, etc
  Remove HTTP-Based Public Key Pinning - Chrome Platform Status (chromestatus.com)→話の中でぼんやりしたことを申し上げておりましたが、HPKPはChromeでは2019年1月に、Firefoxでは2020年1月にRemoveされていました。
  自堕落な技術者の日記 : HPKP(HTTP Public Key Pinning)公開鍵ピニングについて考える - livedoor Blog（ブログ）
• OCSP Stapling の話
  ⚙ D133706 Bug 966856 - mozilla::pkix: support SHA-2 hashes in CertIDs in OCSP responses r?jschanck!,djackson!
  MicrosoftのWebサイトを開けない不具合を修正した「Firefox 95.0.1」が公開 - 窓の杜 (impress.co.jp)
  
• Bullet proof TLS and PKI v2
  Bulletproof SSL and TLS | Feisty Duck

PKIコンソーシアムがトラストリストのリスト(リストオブトラストリスト)を作っていますよ、の話と、健康のためにどのようにして運動習慣を獲得するかについて話しました。   

・Creating a global List of Trust Lists | PKI Consortium  https://pkic.org/2021/11/24/creating-a-global-list-of-trust-lists/

フィッシング対策セミナーで聞いた話の話と反省会、あとCT(Certificate Transparency)と新しく発表する物事の相性があんまり良くないなという話、サマータイムが終わった話とOutlookのカレンダーにタイムゾーンが3つ出せるようになった話などをしました。    

• フィッシング対策協議会 フィッシング対策セミナー 2021（オンライン）開催のご案内 (antiphishing.jp)  https://www.antiphishing.jp/news/event/antiphishing_seminar2021.html   
• 商標とCT：Meta.com  https://crt.sh/?q=meta.com  Meta.comの証明書について、発表のタイミングではSubject DNに「CN = meta.com」しか書かれていないDV証明書が発行されていたが、しばらくしてから「O = Facebook, Inc.」も書いてあるEV証明書も発行されていた。意図的にコントロールしていたのかは不明ですが～。
• Time Zone Converter

Time Zone Converter – Time Difference Calculator (timeanddate.com)

TimeZonesのメニューにある International Meeting Plannerは複数タイムゾーンでmeeting時間の話し合いをするとき便利

• Microsoft Outlook タイムゾーンを追加する

タイム ゾーンを追加、削除、または変更する (microsoft.com)

11/5(金)にフィッシング対策セミナーでお話しします。PKIとフィッシングの関りについて、昔の話も掘り起こしつつ今までの話と、WebPKI、S/MIME、BIMIなどについて今やこれからのお話をします。お時間合いましたらぜひご参加ください！   ほか、11/11(木)～12(金)で開催される「IAjapan 第21回 迷惑メール対策カンファレンス」がおもしろそうという話、Bulletproof TLS Newsletter に載ってるPKI Jobsが面白い話や、PKIやテクノロジーにまつわる冗談の話をちょっとだけしました。   

• フィッシング対策セミナー 2021（お申し込みもこちらから）  https://www.antiphishing.jp/news/event/antiphishing_seminar2021.html
• IAjapan 第21回 迷惑メール対策カンファレンス  https://www.iajapan.org/anti_spam/event/2021/conf_21st/index.html   
• Expiration of DST Root CA causes problems with Let’s Encrypt certificates | Bulletproof TLS Newsletter | Feisty Duck  https://www.feistyduck.com/bulletproof-tls-newsletter/issue_82_expiration_of_dst_root_ca-causes_problems_with_lets_encrypt_certificates

デバイスの信頼性検証(attestation)のための証明書の有効期限切れで一部のモバイル端末が利用できなくなった話、LEの翻訳ちょっとずつやってる話、証明書をECDSAにするとやっぱり速いんだの話、CA/Browserフォーラム勉強会に参加してすごくよかった話と、京極夏彦先生の本が分厚い話、まだ写メって言う？という話などをしました。

