自堕落な技術者の日記

SSL Pulse の 2015年4月版が公開されましたね。いつもは2ヶ月に1回状況報告しようとしていたんですが、SHA1証明書からSHA2証明書への移行が気になってたので、証明書の鍵や署名アルゴリズムの移行状況だけグラフにしてみました。SHA1証明書が51%、SHA2証明書が48%とかなり近づいています。

同じように推移したとすると、2015年5月にはSHA1証明書の数がSHA256証明書の数を追い越しそうですね。

関連記事

• SSL Pulseの統計情報で見るSSL/TLS (2015年5月版) (2015.05.11)
• (小ネタ)来月にはSHA2証明書の枚数がSHA1を追い越しそうな件 (2015.04.11)
• SSL Pulseの統計情報で見るSSL/TLS (2015年3月版) (2015.03.17)
• SSL Pulseの統計情報で見るSSL/TLS (2015年1月版) (2015.01.25)
• Internet Week 2014パネルで話しそびれたネタ: 統計情報でみるSSL/TLS (2014.11.22)

2015年3月12日、Googleのフォーラムで、 Chrome開発チームでクロスプラットフォームの暗号・PKIコアの開発を担当しているRyan Sleevi氏から、 Chrome 41のリリースをSHA-1証明書の警告表示のマイルストーンとしていたものを Chrome 42に遅らせるとアナウンスがありました。

具体的にChromeバージョンとリリース時期と表示される警告アイコンは、以前の計画では 以下のようになっていたものが

以下のようにChrome 41の箇所がChrome 42で変更が反映されるようになり、 1ヶ月半スケジュールが遅れるようになったという事です。

SHA1証明書警告表示の影響有無の簡単な確認方法

あるサイトがSHA1証明書の警告表示の影響があるかどうかは、 簡単に確認できるツールを提供しているところが2つほどあります。

• DigiCert SHA-1 Sunset Tool
• SHA1 & Google Chrome Checker

このDigiCertのやつはオススメで確認したいドメインを入力し「LOOKUP」ボタンを押せば、各Chromeのバージョンでどのように警告表示されるのかわかります。

(出典：DigiCert SHA-1 Sunset Tool)

証明書発行サービスの対応状況

2015年3月7日のGoogleからの発表を受けて、 2015年3月17日時点で証明書発行サービス各社が、掲載情報を更新したかどうか 調べてみました。

• シマンテック社 - 41から42に延期予定と追記あり
• サイバートラスト社 - 41から42(2015年4月頃予定)に延期予定と追記あり
• グローバルサイン社 - 41について特に追記や修正なしのよう
• 日本ジオトラスト社 - 41について特に追記や修正なしのよう
• トレンドマイクロ社 - 41について特に追記や修正なしのよう
• DigiCert社ブログ - 41について特に追記や修正なしのよう
• Entrust社 - 最初の案内記事に 対して 追加ブログを掲載した。

おわりに

以上、3月12日のGoogleからの発表を受けて、遅くなりましたが、 Google ChromeのSHA1証明書警告表示の一部延期について説明しました。 今日はこの辺で。

追記1

おっと、一言言い忘れた。GoogleのSecurity-devフォーラムでちょっと書かれたやつを以て、こんな大事な事を「アナウンスした」とするのは、Googleさんはちょっと誠意がなさすぎるし、ひどすぎるなと、、、せめてChrome Releasesのページなどでは紹介して欲しいし、ブログでも整理して解説して欲しいし、日本語の公式な情報も欲しいなぁと思いました。

なかなか確認ができなかったんですが、 Chrome 39安定版が2014年11月18日にリリースされて、 例のChromeのSHA1証明書の表示変更が、 反映されていたのではと、確認しました。

そういえば、大量のHTTPSサイトのリストがあったからそれで調べてみるべぇといろいろ、 探してみたんですがなかなか見つからず、秋山さんから2つほどサイトを紹介頂いて 確認できました。

国内サイトなのでクレームが来たらアレなので、サイト名は今回はご勘弁頂きたいんですが、 早速 Chrome 39 安定版でそのサイトを表示してみると、確かに予告されていた通り、 SSLサーバー証明書の有効期限が2017年1月以降のHTTPSサイトを表示させると、 「secure, but with minor erros」の黄色三角の表示になりました。

メッセージはHTTPSとHTTPのコンテンツ混在の場合と違って以下のように表示されます。

このサイトでは古いセキュリティ設定が使用されており、 Chromeの今後のバージョンではこのサイトに安全にアクセスできない 可能性があります。

問題対象となるサイトを探すのは大変

読者のみなさんにも試してもらえるように、当たり障りのなさそうな海外の 問題条件にあてはまるサイトを探してみたんですが、なかなか見つかりませんでした。 HTTPSサイトの膨大なリストはゲットできたんですが、そこから条件にあう サイトを見つけるのが結構手間で、

• とりあえず、有効期限が2017年〜2018年あたりのもの。 それ以上だとテスト用のプライベート証明書が多いので。
• と、フィルタリングをしても、繋がらないサイトや、 プライベートCAのサイト、SHA2証明書のサイトなどが になってしまます。

ちょっとプログラム書いて、この手の事が簡単に調査できるようにしたいです。 無難なサイトが見つかったらこの記事を更新して、紹介しようと思います。 iPhone版、Android版、Mac OS X版のChromeも対応がまだのようですね。

今日はこの辺で

関連記事・リンク

• ChromeのSHA1証明書のアラート表示ポリシの問題点(2014.09.12)