ひとくちPKI

CABFの最近のMinutesをおさらいして、いろいろな議論が進んでいることを確認しました。問題発生時のレポートを向上させる、失効の意味合いをはっきりさせるというテーマで投票が始まりそうらしい、CP/CPSの曖昧さと厳しさ（厳しくしすぎると実用上問題ない証明書の失効が増える）、夏に大きな変更を実施する？などについて話しました。雑談では、ダラスでサッカーワールドカップの試合がある、ダラスの見どころ（接待サボテン・いけず石）、牛乳宅配を始めたことなどについて話しました。

お久しぶりです！久々に過去の話題を思いだしながらふりかえりました。Let's Encryptの証明書って無料配布だけど本当に信頼できるの？という話題は定期的に出てくるよね、裁判所の差し止め命令にどのように対応するのか、TLS証明書の有効期間が短くなる取り組み開始、などの話題について話しました。雑談ではひとけーがCABFヒューストン回、音漏れ参加のためにライス大学を訪ねた話、ゆりかさんとひとけーの進路について、ひとけーの荒れている庭とゆりかさんの家庭菜園について話しました。

しばらくぶりです！BIMIが普及するに伴ってメールクライアント上で公式ロゴが表示されることについての一般向けのメッセージが出始めています。フィッシング対策として紹介されることもあるようですが、BIMI.orgはBIMIはセキュリティソリューションではないと言っていることに注意が必要ですよね～という話、みんなとりあえずDMARCやろうよ～という話をしました。また、Let'sEncryptがOCSPを2025/08/06に予定通りやめた話、IPアドレス証明書、6日間の短命証明書の発行を始めた話などもしました。雑談では一緒に歌舞伎を見た話、ひとけー万博行った話、クイックルワイパーの話などをしました。  BIMI.org- https://bimigroup.org/all-about-bimi/ひとけー前職最後の脅威分析ブログ- https://www.trendmicro.com/en_us/research/25/c/from-event-to-insight.html

ep70でも話した、WebPKIの証明書の有効期間を最長47日にしたい件について、CABFで投票が行われ、可決された件について話しました。他、CABFのF2Fミーティングが2025年3月に日本でホストされた話、ルート証明書登録プログラム(CA Certificate Root Program)のBugzillaでSectigoがDigiCertに法的に脅されていると主張した件についても少しだけ話しました。雑談では、ゆりかとひとけー一緒に韓国旅行行ってきた、ひとけーはシンガポールでBlack Hat Asiaにも行ってきた、という話をしました。 Apple Clint Wisonさん提案のSC-081 SC-081: Introduce Schedule of Reducing Validity and Data Reuse Periods by clintwilson · Pull Request #553 · cabforum/servercert · GitHub CA/Browser Forum、東京でオフラインミーティングを開催【セコム】DigiCert: Threat of legal action to stifle Bugzilla discourseBlack Hat Asia 2025

Let's Encryptが有効期間６日間で失効情報を提供しない証明書を提供することがアナウンスされた件と、Entrustがパブリック証明書事業をSectigoへ売却する件について話しました。雑談では、ひとけー転職した話、サボテンのあみぐるみを編みたい話をしました。 Announcing Six Day and IP Address Certificate Options in 2025 - Let's EncryptEntrust Sells Public Certificate Business to Sectigo, Sharpening Focus on Quantum-Ready Cryptographic Data Security Solutions | EntrustひとくちPKIもご紹介いただきありがとうございます！Xユーザーのkatoko(かとこ)@ネスペ勉強中さん: 「僭越ながら好きなPodcastをまとめたブログちょっと伸びた。紹介させていただいています。好きです。 #セキュリティのアレ #ゆるコンピュータ科学ラジオ #ひまじんプログラマーの週末エンジニアリングレッスン #ひとくちPKI #momitfm #お風呂で情シスラジオ #spno1 #ImageCast https://t.co/brO3bwUExM」 / X

ブラジルの政府系CAである「ICP-Brasil」の中間CAであるCertisign ( https://certisign.com.br/ )がgoogle.comをSubjectに持つTLS Webserver Authentication証明書を発行していたことがCTのモニタリングによって見つかった件と、ep70で話したLet's EncryptがOCSPやめる件についてサポート終了の正確なタイムラインが出た件について話しました。雑談ではひとけーのノートパソコンが死にそうで音がガビガビな話、2000年の年越しどうだった、2000円札見たことない、よいお年を！などの話をしました。 • Google.com の証明書がICP-Brasil（Autoridade Certificadora Raiz Brasileira v10）によって不正に発行された件 ○ 1934361 - ICP-Brasil: Mis-issued certificate ○ crt.sh | 421329f0dc2f683d6e96c1b5b310974d0997ad984ef69120f55372b4f48e1037 • ep70 で話したLet's EncryptがOCSPやめるってよのその後の話：Ending OCSP Support in 2025 - Let's Encrypt