SafetyNet Attestationで障害が発生していた話

• MDMで管理された3万台超の端末で意図せず発生した強制ロックについてまとめてみた - piyolog (hatenadiary.jp)
• Outage: The SafetyNet Attestation API certificate expired (google.com)
• SafetyNet Attestation API  |  Android デベロッパー  |  Android Developers
• FIDO/WebAuthNにおけるAndroid SafetyNet AttestationとKey Attestationの違い - Got Some \W+ech? (hatenablog.com)
• Google Developers Japan: キーストアの鍵の構成証明 (googleblog.com)
• 厳しくなったSafetyNet Attestationによる端末チェック - Speaker Deck
• 000721284.pdf (soumu.go.jp)
• PowerPoint プレゼンテーション (jnsa.org)
• phpでSafetyNet APIのレスポンスの証明書を検証する | GRIPHONE ENGINEER'S BLOG
• SafetyNet Attestation API  |  Android デベロッパー  |  Android Developers

翻訳をちまちまと始めました
https://crowdin.com/project/lets-encrypt-website

数百万件残っていたHTTPのはてなブログを4年越しにすべてHTTPS化させた話
https://developer.hatenastaff.com/entry/2021/10/25/093000

WebのPKIに関するガイドラインを策定しているCA/Browserフォーラムにおける最新動向と国際的なトラストに関する勉強会開催のご案内
https://www.nic.ad.jp/ja/topics/2021/20211014-01.html

LEの古いルート認証局の自己署名証明書満了後、新しいCRLが発行されていたので鍵は破壊されていなそうだという話、JPNIC主催のCA/Browserフォーラム勉強会の話、Appleのルート証明書プログラムの話、NetflixがTLSのテストスイート「BetterTLS」をアップグレードした話をしました。

また、何かをやったあとに良いレガシーを残す難しさ(木村さんが通ったあとには何も残ってないですね)の話や、栗の渋皮をむくのが難しい話などもしました。  

 ・@kjurさんのツイート  https://twitter.com/kjur/status/1448552494489997314   

・WebのPKIに関するガイドラインを策定しているCA/Browserフォーラムに おける最新動向と国際的なトラストに関する勉強会 - JPNIC  2021年10月22日(金) 16:00～18:00 (申し込み10/21まで) https://www.nic.ad.jp/ja/topics/2021/20211014-01.html   

・Root Certificate Program - Apple  https://www.apple.com/certificateauthority/ca_program.html   

・Revisiting BetterTLS: Certificate Path Building  https://netflixtechblog.com/revisiting-bettertls-certificate-path-building-4c978b79843f (edited)

古いOpenSSL(1.0系)のパス構築が突き抜けて有効期限切れのルートにつながってしまいExpireのエラーになってしまう事象は以前にも確認されていたという話、SmartHRの方が書かれたBIMIはじめましたブログがすばらしかった話、通販で新潟県のあれこれを楽しんだ話、秋の味覚の話などをしました。

・Node-v0.10.34がはまったクロスルート証明書とOpenSSLの落とし穴  https://jovi0608.hatenablog.com/entry/20141222/1419265270    

・BIMI SmartHR  SmartHR、BIMIはじめました - SmartHR Tech Blog  https://tech.smarthr.jp/entry/2021/09/14/144409
・新潟県おたのしみ通販  

【楽天市場】ヤスダヨーグルト 900ml：新潟の地酒・特産　日本酒の長田屋 (rakuten.co.jp)  https://item.rakuten.co.jp/nagataya/105107/

【楽天市場】人参ジュース 雪下にんじんジュース 1L×6本 津南高原 新潟 魚沼 雪中にんじん 雪下人参 御歳暮 本州送料無料：新潟名物専門店 小竹食品 (rakuten.co.jp)  https://item.rakuten.co.jp/odakesyokuhin/yukishita1/

