自堕落な技術者の日記

Chrome 56からGoogleの「素人はすっこんでろ」UI/UXポリシーによりHTTPSで接続した際に使用しているSSLサーバー証明書の表示が鍵アイコンから簡単にできなくなってしまいました。証明書大好きっ子にはなんとも辛い仕打ちでした。開発ツールからは証明書が表示できるので、メニューを辿って操作するか、ショートカットキーを素振り100回していた方も多いのではと思います。

Windows: Ctrl + Shift + I or F12
Mac: ⌘ + Opt + I

今日は、やっとChrome 60からフラグ設定で証明書が簡単に表示できるようになったので、今日はその設定について紹介します。

何も設定していないと、HTTPSサイトを見ている際の、鍵アイコンをクリックして見られるメニューはこんな感じ。

そこで、アドレスバーで以下のように入力します。

chrome://flags/#show-cert-link

すると、このようなフラグ設定が表示されます。

「有効にする」をクリックし、指示に従ってブラウザを再起動します。すると、HTTPSサイトを表示した場合このように

「証明書、有効」というリンクが表示されるようになり、クリックすると証明書が表示されるようになります。いや〜〜、よかった、よかった。

なんかソニーのログインページでCertificate Transparency情報がないせいでアドレスバーが赤くなったとかいうのをTLで見かけた気がしたので、ソニー本家のところに行ってみるもハズレ。Sony Entertainment Network(SEN)のログインページに行ってみたら、確かに赤かった。(2015年9月25日 23:54時点) とりあえず、魚拓をはっておく。

Certificate Transparency(以下CT)に関しては、以下のように書かれている。

(ダイアログより引用)
このウェブサイトの識別情報が PositiveSSL CA 2 によって確認されました。証明書の透明性に関する情報がサーバーから提供されませんでした。

PositiveSSLはCOMODO系の認証局なんですが、最初、EVでCT情報がないと アドレスバーが緑にならないというのの現象なのかと思ったが、 考えてみたら赤になることもない。

よくよくみてみると、SHA1証明書で有効期限が2017年9月17日だったという、 ただ、それだけだった。がっくし。

2015年3月12日、Googleのフォーラムで、 Chrome開発チームでクロスプラットフォームの暗号・PKIコアの開発を担当しているRyan Sleevi氏から、 Chrome 41のリリースをSHA-1証明書の警告表示のマイルストーンとしていたものを Chrome 42に遅らせるとアナウンスがありました。

具体的にChromeバージョンとリリース時期と表示される警告アイコンは、以前の計画では 以下のようになっていたものが

以下のようにChrome 41の箇所がChrome 42で変更が反映されるようになり、 1ヶ月半スケジュールが遅れるようになったという事です。

SHA1証明書警告表示の影響有無の簡単な確認方法

あるサイトがSHA1証明書の警告表示の影響があるかどうかは、 簡単に確認できるツールを提供しているところが2つほどあります。

• DigiCert SHA-1 Sunset Tool
• SHA1 & Google Chrome Checker

このDigiCertのやつはオススメで確認したいドメインを入力し「LOOKUP」ボタンを押せば、各Chromeのバージョンでどのように警告表示されるのかわかります。

(出典：DigiCert SHA-1 Sunset Tool)

証明書発行サービスの対応状況

2015年3月7日のGoogleからの発表を受けて、 2015年3月17日時点で証明書発行サービス各社が、掲載情報を更新したかどうか 調べてみました。

• シマンテック社 - 41から42に延期予定と追記あり
• サイバートラスト社 - 41から42(2015年4月頃予定)に延期予定と追記あり
• グローバルサイン社 - 41について特に追記や修正なしのよう
• 日本ジオトラスト社 - 41について特に追記や修正なしのよう
• トレンドマイクロ社 - 41について特に追記や修正なしのよう
• DigiCert社ブログ - 41について特に追記や修正なしのよう
• Entrust社 - 最初の案内記事に 対して 追加ブログを掲載した。

おわりに

以上、3月12日のGoogleからの発表を受けて、遅くなりましたが、 Google ChromeのSHA1証明書警告表示の一部延期について説明しました。 今日はこの辺で。

追記1

おっと、一言言い忘れた。GoogleのSecurity-devフォーラムでちょっと書かれたやつを以て、こんな大事な事を「アナウンスした」とするのは、Googleさんはちょっと誠意がなさすぎるし、ひどすぎるなと、、、せめてChrome Releasesのページなどでは紹介して欲しいし、ブログでも整理して解説して欲しいし、日本語の公式な情報も欲しいなぁと思いました。

2015年3月12日、Googleのフォーラムで、 Chrome開発チームでクロスプラットフォームの暗号・PKIコアの開発を担当しているRyan Sleevi氏から、 Chrome 41のリリースをSHA-1証明書の警告表示のマイルストーンとしていたものを Chrome 42に遅らせるとアナウンスがありました。

