OCSP StaplingとCertificate Transparency

証明書失効リスト（CRL）は、失効したすべての証明書をCAが一覧にして公開するファイルです。CRLにはいくつかの問題があります。時間の経過とともにサイズが大きくなること、クライアントが全体をダウンロードする必要があること、公開がスケジュールに基づくため最新性に限界があること、そしてブラウザがCRLの取得に失敗した際に歴史的にソフトフェイル（証明書を受け入れる）してきたことです。そのため、実際には失効の信頼性が低くなります。

Online Certificate Status Protocol（OCSP、RFC 6960）を使用すると、クライアントはCAのOCSPレスポンダーにリアルタイムで問い合わせ、特定の証明書の失効状態を確認できます。OCSPレスポンスには、証明書が「good」、「revoked」、「unknown」のいずれであるかが示され、CAによって署名されます。証明書失効リスト全体をダウンロードするよりも効率的です。

標準のOCSPには、重大なプライバシー上の欠陥があります。クライアントは確認対象の証明書シリアル番号をCAのOCSPレスポンダーに送信する必要があるため、CA（またはネットワークの監視者）に、ユーザーがどのWebサイトをいつ訪問しているかが知られてしまいます。これは監視の仕組みとなり、認証局レベルでユーザーのプライバシーを侵害します。

OCSPステープリング（RFC 6066）は、サーバーがCAからOCSPレスポンスを事前取得してキャッシュすることで、プライバシー問題を解決します。TLSハンドシェイク中に、サーバーはこのキャッシュ済みレスポンスをハンドシェイクに「ステープル」して、クライアントに直接届けます。クライアントはCAに直接接続することなく、最新の失効状態を取得できます。

NginxでOCSPステープリングを設定するには、serverブロックに「ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8;」を記述します。ssl_certificate_by_lua_blockまたはssl_trusted_certificateディレクティブによって、検証用のチェーンを指定します。Apacheでは、VirtualHostに「SSLUseStapling on」が必要です。どちらのサーバーもレスポンスをキャッシュし、有効期限が切れる前に更新します。

OCSP Must-Staple X.509拡張機能（RFC 7633）は、この証明書を使用するサーバーが常にOCSPレスポンスをステープルすることをブラウザに通知します。ブラウザがサーバーに接続した際にステープルされたレスポンスを受信しなければ、接続を拒否します。これにより、失効した証明書を持つ攻撃者がOCSPレスポンスを妨害し、ソフトフェイルを強制することを防ぎます。

Certificate Transparency（CT）は、すべての公開信頼CAに対し、発行したすべての証明書を、公開監査可能な追記専用ログに証明書の配布前に記録することを求める仕組みです。これらのログにより、ドメイン所有者、研究者、監視サービスは、任意のドメインに対して誤発行または不正に取得された証明書を検出できます。

CAが証明書をCTログに提出すると、ログはSigned Certificate Timestamp（SCT）を返します。SCTは、証明書がログに記録されたことを暗号学的に署名して保証するものです。SCTは証明書自体に埋め込むことも、TLS拡張を介して配信することも、OCSPレスポンスにステープルすることもできます。Chromeでは、信頼のために少なくとも2つのSCTが必要です。

Google Chromeは、2018年4月以降、公開信頼されるすべてのTLS証明書にCertificate Transparencyを要求しています。有効なSCTがない証明書は、Chromeによって証明書エラーとして拒否されます。この要件によって、主要なCAは事実上すべてCTへの記録を行うことになります。Chromeに証明書を拒否されるCAは、公開CAとして運営できないためです。

CTログを利用すると、誰でも自分のドメイン向けに発行された証明書を監視できます。crt.shやFacebookのCT Monitorなどのサービスを使えば、サブジェクトまたはSANフィールドに自分のドメインが含まれる証明書を、すべてのCTログから検索できます。侵害されたCAやBGPハイジャックなどによる不正な証明書発行も、数時間以内に検出可能になります。

CTログは、Google（Argon、Xenon）、Cloudflare（Nimbus）、DigiCert、Sectigoなど、複数の独立した組織によって運用されています。複数のログ運用者が存在することで、単一の組織が記録された証明書を隠蔽することを防ぎます。ブラウザは承認リストにあるログからのSCTを要求し、どのログを信頼するかについて品質管理を行っています。

CRLはサイズが大きく更新も遅れがちです。OCSPはリアルタイムの失効確認を提供しますが、閲覧データをCAに漏らします。OCSPステープリングは、事前取得した失効状態をTLSハンドシェイク中に提供し、プライバシーを保護します。OCSP Must-Stapleは、ソフトフェイルの回避を防ぎます。Certificate Transparencyは発行されたすべての証明書をログに記録し、SCTによる誤発行証明書の検出を可能にします。Chromeは2018年以降、CTを要求しています。