出張版のお知らせと、Let's Encryptの古いルートCA証明書が9月30日に有効期限を迎える話、ゲームが好きな話、庭いじりの話、芝刈りゲームの話などをしました。

[お知らせ] ひとくちPKI の出張版が予定されています。興味のある方はぜひご登録ください。

・情報セキュリティワークショップ in  越後湯沢 車座(オンライン)

10月8日（金）18:00～20:00

プログラム | 情報セキュリティワークショップin越後湯沢2021 (anisec.jp)

————————————————————————

ひとくちPKI ～越後湯沢WS 車座出張回～

————————————————————————

Public Key Infrastructure という名の通り社会基盤として活用され、時には記憶に残るシステム障害の原因にもなるPKIですが、暗号技術を使った暗号化・認証・署名の仕組みは実際に難解でありとっつきづらかったり、(専門家|スペシャリスト|エキスパート)でなければ話題に触れることにも気後れしてしまったり、そんな風に感じる方もおられるかもしれません。何せ私たち自身もちょっとそう感じているのです。PKIそれそのもののお話もしながら、難解だが重要なことがらについて、興味度や理解度に応じてどのように関わっていくことができるのか、観測者としての役割や、それぞれの立場からどのように貢献していけるのか、次世代のプレイヤーは育っているのかなどなど、車座ならではのお話しをみなさんと一緒にできたらよいかと思っております。

————————————————————————

・フィッシング対策セミナー 2021（オンライン）

2021年11月5日（金）13:00 ～ 13:40

フィッシング対策協議会　Council of Anti-Phishing Japan | ニュース | イベント | フィッシング対策セミナー 2021（オンライン）開催のご案内 (antiphishing.jp)

・Let's Encryptの古いルートCA証明書が9月30日に有効期限を迎える話

• Let's Encrypt's Root Certificate is expiring! (scotthelme.co.uk)
• Certificate Compatibility - Let's Encrypt (letsencrypt.org)
• Lets-Encrypt-のルート認証局移行問題の解説.pdf (ospn.jp)

・ゲームの話

Lawn Mowing Simulator を購入 - Microsoft Store ja-JP

Lをやめたいと思っても、一意性が保てなくなって案外難しいかもな話、EV証明書のフレンドリ名って昔日本語で出てた気がする話、EVコードサイニング証明書の話、BIMIがひとけーのGmailモバイルアプリにも来た話、BIMIロゴがGoogleアカウントのプロファイルに設定しているアイコンと同じように見えることがちょっと不安な話、CA Security Council (CASC)がPKI Consortiumになった話、クライド型署名の話などをしました。

雑談ではクラウド型署名を体験した話、紙にペンでサインするやつをウェットサインと呼ぶ話、印刷することハードコピーと呼ぶ話、棚を増やすと物が増える話などをしました。

• 日本語と証明書
  証明書情報の日本語表記｜SSL/TLS サーバー証明書 SureServer｜サイバートラスト (cybertrust.co.jp)
• EVコード署名
  EV コードサイニング証明書 | DigiCert.com
• 
  
• BIMI モバイルにも来た！
  CNNもBIMIに対応している：　デジサート、CNNにVerified Mark証明書を発行、BIMIメール規格の重要基盤を構築 - DigiCert
• PKI関連の団体
  From CASC to the Public Key Infrastructure Consortium | PKI Consortium
  「クラウド型電子署名サービス協議会」設立。アドビ、freeeなど7社が参加 - INTERNET Watch (impress.co.jp)
  JT2A: 日本トラストテクノロジー協議会
  電子署名QA　JNSA電子署名WG　電子署名Q&A

オランダ政府のCAがWebサイト向けにEV証明書を出していたのをやめる話、GmailのWebブラウザ版でひとけーのアカウントでもBIMIが始まった話、あとエヴァンゲリオンの話をしました。

• Dutch government to stop issuing TLS certs because of ever-complicated standards

https://therecord.media/dutch-government-to-stop-issuing-tls-certs-because-of-ever-complicated-standards/