・お知らせ Google PodcastがYouTube Musicに変わったとき、サブスクライブ設定が引き継がれなかったようです。 YouTube Musicをお使いの方で、引き続き番組をお聞きいただける場合は、お手数ですがお手元で個別にRSSのURLを登録してサブスクライブをおねがいいたします。 ひとくちPKI Podcast配信RSSのURLはこちらです： https://anchor.fm/s/42b89b8c/podcast/rss 本編ではFirefoxでCTのチェックが必須になった話、.mobiのTLDにおいて、古いWhoisサーバーのドメインテイクオーバーによって.mobiのWhois応答を模倣する(CAに応答が真正であると思わせる)ことができ、結果として所持していない任意の.mobiのドメインの証明書が発行できそうだったことがオフェンシブセキュリティ企業のwatchTowrによって明らかにされたインシデントについて話しました。雑談ではゴルフの話、高齢になる前に運動習慣を身につけたい話をしました。 ・FirefoxのCT必須化 1921525 - enforce certificate transparency in nightly ・.mobi任意証明書発行未遂(PoCですんだ)インシデント https://labs.watchtowr.com/we-spent-20-to-achieve-rce-and-accidentally-became-the-admins-of-mobi/ ・ゆきさんのブログでも紹介されております https://asnokaze.hatenablog.com/entry/2024/09/27/003452 ・2015年のlive.fiの話(なんとブログ著者はep68,69で話したEntrustインシデントのメールスレッドで対応していた方) https://www.entrust.com/blog/2015/03/what-happened-with-livefi ・CABFでWhoisでのドメイン所有確認のサンセットが賛成多数で採決されました(Ballot SC-80v3: Sunset the use of WHOIS to identify Domain Contacts and relying DCV Methods) https://cabforum.org/2024/11/14/ballot-sc-80v3-sunset-the-use-of-whois-to-identify-domain-contacts-and-relying-dcv-methods/

Let's EncryptがOCSPでの失効情報の提供をやめることを発表しました。CRLが大変だから始まったOCSPがどうやら役目を終えそうなムードです。また、CABFでWebPKIのTLS証明書の有効期間を45日にしたいという議題が提起されました。採決はまだですが、短くしたいムードがありますねといった話をしています。雑談では、子どものころ「どすこい」の言い方を練習しなかった？、らんま1/2の新作、U-NEXTの作品収集にかける情熱がすごいなどの話をして言います。    Intent to End OCSP Service  https://letsencrypt.org/2024/07/23/replacing-ocsp-with-crls/  SC-081: Introduce Schedule of Reducing Validity and Data Reuse Periods  https://github.com/cabforum/servercert/pull/553/files  Moving Forward, Together  https://www.chromium.org/Home/chromium-security/root-ca-policy/moving-forward-together/ 

1時間まるっとEntrustのTLS証明書が各ブラウザベンダからDistrustされる話をしています。  収録したのが少し前なので11/1以降に発行された証明書がChromeで信頼されなくなると言っていますが、現在その日付が11/12に変更になっています。    EntrustのTLS証明書のDistrustのタイミングについて最新情報はこちらから確認できます。  https://www.entrust.com/tls-certificate-information-center 

SSL.comからサブCAの運用に関するベストプラクティスについてのペーパーが発行されました。ep58,59で話した、インシデントの後に各ルートプログラムからリムーブされたe-Tugra CAがSSL.comのリセラーであったことが関連していると思われます。  また、Entrustが2024年3月～5月に22件のインシデントを起こしており、その後の対応が良くなかったため、MozillaのルートプログラムからEntrustに対して根本的な対処について詳細な提案が求められている件について話しました。  雑談ではルービックキュープ上達した話、ぶらさがり1秒と23秒の話、ジムに行くために自分を律する話、どすこいすしずもうの話、ちょっとブームがすぎたものを好きになると、グッズ集めが難しい話などをしました。    SSL.com: Lessons Learned, Security Implications and Good Practices for Branded SubCAs  https://www.ssl.com/article/lessons-learned-security-implications-and-good-practices-for-branded-subcas/  関連するBugzillaのスレッド  https://bugzilla.mozilla.org/show_bug.cgi?id=1867851  Recent Entrust Compliance Incidents (google.com)   https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/LhTIUMFGHNw  CA/Entrust Issues – MozillaWiki  https://wiki.mozilla.org/CA/Entrust_Issues  「どすこいすしずもう」公式チャンネル  https://www.youtube.com/channel/UCdfXACHBNiuVR8f4PRwDrEA 

5月初旬、DigicertのEV証明書のBusiness Categoryに本来大文字のところが小文字になっている不備があったことが明らかになりました。BR違反として約1.1万枚が失効・再発行処理となったようですが、こうなるまでにドラマがあったようでした、という話をしました。その他、雑談では技術書典16でひとくちPKI Journal3を出した話、日本語でTLSのいい本が出た話→SSL/TLS実践入門(献本をいただきました！ありがとうございます！)、自宅で皆既日食観測できた、オーロラ観測チャレンジ、北米13年ゼミと17年ゼミの同時大量発生の話、人間の氷河期の生存戦略などについて話しました。 1894560 - DigiCert: Incorrect case in Business Category (mozilla.org) Amazon.co.jp: SSL/TLS実践入門──Webの安全性を支える暗号化技術の設計思想 WEB+DB PRESS plus eBook : 市原 創, 板倉 広明: Kindleストア 技術書典16 ひとくちPKI Journal 3 (無料です！) 珍獣図鑑（11）：17年に一度の大発生！ 周期ゼミの遺伝子に仕掛けられた“時計”を探せ

Let's Encryptの中間CAが新しい構成になる話をしました。なんとその数RSA5つ、ECDSA5つの計10個。それぞれで2つが稼働、3つがバックアップという構成をローテーションするそうです。以前あったHTTP Public Key Pinning (HPKP)をdiscouragesする意図もあるみたい。雑談では成果物、編み物、ルービックキューブ、ぶら下がり健康器の話をしました。    New Intermediate Certificates  https://letsencrypt.org/2024/03/19/new-intermediate-certificates 

