【翻訳】中間証明書の失効確認: OneCRL の導入
この記事は、2015 年 3 月 3 日付で Mozilla Security Blog に投稿された Revoking Intermediate Certificates: Introducing OneCRL（筆者: mgoodwin）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。
また、2013 年 7 月 29 日付の記事 OCSP Stapling in Firefox（参考: 日本語訳）ならびに 2015 年 11 月 23 日付の記事 Improving Revocation: OCSP Must-Staple and Short-lived Certificates（参考: 日本語訳）も合わせてご覧ください。
Firefox 37 以降のユーザは、OneCRL という新しい機能で保護されることになりました。この OneCRL とは、失効済みの中間証明書のリストをブラウザに通知する新しい仕組みです。
OCSP を用いた証明書の失効確認ではユーザに利益があるとはいえません。失効確認をオンラインで行う場合、フェールオープンなシステムを使用するか、またはパフォーマンスを犠牲にしてより厳密な検証を行う（EV証明書の場合）かのどちらかとなります。OCSP stapling を用いると、失効確認をリアルタイムに行う必要がなくなりますが、まだ現在では TLS 通信のおよそ 9% しか OCSP stapling を使用していません。
OneCRL は失効済みの証明書リストを一元管理してブラウザに送るため、失効確認の速度を短縮することができます。現時点の実装では、証明書の失効を要する重大なインシデントが発生した場合、問題に対処するためのアップデートを Firefox にリリースします。この方法だと、ユーザの元にセキュリティアップデートが届くまでに時間がかかり、更新の際にブラウザを再起動する必要もあり、問題の対処に時間がかかってしまいます。また、アップデートの作成やユーザによるダウンロードの手間など、関連するコストは他にもあります。
既に Firefox は Blocklisting という、ユーザに支障を与える可能性があるコンテンツを定期的に確認する仕組みを持っています。この確認対象には、インストールされている不正なアドオンやプラグイン、バグを抱えたグラフィックスドライバが含まれています。OneCRL はこの Blocklisting を拡張し、失効させる証明書を確認対象に追加します。このようにすることで、ユーザがブラウザを更新したり再起動したりせずに、最新の失効情報を得ることができるのです。
OneCRL における主な利点のもう一つはスピードです。OneCRL がカバーする証明書であれば、OCSP による検証をリアルタイムに行う必要がなくなるため、失効確認のためのレイテンシをなくすことができます。明確な OCSP レスポンスを必要とする EV 証明書にとっては特に重要です。
現段階の OnceCRL は、ブロックリストのサイズを制限するため、中間 CA 証明書のみをカバーしていま。Mozilla 製品のルート証明書を署名している認証局（CA）が中間証明書の失効を Mozilla に通知 したタイミングで OneCRL が更新されます。
今日ではまだ初期バージョンですが、この OneCRL は重要な一歩となります。証明書の失効確認が、特に EV 証明書の確認が素早く行われることになります。しかし、まだこれで終わりではありません。この恩恵をより多くの人が享受できるように OneCRL を改善し続け、失効情報がより素早くブラウザに伝わるように情報収集の自動化に取り組んでまいります。