• Advancing email security for Gmail and beyond with BIMI

https://cloud.google.com/blog/products/identity-security/bringing-bimi-to-gmail-in-google-workspace

• シンエヴァ、海外でAmazon Prime Video独占配信。8月13日から

https://av.watch.impress.co.jp/docs/news/1335533.html

Sigstoreで利用する証明書を発行する認証局をMozillaのルート証明書登録プログラムに乗せたいという話から、WebPKIってそういえば何？という話と、SectigoがSubject DNの項目にLocality(L=)を入れるのをやめたいと考えていることについて話しました。また、英会話バッドノウハウ、虫刺されについても話しました。

• WebPKIってそういえば何： https://twitter.com/sleevi_/status/1420805874180837383
  • Web PKI とは：
• Web PKI OPS (wpkops) - (ietf.org)
  https://datatracker.ietf.org/wg/wpkops/about/
• Sigstore
  https://www.sigstore.dev/
• sigstore/fulcio: Sigstore WebPKI - GitHub
  https://github.com/sigstore/fulcio
  "fulcio is a free Root-CA for code signing certs - issuing certificates based on an OIDC email address."

• Sectigo が Locality を取りやめようとしている話
  EV SSL Certificate Guidelines | CAB Forum
  https://cabforum.org/extended-validation/

• 雑談
  英語ミーティングを乗り切るために身につけたバッドノウハウ - knqyf263's blog
  https://knqyf263.hatenablog.com/entry/2021/08/04/211903

IETFでドキュメントサイニングのExtended Key Usageを作ろうという議論が行われている話、IETFって議決を取るときハミングで決めるらしい話、TLS証明書チェッカーの紹介について話しました。   ほか、自由に外出できるようになったら行ってみたいところなどについて話しました。

  ・IETF111 - LAMPS  https://datatracker.ietf.org/meeting/111/materials/slides-111-lamps-chair-slides-02.pdf?fbclid=IwAR2Y8dkBj9_ZMGL2fUFcJ76cH9DgCja_vDEXxv6mKLxU9akZL88fYBq1GZE     

・General Purpose Extended Key Usage (EKU) for Document Signing X.509 Certificates  https://datatracker.ietf.org/doc/html/draft-ito-documentsigning-eku-00     

・TLS証明書チェッカーcheck-tls-certの公開 - インフラエンジニアway - Powered by HEARTBEATS  https://heartbeats.jp/hbblog/2021/07/check-tls-cert.html     

・GitHub - heartbeatsjp/check-tls-cert: Check-tls-cert is a TLS certificate checker.  https://github.com/heartbeatsjp/check-tls-cert

BIMIについて、大手メールサービスプロバイダのローンチ状況やVMC証明書の中身の話、送信元ドメイン認証のニルヴァーナにたどり着けるか？という話をしました。   ほか、蚊取り線香、蝉、ゲームで運動、怖い映画の話などもしました。

BIMI Inspector | BIMI Group

Supporting Documents | BIMI Group

Verified Mark Certificates (VMC) and BIMI | BIMI Group

ブランドアイコンで安心安全なメール - Yahoo!メール

前回のLet's Encryptの90日と1秒の証明書の対策のその後の議論の話と、

なりすましメールを視覚的に対策するための機能（BIMI)の話をしました。

鍵長が科技庁に変換される話、おくりがなが難しい話、アメリカ英語とイギリス英語の話、仮定法過去完了は後半が省略される話などもしました。

BIMI Home | BIMI Group

Google Bringing BIMI to Gmail in Google Workspace | Google Cloud Blog

DigiCert DigiCert Verified Mark Certificates

Let's Encryptが証明書の有効期間終了を示す Not Afterの解釈違いにより 90日と1秒の証明書を発行していた話、CTログに不整合が発生した原因が宇宙線でビット反転したからかもしれない話、そして漢字は難しい話をしました。