小ネタ集としてLEが新しく発表したCTサーバの新アーキテクチャ実装Sunlight、2024年のReal World Crypto学会でCTがLevchin Prizeを受賞、1字違いのプレーンテキストでのMD5衝突の話をしました。雑談ではテキサス&シアトル小旅行（テキサスの接待サボテン、シアトル散歩、シアトルはタコグッズ推し、インフレ、飛行機で映画何見る？、Kindle本セールなど）の話をしました。    Let's EncryptがCTサーバの新アーキテクチャ実装 Sunlight を発表しました。  https://letsencrypt.org/2024/03/14/introducing-sunlight  ボトルネックだったリレーショナルデータベースをやめた。  まだブラウザから検証元として信頼はされてないようですがログ投入やモニターすることはもうできるみたいです  3月末にReal World Cryptoという学会が行われまして、そこで今年のLevchin PrizeというのにCertificate Transpearencyのクリエイターたちが選ばれたようです。  RWC自体では耐量子暗号とか、時勢の緊張も相まってメッセージのE2E暗号化とかの話題が多かったように思いました。アブストラクトはWebサイトから見れます。  https://rwc.iacr.org/2024/program.php  1文字だけ違うアルファベットの文字列でMD5のハッシュが衝突する事例が見つかったようです  https://twitter.com/realhashbreaker/status/1770161965006008570   md5("TEXTCOLLBYfGiJUETHQ4hAcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak") = md5("TEXTCOLLBYfGiJUETHQ4hEcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak")  集英社のKindle本50%ポイント還元セールでドクタースランプ、ドラゴンボール、鬼滅の刃、ワンピース全巻買いました（ひとけー） 

冒頭ではひとけーがSCIS2024行ってきてよかった話をしました(C509の話など)。2024年1月16日にChrome Root Program Policy, Version1.5が公開され、ACMEによる自動化や鍵のマテリアルの新鮮さについての要件が加わったことなどを話しました。また、2024年1月下旬にGoogleTrustedServiceで不適切な証明書が発行されたインシデントがあり、そのインシデントレポートの内容を見てみました。雑談では、三都屋のえびの餅、サイバーパンク屋台、水族館、美術館、博物館の話をしました。 冒頭ではひとけーがSCIS2024行ってきてよかった話をしました(C509の話など)。2024年1月16日にChrome Root Program Policy, Version 1.5が公開され、ACMEによる自動化や鍵のマテリアルの新鮮さについての要件が加わったことなどを話しました。また、2024年1月下旬にGoogle Trusted Serviceで不適切な証明書が発行されたインシデントがあり、そのインシデントレポートの内容を見てみました。雑談では、三都屋のえびの餅、サイバーパンク屋台、水族館、美術館、博物館の話をしました。 • Google Trust Services のインシデントレポート ○ 1876593 - Google Trust Services: Failure to properly validate IP address (mozilla.org) https://bugzilla.mozilla.org/show_bug.cgi?id=1876593 • Chrome Root Programの新バージョンでてました。 ○ Chrome Root Program Policy, Version 1.5 ○ Last updated: 2024-01-16 ○ https://www.chromium.org/Home/chromium-security/root-ca-policy/ ○ Chrome Root Program Policy Version 1.5 (TRACKED CHANGES).docx - Google ドキュメント https://docs.google.com/document/d/1soL-ZFOp8LeUwvQjKlacf2GWuvjYJ1A7/edit#heading=h.gjdgxs • 三都屋のお餅 ○ https://kuromon-mitoya.com/product_list/mochi/

ひとけーが今年1/23-26に長崎で行われるSCIS2024で発表します。記事を出すことで自分の役割を果たしたと思っていたけど、対策を世の中にデリバリするにはもう一仕事必要そうだなとおもってもがいている話もちょっとしました。PKIネタではChromeがCTログサーバとして参照するのに可用性要件（90日平均で99%）を求めるようになった話をしました。雑談ではテキサス寒波到来、ゲーム捗った、パンを焼く、もち用アルミホイルなどの話をしました。 2024年　暗号と情報セキュリティシンポジウム（SCIS2024) https://www.iwsec.org/scis/2024/ New availability requirements for logs trusted by Chrome coming into effect March 31, 2024　https://groups.google.com/a/chromium.org/g/ct-policy/c/4G-lF2N8H7A/m/fJ4WgAunAQAJ Pillsbury　https://www.pillsbury.com/ 東洋アルミ おもちを焼くホイル https://www.amazon.co.jp/%E6%9D%B1%E6%B4%8B%E3%82%A2%E3%83%AB%E3%83%9F-TOYO-ALUMINIUM-%E3%81%8A%E3%82%82%E3%81%A1%E3%82%92%E7%84%BC%E3%81%8F%E3%83%9B%E3%82%A4%E3%83%AB/dp/B0088B5I6O/

技術書典15とInternet Week 2023に出る話、WebPKIのシェアでLet’s Encryptが過半数を超えた話をしました。雑談では、100kmライド走った話、ムール貝のワイン蒸しの話、サブウェイからターキーブレストがなくなった話をしました。   WebPKIのシェア https://twitter.com/rmhrisk/status/1708144837252567238

2023/9/1からCA/Browser Forumの S/MIME ワーキンググループで議論されてきた Baseline Requirementの運用がスタートした話と、メールクライアントで認証済みの発行者からのメールにブランドアイコンを表示するBIMIに対応したメールについて、Gmail上で青バッジが表示される運用が始まったようだという話をしました。雑談ではひとけー学位授与機構で学位（学士（工学））取れたよの話、夏休み何してた？パスポート切れた！など旅行あれこれの話をしました。

Let's Encryptでシリアルナンバーが重複する異なる証明書が発行されたインシデントの報告があり、その発見から対応までのタイムラインがすごいという話と、来年2024年9月からLEのトラストチェーンからクロスサイン証明書が減って短くなるという話をしました。技術書典15に出ます！よろしくお願いします！  ・Let's Encrypt で6/15に発生していたインシデントの話　1838667 - Let's Encrypt: Duplicate Serial Numbers (mozilla.org) ・サービスダウンを発見したSSLmateの人の総括ブログ：The Story Behind Last Week's Let's Encrypt Downtime (agwa.name) ・LEが実施したこの変更に伴うサービスダウンだった：　Small change to end entity certificates: CPS URL and OID will not be included from June 15 - API Announcements - Let's Encrypt Community Support (letsencrypt.org)