具体的にChromeバージョンとリリース時期と表示される警告アイコンは、以前の計画では 以下のようになっていたものが

以下のようにChrome 41の箇所がChrome 42で変更が反映されるようになり、 1ヶ月半スケジュールが遅れるようになったという事です。

SHA1証明書警告表示の影響有無の簡単な確認方法

あるサイトがSHA1証明書の警告表示の影響があるかどうかは、 簡単に確認できるツールを提供しているところが2つほどあります。

• DigiCert SHA-1 Sunset Tool
• SHA1 & Google Chrome Checker

このDigiCertのやつはオススメで確認したいドメインを入力し「LOOKUP」ボタンを押せば、各Chromeのバージョンでどのように警告表示されるのかわかります。

(出典：DigiCert SHA-1 Sunset Tool)

証明書発行サービスの対応状況

2015年3月7日のGoogleからの発表を受けて、 2015年3月17日時点で証明書発行サービス各社が、掲載情報を更新したかどうか 調べてみました。

• シマンテック社 - 41から42に延期予定と追記あり
• サイバートラスト社 - 41から42(2015年4月頃予定)に延期予定と追記あり
• グローバルサイン社 - 41について特に追記や修正なしのよう
• 日本ジオトラスト社 - 41について特に追記や修正なしのよう
• トレンドマイクロ社 - 41について特に追記や修正なしのよう
• DigiCert社ブログ - 41について特に追記や修正なしのよう
• Entrust社 - 最初の案内記事に 対して 追加ブログを掲載した。

おわりに

以上、3月12日のGoogleからの発表を受けて、遅くなりましたが、 Google ChromeのSHA1証明書警告表示の一部延期について説明しました。 今日はこの辺で。

追記1

おっと、一言言い忘れた。GoogleのSecurity-devフォーラムでちょっと書かれたやつを以て、こんな大事な事を「アナウンスした」とするのは、Googleさんはちょっと誠意がなさすぎるし、ひどすぎるなと、、、せめてChrome Releasesのページなどでは紹介して欲しいし、ブログでも整理して解説して欲しいし、日本語の公式な情報も欲しいなぁと思いました。

前回はW3C Web Cryptography APIの鍵生成、署名などについて説明しましたが、実際に動く実例がないとAPIの有り難みもわかないのかなと思いまして、とりあえず3つのサンプルを作ってみました。サンプルはChromeやFirefoxでは動くようになっています。画像をクリックするとサンプルページが開くようになっています。

ハッシュ関数

ハッシュアルゴリズムを選んで、ハッシュ計算したい文字列(UTF-8だから日本語も可能)を入力して、「ハッシュ計算」のボタンを押すだけで、16進数でハッシュ計算結果が表示されます。

公開鍵ペアの生成

RSA公開鍵ペアを生成します。W3C Web Cryptography APIでは、鍵生成やインポートの際、どのような用途で、どのようなハッシュ関数と一緒に使用するかを指定する必要があるようで、生成時に選択するようにしていますが、PKCS#8 で秘密鍵や公開鍵をエクスポートする際には、まぁ、関係のない話になってしまいます。PKCS#8のバイナリデータ(ArrayBufferView)をPEM形式に変換するのにjsrsasignライブラリを使っています。

RSA鍵による署名と検証

RSA鍵でUTF-8の文字列に対してSHA256withRSA署名アルゴリズムで署名と署名検証ができます。鍵はW3C Web Cryptography APIで内部生成した鍵ペアで署名と署名検証することもできますし、PKCS#8 PEM形式やJSON Web Key(JWK)フォーマットの秘密鍵や公開鍵をインポートして署名や署名検証することもできます。

サンプルの動作環境

これらのサンプルページは新しいChromeのWindows、Android、Mac OS X、Linux版、新しいFirefoxのWindows、Mac OS X、Android版で動作します。Safariでは一部がMac OS X版、iOS8+などで動作します。Internet ExplorerではPromise APIをサポートしていないので動作しません。IEでも動作するようにコード書くのはちょっと面倒で、それらの相互運用性を持たせるような実装の仕方については別途紹介しようかと思っています。

おわりに

とりあえず、いろんなブラウザでW3C Cryptography APIの動作を試してみることができるので、遊んでやってください。ソースコードはgithubに置いてあるのでご覧ください。FirefoxとChromeだけでも相互運用性持たせるのに結構壁にぶちあたったりして、その上、SafariやIEなども一緒にサポートするコードを書くのはかなり骨が折れるんですよね。でも、AndroidのFirefoxでも動くのを見ると、ちょっと目がうるうるしてきたりしますw。今日はこのへんで。

関連記事

• W3C Web Cryptography APIとの果てしなき戦い(第3回 動くサンプル1)(2015.01.19)
• W3C Web Cryptography APIとの果てしなき戦い(第2回 RSA署名生成と検証)(2015.01.05)
• W3C Web Cryptography APIとの果てしなき戦い(第1回)(2015.01.02)
• ロシアの方が開発したJavaScript PKIライブラリPKI.jsをさわってみたぞ(2014.05.10)