Let's Encryptの有効期間問題

• 2021.06.08 Certificate Lifetime Incident (valid for an extra one second) - Incidents - Let's Encrypt Community Support (letsencrypt.org)
• 1715455 - Let's Encrypt: certificate lifetimes 90 days plus one second (mozilla.org)
• Measure certificate validity periods inclusive of their endpoints · Issue #5473 · letsencrypt/boulder · GitHub

・うるしまさんによるLet's Encryptのルート認証局移行の解説

(6) kjur セキュリティ IT 開発の私的情報収集用＋少しつぶやきさんはTwitterを使っています 「オープンソースカンファレンス2021北海道で Let's Encryptのルート認証局移行問題について解説させてもらいました。 https://t.co/HgEqYDL7Hg 初心者の方にもわかりやすくと思いましたが無理でした、、、、」 / Twitter

・宇宙線ビット反転(？)でマークルツリーが壊れた（原題：Yeti 2022 not furnishing entries for STH 65569149

https://groups.google.com/a/chromium.org/g/ct-policy/c/PCkKU357M2Q/?pli=1

ハッカーニュースにめちゃくちゃレス付いてる(原題：Single random bit flip causes error in certificate transparency log)

https://news.ycombinator.com/item?id=27728287

Web PKIにおいて証明書をチェックするリントツール、英語が難しい話(仮定法過去の仮定のところを省略する頻出表現の話と仮定法過去完了)、そしてサングラスを買うだけで大変だった話の結末を話しました。

Web PKIのための証明書のリントツール

CA/Required or Recommended Practices - MozillaWiki (allizom.org)

• zmap/zlint: X.509 Certificate Linter focused on Web PKI standards and requirements. (github.com)
  
• amazon-archives/certlint: X.509 certificate linter (github.com)
  

WebPKIの今を知るためのお勧めリンク集やトレーニング、ポッドキャスト紹介と、信頼されるルートCAとして登録されるための審査について話しました

• Let's encryptのお勧めリーディングリスト
  Recommended Reading · letsencrypt/boulder Wiki (github.com)
  
• JPNICで「いまさら聞けないPKI～基本から最新動向まで～」
  https://www.nic.ad.jp/ja/tech/seminar/pki.html
  
• Mozaic.FM
  ep23 Let's Encrypt  https://mozaic.fm/episodes/23/lets-encrypt.html
  
• Mozillaの信頼されるルートCA登録プロセス
  CA/Application Process - MozillaWiki
  CA/Quantifying Value - MozillaWiki
  
• 昨今のCA登録パブリックディスカッション
  Public Discussion of HARICA's Root CA Inclusion Requests (google.com)
  Public Discussion re: Inclusion of the TunTrust Root CA (google.com)
  Public Discussion re: Inclusion of the iTrusChina Root CAs (google.com)
  

CA Browser Forumで、CAが発行する証明書のサブジェクトに、 subject:organizationalUnitName (OID: 2.5.4.11) を含めないように、Baseline Requirementを改定する議論が始まっている話と、マウスとパームレスト探しをしている話、サングラスを買うだけで大変だった話をしました。

• CA Browser Forum の議論
• [Servercert-wg] Discussion Period Begins on Ballot SC47v2: Sunset subject:organizationalUnitName (cabforum.org)
• Comparing cf4e17a43977dcf7cb9c9e41efd2df4be4707e13...160f860dc1eccaa273bc8001dadaf07c4bba9dbd · cabforum/servercert (github.com)
• マウス
• https://www.logicool.co.jp/ja-jp/products/mice/mx-master-3.html
  
  