前回の配信回で取り上げたE-Tugra、Chromeの信頼されるルートCAリストから削除されることが決まったようです(6/15までに配信されるChrome root store v11から)。ほか、EUのトラストサービスのプロバイダーの組織 European Signature Dialog が Google の提唱する90日のshort-lived Certificateに対する懸念を、EU機関にむけて発信している話をしました。European Signature DialogはGoogleのふるまいをAnti-competitiveと言っているようです。  雑談では学位授与機構の試験を受けてきた話、新しく買った電子レンジにWi-Fiがついてる話などをしました。    Security concerns with the e-Tugra certificate authority   https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/yqALPG5PC4s  Mozilla でも議論がはじまりました  Review of e-Tugra's Inclusion in Mozilla’s Root Store (google.com)  Google returns to anticompetitive behavior by limiting all certificates to 90 days only  https://www.european-signature-dialog.eu/Google_returns_to_anti-competitive_behavior-ESD_26042023.pdf 

トルコのCA、E-Tugraから2022年11月にインシデントがレポートされてから、今も引き続きそのインシデントについて議論が行われています。 Public Trusted CAとしてRootプログラムに登録されているCAには、規約の遵守が求められることに加えてインターネットコミュニティからの厳しい目が向けられている、というような話をしました。雑談では、技術書典14でJournal2が出た話(無料です！)、トルコやメキシコに行きたい話をしました。 • E-Tugra: Incident Report (Security Issues) ○ https://bugzilla.mozilla.org/show_bug.cgi?id=1801345 • SSL.com: e-Tugra Security Issues ○ https://bugzilla.mozilla.org/show_bug.cgi?id=1832570 • ひとくちPKI Journal 2 (技術書典14) ○ https://techbookfest.org/product/q4FqjLAxr9rfU9EMQX7wVG

2023/06/01から、Public Trustedなコード署名証明書の発行において Baseline Requirement で秘密鍵保護の強化が施行されます。もともとは2022年の11月に施行される予定だったものが延期されていました。これまでオプションとして許容されてきたソフトウェア鍵生成での証明書発行(PKCS#12形式で保管)が選択肢から外れ、実質的に禁止されることになりました。これによってコード署名付きマルウェアの観測が減っていくのでは…という話をしました。また技術書典で出す予定の本「ひとくちPKI Jornal2」にBYOVD(Bring Your Own Vulnerable Driver)についての記事をひとけーが書いている話もしました。ほとんど全部ネタバレしました。 Baseline Requirements for the Issuance and Management of Publicly-Trusted Code Signing Certificates https://cabforum.org/wp-content/uploads/Baseline-Requirements-for-the-Issuance-and-Management-of-Code-Signing.v3.2.pdf

30年の歴史を持つらしいHTTPSの鍵マークが、今年の秋ごろからChromeでは「チューンアイコン」へ変更されることについて話しました。雑談では、自転車に乗ると楽しいという話をしました。 https://blog.chromium.org/2023/05/an-update-on-lock-icon.html https://scotthelme.co.uk/goodbye-old-friend/

Let's Encryptで証明書の失効と更新の自動化をサポートするACME Renewal Information (ARI)の運用が開始された話、クラウドフレアでドメイン保有者からの権限委譲でACMEでの証明書発行自動化を実施できるようになるDomain Control Validation (DCV)の運用が開始された話、技術書典14で新刊を出す決意表明などを話しました。雑談では何もしてないのにスマホが壊れた話をしました。 • Improving Resiliency and Reliability for Let’s Encrypt with ARI • https://letsencrypt.org/2023/03/23/improving-resliiency-and-reliability-with-ari.html • Out now! Auto-renew TLS certificates with DCV Delegation • https://blog.cloudflare.com/introducing-dcv-delegation/ • GlobalSign Announces ACME OV Certificate Support • https://www.globalsign.com/en/company/news-events/news/acme-ov-certificate-support • 技術書典14 • https://techbookfest.org/event/tbf14

2023年2月にCT v2からv3への移行が実施後に切り戻された話、コード署名証明書でもCTやってくれないかなの話、TLSハンドシェイクの情報を使ってサイバー攻撃のインフラを判別するJA3という手法の紹介と、ちょっとZT Browserの話をしました。雑談ではひとけーがNIST SP 800-63-4の翻訳に参加した話、漫画たくさん読んだ話、世紀末系の話が怖い話をしました。 • どうやら、(予定されていた) certificate transparency (CT) v3 への移行後、対応してないためにCTエラーがでているアプリが多数出ている模様👀 ○ https://twitter.com/EurekaBerry/status/1626048541906059265 • JA3 初めて知った ○ https://engineering.salesforce.com/tls-fingerprinting-with-ja3-and-ja3s-247362855967/ ○ https://engineering.salesforce.com/open-sourcing-ja3-92c9e53c3c41/ • NIST SP 800-63 Digital Identity Guidelines Revision 4 (翻訳版) ○ https://openid-foundation-japan.github.io/800-63-4/index.ja.html ○ ひとけーが翻訳に参加しました • コミックデイズでいくつかのイブニング作品の読み放題実施中です ○ https://comic-days.com/blog/entry/evening_0festival

ZT Browser が CA/B Forum の Server Cert WG に参加申請を出していて、Ballot が行われたけど否決されてしまった様子の話をしました。雑談では、手続きのためにヒューストンに行ったけど珍道中になってしまった話、学士の学位がない人は学位授与機構から学位をもらおう！という話をしました。 [Servercert-wg] Discussion period begins: Ballot SC60: Membership of ZT Browser (cabforum.org) https://zotrus.com/en/blog/apple-google-mozilla-opera-what-are-you-afraid-of.html 単位積み上げ型の学士の学位授与制度(大学改革支援・学位授与機構) https://www.niad.ac.jp/n_gakui/tsumiage/degree_awards_system/

