筆者の前回のブログでは、シマンテックの製品が、お客様へ提供するサービスのすべてについて、今後数週間で Certificate Transparency（透かし入り証明書、以下 CT）のサポートを拡大していくとお伝えしました。
CT を利用すると、組織が所有しているドメインにおいてどのような SSL/TLS サーバ証明書が有効かを監視できます。大多数のお客様の用途では、現在の CT 実装でも問題はありません。ところが、イントラネットの用途で証明書を利用する場合には、証明書の情報（特にサブドメイン情報）を秘密にしておきたいという要望もあります。たとえば、support.mycompany.com については証明書情報を公開してもかまわないが、top-secret-project.mycompany.com のログを記録することには難色を示すというお客様がいても当然でしょう。現在の CT 仕様 RFC 6962は、こういったプライバシーを伴う配慮や用途は考慮されていません。
このような現実的な使い方に対応するために、シマンテックの現在の CT 実装では、デフォルトで証明書すべてのログを記録しますが、お客様が証明書の記録を「オプトアウト」するオプションも用意されています。確かに、これは最適なアプローチとは言えません。証明書のログをすべて記録するかすべて記録しないかのどちらかしか選択できないからです。しかし、現在の CT 仕様の限界を考えれば、お客様のプライバシーに対処するには今のところ最も効果的な方法と言えます。
現在、IETF（Internet Engineering Task Force）が CT 仕様の次期バージョン（RFC 6962-bis）の策定に当たっているところです。この新バージョンでは、CT のログを編集してサブドメインの情報を除外できるようになります。上の例で言えば、top-secret-project.mycompany.com の証明書を「?.mycompany.com」として記録しようということです。この方式であれば、企業は証明書すべてのログを記録して監視したうえで、プライバシー問題にも対処できるようになります。
シマンテックが名前部分の削除をサポートしているのは、透明性とプライバシーを両立する最適な方法と判断しているためで、最終的に承認され次第、新しい仕様を実装する予定です。
シマンテックの CT サポートについて詳しくは、こちらをご覧ください。
【参考訳】