ゲストに、うるしまさんをお迎えし、S/MIME とギターについて話しました。

o うるしまさんのブログ　自堕落な技術者の日記 - livedoor Blog（ブログ）

•  S/MIME関連の古い記事(O365, iOSの設定等) 
• 今更ながらNIST PKITS (PKIのテストデータセット) 

o S/MIME の利用を促進する動き

•  政府主導によるS/MIME化で、PPAP問題やなりすましメールの撲滅を推進 by 諸角昌宏さん | デジタル改革アイデアボックス (cio.go.jp)
• 座談会 「社会からPPAP をなくすには？」Part2　～PPAP に代わる安全な方式 その1～｜情報処理学会・学会誌「情報処理」｜note
• JNSA S/MIME検討WG https://www.jnsa.org/jnsapress/vol12/12_14.pdf
• JNSA S/MIME検討WG 2004年度報告 S/MIMEクライアントの機能検証結果報告 

o CAB Forum

•  S/MIME Certificate Working Group - CAB Forum

o 無料証明書

• イタリアの無料S/MIME証明書 　Actalis https://www.actalis.it/en/certificates-for-secure-electronic-mail.aspx
• ·Comodo社の無料S/MIME証明書 https://www.comodo.com/home/email-security/free-email-certificate.php

o NIST Public Key Infrastructure Testing (PKITS) 

o Microsoft IRM

· Azure RMS のしくみ - Azure Information Protection | Microsoft Docs

· Azure Information Protection のドキュメント | Microsoft Docs

o ギター

·  ギター通販Reverb https://reverb.com/

· YAMAHA サイレントギター https://jp.yamaha.com/products/musical_instruments/guitars_basses/silent_guitar/index.html

· Fender PLAY (オンライン教室) https://try.fender.com/play/play-now-2021/

EV 証明書を利用するウェブサイトをブラウザで閲覧する時に、アドレスバーが緑で表示される機能について話しました。

What are the different types of SSL Certificates?

Information for the Public - CAB Forum

[更新] 各ブラウザによる SSL / TLS サーバ証明書の表示の違い (2019/10/21)

フィッシング対策協議会　Council of Anti-Phishing Japan | ニュース | 協議会からのお知らせ | [更新] 各ブラウザによる SSL / TLS サーバ証明書の表示の違い (2019/10/21) (antiphishing.jp)

Google Chrome EV表示の終焉

https://jovi0608.hatenablog.com/entry/2019/08/12/095854

TLSとWebブラウザの表示のいまとこれから～URLバーの表示はどうなるのか～

https://www.nic.ad.jp/sc-sendai/program/iwsc-sendai-d2-5.pdf

Internet Explorer 11 サポート終了

Internet Explorer は Microsoft Edge へ – Windows 10 の Internet Explorer 11 デスクトップアプリは 2022 年 6 月 15 日にサポート終了 - Windows Blog for Japan

＜補足＞　Apple Safariでは、EV証明書を利用するサイトの場合、アドレスバー自体は緑にはなりませんが、ドメイン名を緑字で表示しています。（ただし、組織名表示は取りやめ、ドメイン表示に変えています

「Chrome」と「Firefox」のアドレスバーでEV証明書の情報表示を変更へ - ZDNet Japan

昨今発表されたモーリシャス政府のTLS傍受の計画と過去にあったカザフスタン政府の傍受とそれに伴うルートストアの対応の話、信頼ストアは利用目的が決まっている話、そして、次世代Webカンファレンス2019 の話をしました。

• モーリシャス政府のTLS傍受の計画
  Social Media Public Consultation (icta.mu)
• カザフスタン政府の傍受
• 1567114 - MITM on all HTTPS traffic in Kazakhstan (mozilla.org)
  Kazakhstan’s HTTPS Interception (censoredplanet.org)
  Mozilla takes action to protect users in Kazakhstan - The Mozilla Blog
  独裁国家が政府認証のルート証明書導入を国民に強制、ISPによる中間者攻撃も確認される - GIGAZINE
• 信頼されるルートストアは、目的に沿った利用を
• Beware of Applications Misusing Root Stores - Mozilla Security Blog
• 次世代Webカンファレンス2019
  HTTPS - 次世代Webカンファレンス #nwc_https
  