2022年12月に収録したものをやっと配信できました！Let's Encryptの運営元として知られるINTERNET SECURITY RESEARCH GROUP(ISRG)の2022年のアニュアルレポートについて話しました。Let's Encryptについはもちろん、データ収集時のプライバシーの尊重を勧める「Divvi Up」、インターネットの基幹システムをメモリセーフティなコードにしていこうというイニシアチブである「Prossimo」について紹介されていました。雑談では焼き栗にしたらうまくいった話、手打ちうどん・そばの話をしました。 Let’s build a better Internet https://www.abetterinternet.org/documents/2022-ISRG-Annual-Report.pdf Divvi Up https://divviup.org/ Prossimo https://www.memorysafety.org/about/

2022年11月に収録した回をようやく配信できました！お待たせいたしました。 Twitter.comの証明書の有効期限が切れそうでハラハラした話、ブラジルの国が運営しているWebPKIのCA(SERPRO's CA)を新しくルートプログラムに登録したいという議題が6週間のオープンディスカッション期間に入っていた話(のちに2023年3月まで議論がサスペンドされました)、PKI関連の書籍が新しく出ていた話をしました。雑談でははてしない物語、揺り戻しの少ない休暇の取り方について話しました。 Twitter.com Public Discussion of SERPRO's CA Inclusion Request https://groups.google.com/a/ccadb.org/g/public/c/Mux855BsRg4/m/MhxJXipVAwAJ ネットワークセキュリティ詳説 PKI/TLSプロトコル https://www.amazon.co.jp/dp/4339029297

2022年9月下旬(収録当時)、ついにChrome Root Programがローンチされた話、ルートプログラムだけでなく証明書検証のプロセス自体もChrome Cert Verifierという独自のものを使うようになる話、証明書のパス構築と証明書検証において歴史的な変化となりそうですよね…という話をしています。雑談では、技術書典13の本にも登場したゆりかさんのピーマンの話のその後、万願寺とうがらしはテキサスのとうがらし(正確にはニューメキシコで採れてテキサスでも流通しているHatch Chile)にそっくり、お気に入りの梨(新甘泉・荒尾梨)などの話をしました。※ひとけーがモバイル環境で収録したためひとけーだけ音がよくないです、すみません！ Announcing the Launch of the Chrome Root Program https://blog.chromium.org/2022/09/announcing-launch-of-chrome-root-program.html CA/B Forumで紹介された資料 https://drive.google.com/file/d/1BksDjW0yCcgWiEZ5A5R_a_GHdUYPnCVc/view Frequently Asked Questions https://chromium.googlesource.com/chromium/src/+/main/net/data/ssl/chrome_root_store/faq.md Adam Langleyさんのブログ ImperialViolet https://www.imperialviolet.org/

ご無沙汰しております！休暇中の設備で録音したためひとけーだけ音がよくないです、すみません。IIJ Engineers Blogで2022年6月に発行されたRFC9110(HTTP Semantics)でHTTPSでの証明書検証においてサーバのアイデンティティの確認にCommon Name(CN)項目は使えません(CN-ID MUST NOT be used by clients)と決められた話をしています。すでにChromeでは2017年くらいからSubject Alt Name(SAN)を使うような動作になっています。 雑談ではゆりかさんが素数ゼミの本を読んだ話、ひとけーが家の窓にできた蜂の巣を観察している話をしました。 HTTPS 証明書の Common Name の検証がしれっと禁止されていた件について https://eng-blog.iij.ad.jp/archives/14820 素数ゼミの謎 https://www.amazon.co.jp/dp/B0855L5QZ9

BIMIの利用が広がっているようです。Yahoo! Japanが送信メールでBIMIに対応したとのニュースがありました。Tech blogにはBIMIの説明やトラブルシュートの様子が記載されており参考になりました。またLet's Encryptではいくつかのルートプログラムの要請により今まで発行していなかったCRLの発行を始めるとのこと。WebPKIの失効検証が大きく変化していますねという話をしました。 また、技術書典13でひとくちPKIの初めての本「ひとくちPKI Journal 1」を発行しました。 技術書典13 オンラインマーケット開催期間の2022/09/10～2022/09/25に、以下のURLから無料で入手できます。PKIの話と雑談という構成でかなりポッドキャストを再現できたと思います。頻出単語の用語集や図を使った脆弱性の解説、園芸や音楽の話を書きました。ぜひ見てみてください。今回の雑談でちょっと紹介しています。 「ひとくちPKI Journal 1」 https://techbookfest.org/product/igGG2Qv12G2Hm98aWQAKxi Yahoo! JAPAN がBIMIを導入 • フィッシングメール対策として、Yahoo! JAPANから配信するメールにアイコンが表示される規格「BIMI」を導入 - ニュース - ヤフー株式会社 • Yahoo! JAPAN がメールセキュリティ「BIMI」を導入するまでのお話 - Yahoo! JAPAN Tech Blog A New Life for Certificate Revocation Lists • https://letsencrypt.org/2022/09/07/new-life-for-crls.html 技術書典13でひとくちPKIの初めての本「ひとくちPKI Journal 1」を発行しました！ • https://techbookfest.org/product/igGG2Qv12G2Hm98aWQAKxi

OCSPが持つプライバシーへの懸念を理由の一つとして、Chrome106からはDVやOV証明書がすでにそうなっているようにEV証明書でもOSCPでの証明書失効検証を行わなくなるのとのこと。Webサーバー管理者から見るとOCSP staplingをやったほうがいいケースがありそうという話をしました。 ほか、OCSPのRFCって史上最悪級に読みにくいらしい、湖でカメを助けた、夏野菜の育成に失敗したことなどを話しました。 • Revocation checking for EV server certificates in Chrome (google.com) https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/S6A14e_X-T0/m/T4WxWgajAAAJ • 自分の行っているセキュリティ関連の情報収集 - ドキュメントを見たほうが早い (hatenablog.com) https://benevolent0505.hatenablog.com/entry/2022/08/29/170000 ひとくちPKIをご紹介いただきましてありがとうございます！

