自堕落な技術者の日記 : 最近の証明書の話題(2): CloudFlare DNS 1.1.1.1サイトのIPv6証明書

今日も、証明書ハンターネタの第二弾ということで、、、

4月1日に公開になったAPNICとCloudFlareが提供する、レスポンスが速くて、プライバシーに配慮した噂の1.1.1.1というパブリックDNSサービスが利用できるようになりました。DNSサーバーは、通信が暗号化されていても、どのIPからどのIPにアクセスしたかという記録が残るので、それをターゲティング広告などに使ったりするそうです。このDNSサービスは、プライバシーに配慮してログの保存期間を1週間とし、広告などに使われないようにしているそうです。

こんな記事見ちゃうと通信全体で早くなるのかどうかはよくわからないですね。で、このサービスの公式紹介サイトhttps://1.1.1.1/なんですが、FQDNでなく、IPアドレスで発行しているわけです。何やらおもしろそうじゃないですか。早速、証明書をダウンロードしてみて、内容を見てみましょう。


$ openssl x509 -in ip1.1.1.1.cer -noout -text
Certificate:
  Data:
    Version: 3 (0x2)
    Serial Number:
      05:6c:de:b4:14:65:ff:27:07:16:c0:6e:91:16:2e:19
  Signature Algorithm: <font color=“orange”>ecdsa-with-SHA256</font>
    Issuer: C=US, O=DigiCert Inc, CN=DigiCert ECC Secure Server CA
    Validity
      Not Before: Mar 30 00:00:00 2018 GMT
      Not After : Mar 25 12:00:00 2020 GMT
    Subject: C=US, ST=CA, L=San Francisco, O=Cloudflare, Inc.,
             CN=*.cloudflare-dns.com
    Subject Public Key Info:
      Public Key Algorithm: id-ecPublicKey
        Public-Key: (256 bit)
        pub: 
          04:b2:45:0b:31:ac:50:63:ce:21:e6:7c:34:23:1a:
          c5:c1:53:45:96:97:7a:31:87:bb:e0:ea:1d:95:f5:
          ff:25:04:ca:75:f0:f6:3f:b5:df:51:e9:5b:c9:3d:
          ad:b4:03:05:73:20:92:3e:74:be:8e:4b:1b:e2:68:
          86:44:6e:62:bb
        ASN1 OID: prime256v1
        NIST CURVE: P-256
    X509v3 extensions:
      X509v3 Authority Key Identifier: 
        keyid:A3:9D:E6:1F:F9:DA:39:4F:C0:6E:E8:91:CB:95:A5:DA:31:E2:0A:9F
      X509v3 Subject Key Identifier: 
        DF:97:4D:E5:43:B3:B0:41:A7:42:F2:90:CF:89:7F:AE:12:57:84:E1
      X509v3 Subject Alternative Name: 
        DNS:*.cloudflare-dns.com,
        IP Address:1.1.1.1,
        IP Address:1.0.0.1,
        DNS:cloudflare-dns.com,
        IP Address:2606:4700:4700:0:0:0:0:1111,
        IP Address:2606:4700:4700:0:0:0:0:1001
      X509v3 Key Usage: critical
        Digital Signature
      X509v3 Extended Key Usage: 
        TLS Web Server Authentication, TLS Web Client Authentication
      X509v3 CRL Distribution Points: 
        Full Name:
          URI:http://crl3.digicert.com/ssca-ecc-g1.crl
        Full Name:
          URI:http://crl4.digicert.com/ssca-ecc-g1.crl
      X509v3 Certificate Policies: 
        Policy: 2.16.840.1.114412.1.1
          CPS: https://www.digicert.com/CPS
        Policy: 2.23.140.1.2.2
      Authority Information Access: 
        OCSP - URI:http://ocsp.digicert.com
        CA Issuers - URI:http://cacerts.digicert.com/
                         DigiCertECCSecureServerCA.crt
      X509v3 Basic Constraints: critical
        CA:FALSE
  Signature Algorithm: ecdsa-with-SHA256
     30:65:02:31:00:8e:8c:b2:d8:e8:21:d6:2d:7f:2a:1f:7e:a6:
     c3:1c:d4:e0:a1:95:02:2f:40:5e:80:92:88:d9:4b:cc:a5:89:
     aa:fa:9b:ca:b9:9e:a0:b7:a9:ed:21:1d:1d:1f:13:1c:0b:02:
     30:2e:79:64:67:1d:7e:10:27:d9:68:a8:c8:6c:3e:4d:cd:07:
     40:ac:d2:64:ad:b0:d0:cd:1b:af:c3:a4:26:30:ed:79:a3:a0:
     6d:f2:d4:b4:bb:66:46:59:9a:a3:67:d9:0f

この証明書の特徴はこんなとこ：

DigiCertが発行している
楕円曲線(ECC)の公開鍵証明書
主体者別名(subjectAltName)にIPv4アドレスとIPv6アドレスが記載されている

いや～～～、すごいですね。証明書ハンターなのでいろいろ証明書を探して見てますけど、IPv6アドレス向けのプライベートじゃない証明書を初めて見ましたよ。これは、早速コレクション対象ですよっ！！！

先日、データ通信協会のセミナーで総務省の方の講演を拝聴したんですが、「iPhoneとかスマホのおかげでIPv6って本当に普及しちゃった。」と仰っていました。ホント、その通りなんですねぇ。日本からGoogleへのアクセスは17%がIPv6なんだそうです。 Apple iOSでは、IPv4だと(わざと？)遅延させる仕組みが入るそうで、今後、IPv6への移行が加速されるだろうとの事でした。

実は、趣味で作ったjsrsasignというJavaScript実装の暗号/PKI関連ライブラリを公開しているんですが、よく考えてみたらIPv6対応してなかったんですよ。こりゃマズイなぁ、、、と。早速、対応させてみました。