これまで話してきた Camerfirma CA、Apple CT Policy、Let's Encryptのクロスサイン証明書について、その後に語られた内容について話しました。

Camerfirma CAのDistrustのその後

• Summary of Camerfirma's Compliance Issues (google.com)

Apple CT Policy Update のその後

• Tens of Thousands of GoDaddy Certificates Will Break in macOS 11.4 and iOS 14.6 - SSLMate Blog
• Rough analysis of CAs embedding too few SCTs to comply with the 2021-04-21 update to the Apple CT Policy · GitHub
• Certificate Transparency Policies Diverge After Apple's Update | Hardenize Blog
  

Let's Encryptのクロスサイン証明書のその後

• Let's Encryptのルート認証局移行についてちょっと調べてみた - Qiita

Appleの新しいCTポリシーに準拠していない証明書を発行したCAの話の中で、ミスがありました。訂正してお詫びします：

×発行枚数が一番多かったCAの原因が180日を６か月としたのではないか

〇発行枚数が２番目に多かったCAの原因が180日を６か月としたのではないか

×発行された証明書の有効期限を見てみると 181-254days だった

〇発行された証明書の有効期限を見てみると182日１４時間５４分３６秒だった

少し話題になっていた、Let's EncryptでDST Root CA X3から発行されたISRG Root X1のクロスサイニング証明書が中間CA証明書として設定されるようになった話から、DST Root CA X3は2021年9月30日で切れるけど、トラストアンカーの証明書の有効期限は古いAndroidでは検証されないので使えるよという話題になり、トラストアンカーの証明書の有効期限って過ぎても使えるんですね！（トラストしているのは公開鍵だから）という話をしました。

• Let's Encryptのルート証明書切替周り(完結編) | おそらくはそれさえも平凡な日々 (songmu.jp)
  
• Yosuke HASEGAWAさんはTwitterを使っています 「こんな方法ありなのｗ「なんと、旧Androidはトラストストアに入っている証明書の有効期限検証をおこなわないため、2021年9月29日より後も証明書検証に成功するらしいのです。何ということでしょう…。」https://t.co/iWctgvbd31」 / Twitter
  
• https://twitter.com/kazuho/status/1387965341855219721 の想定回答 · GitHub
  
• RFC 5280 - Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile (ietf.org)
  
• Internet X.509 PKI Certificate and Certificate Revocation List (CRL) Profile (ipa.go.jp)
  
• Google Developers Japan: Google、HTTPS、デバイスの互換性 (googleblog.com)
  
• 料亭の味 白だし | フンドーキン醬油株式会社 (fundokin.co.jp)

プラットフォームごとに異なるCTポリシー、Trusted Root Store、失効検証についての話と、キテレツ大百科・らんま1/2の音楽がすばらしい話をしました。

• Appleの Certificate Transparency Policyのアップデート
  
  Apple's Certificate Transparency policy - Apple Support
  
  Apple's Next CT Policy Update (google.com)
  
• Mozilla のルートストア、失効した証明書のリストの話
  
  Root Store CA - MozillaWiki
  
  Revocation list The End-to-End Design of CRLite - Mozilla Security Blog
  
• Chrome のルートストア、失効した証明書のリストの話
  
  RootStore Chrome Root Program - The Chromium Projects
  
  Revocation List CRLSets - The Chromium Projects
  
• Microsoft のルートストアの話
  
  リリースノート-Microsoft 信頼されたルート証明書プログラム | Microsoft Docs
  

• 訂正：ChromeのRoot Storeは 20個とかくらい　→ ちゃんと数えてみたら 122個ありました。
• 　　　MicrosoftのRoot Storeは300個とかくらい　→ちゃんと数えてみたら415個ありました。　