PKIコンソーシアムにPKI Maturity Model Working Groupというものができ、PKIを運用している組織の成熟度を評価するモデルを整えようという活動が行われているようです。使いやすいモデルを使って自分たちの組織の成熟度評価ができるようになるといいですねという話をしています。 雑談では日本のナスがおいしいアメリカの大きい唐辛子がおいしいなど夏野菜の話、フジロックの話からコロナ時代がもたらした音楽ライブの楽しみ方の変化などについて話しました。 What is the PKI Maturity Model (PKIMM) and how can you contribute? https://pkic.org/2022/07/11/what-is-the-pki-maturity-model-pkimm-and-how-can-you-contribute/

Certificate Transparencyのデータを使って大量の証明書からRSA鍵を取り出して調べたら因数が重複しているものが見つかったという研究について話しました。2022年5月の時点で1.59億個の鍵を調査することができ、問題があった鍵は8個見つかったのだとか。案外少ないなと思ったし、以前より良くなっている気がする…というような話をしています。 雑談では夏は暑い、JRの青春18きっぷで東京から博多まで行くときのお気に入りのルーティーン、九州列車旅の話をしました。 Finding shared RSA factors in the Certificate Transparency logs https://bora.uib.no/bora-xmlui/bitstream/handle/11250/3001128/Masters_thesis__for_University_of_Bergen.pdf 青春18きっぷ https://railway.jr-central.co.jp/tickets/youth18-ticket/

IPhoneとMacOSのメールクライアントでBIMIのサポートが始まるようです。また実際BIMI対応するにあたってなかなか大変だったお話がJANOG49であったようでした！ 雑談では塩味の食べ物、バイク、夏の活動限界、歴史勉強したけど覚えてない、大阪の古墳群世界遺産になったけどそんな雰囲気全然ないなどの話をしました。 • VMC Adoption is Growing with Apple Support | DigiCert : iPhones (iOS 16) (MacOS Ventura) This fall • https://www.digicert.com/blog/vmc-adoption-growing-with-apple-support • Email Client Market Share and Popularity – Litmus • https://www.litmus.com/email-client-market-share/ • これから始めるBIMI ～メールにロゴを表示させるまでの長い道のり(継続中) 平野 善隆さん(株式会社クオリティア) • https://www.janog.gr.jp/meeting/janog49/wp-content/uploads/2021/12/bimi-pre_hirano_20220126.pdf

Sysadminの立場からTLS接続エラーのトラブルシュートをして面倒だった話をChris Siebenmannさんがブログに書かれており、結果的にWebサーバが中間CA証明書を送っていなかったという結末だったのですが、その話の中でFirefoxは中間CA証明書をプリロードしていたり、ChromeやEdgeは中間CA証明書をキャッシュしたりするんだって～えっ証明書の中に入っている機関情報アクセス(AIA)は見られないの！？知らなかった～！というような話をしました。 雑談ではずっと車の話をしています。旅先でCivic Del Solという珍しい車を見たがRecognizeできず焦った(経験だけで足りるということはなく、体系的な学習が必要なのだ)話やそのシビックデルソルの屋根の開き方がやばい話(絶対映像見てほしい)、昔乗ってた古い車の話、次買う車ガソリン車かな～というような話などをしています。 そして話の中でS600と言っているのはS660が正しく、MRSと言っているのはMR2が正しく、キャデラックエスカレードの全長が4mくらいと言っているのは5.4mが正しいです！大変失礼いたしました。 Missing TLS intermediate certificates can create mysterious browser problems https://utcc.utoronto.ca/~cks/space/blog/web/TLSIntermediateCertHell URLおもしろい。依存関係のトラブルをDLL HELLと言うのと似てますね。 Preloading Intermediate CA Certificates into Firefox https://blog.mozilla.org/security/2020/11/13/preloading-intermediate-ca-certificates-into-firefox/ Civic Del Solのオープン屋根の開き方がやばい CR-Xデルソル　電動オープン

先日、計画作業として実施されたはずのGoogleのCTログサーバのリタイアの影響で、そのCTログサーバを参照するサーバ証明書がまだ生きていてCTログの検証が行えずTLS接続がエラーになる事象が起きていました。証明書にはCTログサーバ参照先が2つ以上書かれているはずですが、もうひとつのほうも落ちており、結局のところGoogle頼みだったんだね…というような話をしています。 雑談ではずっと乗り物(CB400SFのサンセット、トップガンマーベリック見た、Ninja H2かっこいい、SOAのキリトのバイク納得いかない、高速鉄道の世界最速のレギュレーション納得いかないなど)の話をしました。 • Google の CTログの撤去が、CTエラーになっていた件　 • Temporary rollback of recent Google log retirements • https://groups.google.com/a/chromium.org/g/ct-policy/c/P3_hj9QmsLc/m/S9xohdAHAQAJ?pli=1 • Turning down non temporal Google CT Logs • https://groups.google.com/a/chromium.org/g/ct-policy/c/8mZ2ljdbQJo

以前からやるよと言われていたChrome Root Programのポリシーが公開されました。CA証明書を5年ごとにリプレースしてほしいというところが目玉なのかな、といった話をしました。雑談では枝豆、マスターキートンの電子版の配信が始まった、推しって単純に好きっていう状態とは違うのか？それともほとんど同じなのか？とにかく飛行機乗りたいなどの話をしました。 Chrome Root Program (chromium.org) https://www.chromium.org/Home/chromium-security/root-ca-policy/ https://twitter.com/estark37/status/1533923475491958784

Black hat USAでRPKIについてのセッションがあるみたいです。RPKIについてはJPNICの方が説明してくださっているワークショップのビデオが公開されています。あとはPKI用語についての小話、CD買った話、ヘッドホン買った話などをしました。 ○ Black hat USA 2022 - Stalloris: RPKI Downgrade Attack ▪ https://www.blackhat.com/us-22/briefings/schedule/index.html#stalloris-rpki-downgrade-attack-27348 ○ JPNIC RPKIワークショップ ▪ RPKIワークショップ ▪ ○ Sectigoのポッドキャスト：PKI 用語の話 ▪ Root Causes 218: PKI Nomenclature Oddities | Sectigo® Official ○ ヘッドホン買った ▪ SONY ステレオヘッドホン MDR-7506 https://www.amazon.co.jp/dp/B000AJIF4E

Mozillaのルート証明書ストアポリシーが、サーバ証明書のCRLにはRFC 5280で決められている失効理由を表すReason Codeを入れることを求める内容に変更された話と、そのほか失効検証にまつわるあれこれを話しました。雑談では、私たちなまってますよね、技術書典で本を出すつもり、記念のマグカップを作ろうの話をしました。 Revocation Reason Codes for TLS Server Certificates - Mozilla Security Blog https://blog.mozilla.org/security/2022/05/16/revocation-reason-codes-for-tls-server-certificates/ MozillaのRevocation についてのWiki CA/Revocation Checking in Firefox - MozillaWiki 失効検証のFailure Rate https://telemetry.mozilla.org/new-pipeline/evo.html#!aggregates=0%2520bucket%2520percentage&cumulative=0&end_date=2019-12-02&include_spill=0&keys=!__none__!__none__&max_channel_version=beta%252F71&measure=CERT_VALIDATION_HTTP_REQUEST_RESULT&min_channel_version=beta%252F50&processType=*&product=Firefox&sanitize=1&sort_keys=submissions&start_date=2019-10-21&trim=1&use_submission_date=0 Mozilla CRLite Introducing CRLite: All of the Web PKI’s revocations, compressed - Mozilla Security Blog 藤井風さん さよならべいべ： Fujii Kaze - SAYONARA Baby at Okayama Civic Hall 何なんw： 藤井 風(Fujii Kaze) - “何なんw”(Nan-Nan) at 日本武道館(Nippon Budokan)

Alexa Top Millionを提供していたalexa.comが2022/5/1にリタイアした話、CTを監視して作りたてのWordPressを狙って攻撃してくる手法があるみたいという話をしました。雑談ではピザの話（続き）、家庭菜園何植える？、期待に応えるための接待サボテン、テキサスは2番目(アラスカの次)に大きくて日本の2倍、デラウェア州、本州一周6000kmの旅の話などをしました。 Alexa.com Mirror, Mirror, on the Wall, Who’s the Fairest (website) of Them all? https://www.domaintools.com/resources/blog/mirror-mirror-on-the-wall-whos-the-fairest-website-of-them-all CTからの攻撃について@matsuuさんのツイートスレッド https://twitter.com/matsuu/status/1522751803242455043?s=20&t=yRyJ5_doufEWESpXecld9Q WordPress sites getting hacked ‘within seconds’ of TLS certificates being issued https://portswigger.net/daily-swig/wordpress-sites-getting-hacked-within-seconds-of-tls-certificates-being-issued

SHA1のリタイアが進んでいます。2022/6/1からはOCSPレスポンスの署名にSHA1を利用できなくなる話、CABFのS/MIME WGでは証明書の項目を詰める議論がされてるみたいという話をしました。雑談では「令和の時代に○○を見るとは思わなかった～」を英語で表現する方法、カフェオレ作るとき氷・牛乳・コーヒーどの順番で入れる？の話などをしました。 Sunset for SHA1 Ballot SC53: Sunset for SHA-1 OCSP Signing | CAB Forum CABF S/MIME WG  Meeting Minutes https://cabforum.org/2022/04/13/2022-04-13-minutes-of-the-s-mime-certificate-working-group/ https://cabforum.org/2022/03/30/2022-03-30-minutes-of-the-s-mime-certificate-working-group/

EUで適格Webサイト証明書というものの導入が議論されており、有用性や適格証明書を発行する認証局の認定を巡ってラウザベンダーからはレターが出されるなど懸念が表明されている状況らしい…という話をしました。雑談パートでは庭に咲いた花、テキサスの夏、日本のコンビニ、アメリカのお菓子の話をしました。 適格Webサイト証明書 Qualified Website Authentication Certificates (QWACs) 参考サイト EU plans to mandate less secure certificates in browsers | Bulletproof TLS Newsletter | Feisty Duck If it looks like a duck, swims like a duck, and QWACs like a duck, then it's probably an EV Certificate (scotthelme.co.uk) Qualified website authentication certificate - Wikipedia Mozilla and the EFF publish letter about the danger of Article 45.2

Cloudflareでは何らかの理由で現在利用中の鍵や証明書が使えなくなった場合に備えて、予備の鍵と証明書を発行しておく取り組みを始めるらしいという話、個人でS/MIME証明書を取得するには苦難が伴う話、ベジフル大百科というポッドキャストが面白い話、雑草絶対抜く器具や虫絶対殺すやつの話をしました。 Cloudflare Introducing: Backup Certificates (cloudflare.com) Ryan HurstさんのS/MIMEについてのツイート https://twitter.com/rmhrisk/status/1501635511097577472 雑草絶対抜くやつ https://www.gizmodo.jp/2022/01/248663-machi-ya-skidger-start.html