トラストって何？の話、 WindowsでSHA-1がリタイアする話、署名検証の話、素数ぜみ、キャベツの話をしました。     

• PKI & TRUST Days online 2021 「デジタル社会におけるトラスト」
  
  https://www.jnsa.org/seminar/pki-day/2021/index.html
  
• 本の紹介：TRUST 世界最先端の企業はいかに〈信頼〉を攻略したか | レイチェル・ボッツマン, 関 美和
  https://www.amazon.co.jp/dp/4822255565
• 本の紹介：信頼―社会的な複雑性の縮減メカニズム | ニクラス・ルーマン, 大庭 健, 正村 俊之 |本 | 通販 | Amazon

• SHA-1がリタイアします
  
  Microsoft to use SHA-2 exclusively starting May 9, 2021 - Microsoft Tech Community
  
• デジタル署名検証ガイドライン
  
  https://www.jnsa.org/result/e-signature/2021/index.html

• キャベツのスライサー：Amazon.co.jp : アーネスト 【日本製】 スライサー (千切り) 3倍速でできる (3倍速 トリプルウェーブ) 大手飲食店愛用ブランド 限定カラー ブラック A-77295 【Amazon.co.jp限定】 : ホーム＆キッチン

PKIの次の十年と、にしむねあさんの発見した脆弱性、そして乗り物は楽しい話をしました。

・次の10年の話

The next decade of Public Key Infrastructure… | UNMITIGATED RISK

・にしむねあさんの発見した脆弱性(証明書エラーページでXSS)
https://nishimunea.medium.com/

・前回の落穂ひろい

Deprecating TLS 1.0 and TLS 1.1(2021 March)

https://tools.ietf.org/html/rfc8996

SCT Auditing、Heartbleed7周年、Aavddon Ransomwareの鍵の取り出しについて話しました。 

• SCT Auditing
  

Certificate Transparency: SCT Auditing | Hardenize Blog

RFC 6962 - Certificate Transparency (ietf.org)

Certificate Transparency | GMOグローバルサインブログ (globalsign.com)

Opt-in SCT Auditing (public) (google.com)

Chrome CT 2021 Plans (google.com)

• A safer default for navigation: HTTPS
  

https://blog.chromium.org/2021/03/a-safer-default-for-navigation-https.html

• Heartbleed7周年
  

https://blog.cloudflare.com/heartbleed-revisited/

• Avaddon ランサムウェアの鍵のとりだし
  

https://arxiv.org/pdf/2102.04796.pdf

素敵なアートワークを作っていただきました。@HAZIさんありがとうございます！  

前回話したsigstoreのアーキテクチャ、WebPKIで利用する証明書の有効期限が短くなる流れについて話しました。 

 -sigstore A non-profit, public good software signing & transparency service https://sigstore.dev/ 

-GMOグローバルサインブログ: SSLサーバ証明書の有効期間を短縮するという決定に関する続報 https://jp.globalsign.com/blog/articles/cabrowserforum_200707.html

<録音時の問題により、ふたりの音声の大きさが揃っておらず、聞きづらいところがあります。申し訳ありません>

CTのちょっとした話と、Let's Encrypt がルート認証局を始めたことにおける「2フィート」 をどうするのかという話、

そして OSS向けにオープンな署名サービスを提供しようとこころみるSigstoreプロジェクトの話をしました。

参考情報

RFC6962

https://tools.ietf.org/html/rfc6962

JPNIC　Certificate Transparency (CT)とは

https://www.nic.ad.jp/ja/basics/terms/ct.html

Certificate Transparencyを知ろう - JNSA

https://www.jnsa.org/seminar/pki-day/2016/data/1-2_oosumi.pdf

Standing on Our Own Two Feet [Updated]

https://letsencrypt.org/2020/11/06/own-two-feet.html

Sigstore

https://sigstore.dev/

節分、スペインの認証局Carmerfirma がChrome90からdistrustされる件について話しました。

Summary of Camerfirma's Compliance Issues (google.com)

@jovi0608 さんツイート

https://twitter.com/jovi0608/status/1354047261945151491

雑談とPKIのポッドキャスト始めようと思ったきっかけなどを話しました。よろしくお願いします！