Amazon.co.jpと楽天が送信するメールにBIMIでブランドロゴが表示される ようになってるという話と、ひとくちPKIが1周年を迎えましたという話をしました。 楽天サービスに対する不正対策-なりすまし・フィッシングメール対策- (rakuten.co.jp) BIMI Inspector - BIMI Group

HTTP Public Key pinning(HPKP)廃止のタイムラインにつて Remove HTTP-Based Public Key Pinning - Chrome Platform Status (chromestatus.com) https://groups.google.com/a/chromium.org/g/blink-dev/c/he9tr7p3rZ8/m/eNMwKPmUBAAJ > Finally, remove support for built-in PKP (“static pins”) at a point in the future when Chrome requires Certificate Transparency for all publicly-trusted certificates (not just newly-issued publicly-trusted certificates). (We don’t yet know when this will be.) →Preloaded(Static/Built-in) Public Key pinnning は今も廃止されていない？ 67で廃止予定だった(2017年10月に発表、2018年5月に安定版配信)が開発者コンソールにメッセージが出るようになり、72(2019年1月)で完全に廃止になったように見られる 779166 - Deprecate And Remove header-based HTTP Public Key Pinning (HPKP) - chromium OUフィールドが廃止される話 Ballot SC47v2: Sunset subject:organizationalUnitName | CAB Forum Due to New Rule, OU Field to Be Deprecated in Sectigo Issued Certificates Starting July 1st 2022 | Sectigo® Official アニメの令和リファイン ダイの大冒険狂おしいほどいい https://dq-dai.com/ うる星やつら楽しみ https://uy-allstars.com/

HTTP Public Key pinnning、OCSP Staplingの話、WebPKIの証明書のブラウザでの失効検証の話と、おもちとうどんの話、御座候の話、たこあげの話をしました。 HTTP Public Key Pinning "HPKP" | Can I use... Support tables for HTML5, CSS3, etc Remove HTTP-Based Public Key Pinning - Chrome Platform Status (chromestatus.com)→話の中でぼんやりしたことを申し上げておりましたが、HPKPはChromeでは2019年1月に、Firefoxでは2020年1月にRemoveされていました。 自堕落な技術者の日記 : HPKP(HTTP Public Key Pinning)公開鍵ピニングについて考える - livedoor Blog（ブログ） OCSP Stapling の話 ⚙ D133706 Bug 966856 - mozilla::pkix: support SHA-2 hashes in CertIDs in OCSP responses r?jschanck!,djackson! MicrosoftのWebサイトを開けない不具合を修正した「Firefox 95.0.1」が公開 - 窓の杜 (impress.co.jp) Bullet proof TLS and PKI v2 Bulletproof SSL and TLS | Feisty Duck

PKIコンソーシアムがトラストリストのリスト(リストオブトラストリスト)を作っていますよ、の話と、健康のためにどのようにして運動習慣を獲得するかについて話しました。    ・Creating a global List of Trust Lists | PKI Consortium  https://pkic.org/2021/11/24/creating-a-global-list-of-trust-lists/

開催中のInternet WeekでPKI関連トピックもいくつかあるよという紹介と、関東平野が平べったい、動物のお医者さん、新幹線と飛行機の思い出、温泉、まだ行ったことない行ってみたいところの話などをしました。 ・プログラム - IW2021 (nic.ad.jp) 　・C9 インターネットルーティングの新常識 RPKIをはじめよう！ 　・C19 電子契約、公開鍵基盤（PKI）、証明書、リーガルテックの基盤技術 　・C24 きみが思うより側にある国際標準

フィッシング対策セミナーで聞いた話の話と反省会、あとCT(Certificate Transparency)と新しく発表する物事の相性があんまり良くないなという話、サマータイムが終わった話とOutlookのカレンダーにタイムゾーンが3つ出せるようになった話などをしました。     フィッシング対策協議会 フィッシング対策セミナー 2021（オンライン）開催のご案内 (antiphishing.jp)  https://www.antiphishing.jp/news/event/antiphishing_seminar2021.html    商標とCT：Meta.com  https://crt.sh/?q=meta.com  Meta.comの証明書について、発表のタイミングではSubject DNに「CN = meta.com」しか書かれていないDV証明書が発行されていたが、しばらくしてから「O = Facebook, Inc.」も書いてあるEV証明書も発行されていた。意図的にコントロールしていたのかは不明ですが～。 Time Zone Converter Time Zone Converter – Time Difference Calculator (timeanddate.com) TimeZonesのメニューにある International Meeting Plannerは複数タイムゾーンでmeeting時間の話し合いをするとき便利 Microsoft Outlook タイムゾーンを追加する タイム ゾーンを追加、削除、または変更する (microsoft.com)

11/5(金)にフィッシング対策セミナーでお話しします。PKIとフィッシングの関りについて、昔の話も掘り起こしつつ今までの話と、WebPKI、S/MIME、BIMIなどについて今やこれからのお話をします。お時間合いましたらぜひご参加ください！   ほか、11/11(木)～12(金)で開催される「IAjapan 第21回 迷惑メール対策カンファレンス」がおもしろそうという話、Bulletproof TLS Newsletter に載ってるPKI Jobsが面白い話や、PKIやテクノロジーにまつわる冗談の話をちょっとだけしました。    フィッシング対策セミナー 2021（お申し込みもこちらから）  https://www.antiphishing.jp/news/event/antiphishing_seminar2021.html IAjapan 第21回 迷惑メール対策カンファレンス  https://www.iajapan.org/anti_spam/event/2021/conf_21st/index.html    Expiration of DST Root CA causes problems with Let’s Encrypt certificates | Bulletproof TLS Newsletter | Feisty Duck  https://www.feistyduck.com/bulletproof-tls-newsletter/issue_82_expiration_of_dst_root_ca-causes_problems_with_lets_encrypt_certificates