あなたのWebサイトSSL証明書は大丈夫？ Chromeにて旧シマンテック系証明書すべて失効扱いに。

あなたのWebサイトSSL証明書は大丈夫？
Chromeにて旧シマンテック系証明書すべて失効扱いに。

2018年3月からシマンテック系SSL証明書がChromeにて無効化され始めるのをご存知でしょうか。昨年の3月頃からGoogleからアナウンスされていましたので、すでに対応済みという方も多いかと思います。
まだ移行が済んでいない方、無効化されること自体知らなかった方は、今すぐWebサイトの状況を確認しましょう。

そもそもSSL証明書って…？

SSL証明書について良くわからない方に説明しますと、SSL証明書とは正式にはSSLサーバ証明書を指し、SSL暗号通信を行う際に利用する電子証明書です。サーバとウェブブラウザなどがSSL通信を開始する時に証明書は使われ、サーバから証明書を受け取ったブラウザは、サーバのFQDN=ホスト名と、証明書に含まれるコモンネームを照合し、一致しているかを確認します。
ブラウザが通信を行おうとしているサーバは、ドメイン所有者が運営しているサーバであると証明されることで、通信の安全性が確保されます。シンプルに言うと、なりすましの防止に役立つのが、SSL証明書と言っても良いでしょう。

無効化されるタイミング

旧シマンテック系証明書が無効化されるタイミングは、証明書の初回発行日によって変わります。

具体的には以下の通り

対象1「2016年5月31日以前に発行されたSSL証明書」
→2018年3月15日に無効化

対象2「2016年6月1日～11月30日までに発行されたSSL証明書」
→2018年9月13日に無効化

SSL証明書には通常有効期間がありますが、無効化される前に有効期間を迎える証明書については更新時再発行の手続きがありますので、何も行わなくて大丈夫です。

SSL証明書発行元大手のシマンテックがなぜ無効化されるのか？

パソコンのウイルス対策ソフトも販売していましたし、シマンテックという会社をなんとなく知っていたという方も多いはずです。
そのシマンテックのSSL証明書がなぜ無効化されるのかというと、一言で言えばペナルティです。
シマンテックは“Thawte”“VeriSign”“Equifax”“GeoTrust”“RapidSSL”といったブランドでSSL認証局を運営する事業を行っていたのですが、2017年1月に業界標準の監査プロセスに従わずに不正に証明書を発行していることが分かりました。そのためGoogleでは、シマンテックが発行した証明書については「Google Chrome」で信頼しないようにする決定をしたんですね。

これはシマンテックにとっては大ダメージでした。

今後もシマンテック自体がなくなるわけではありません。しかしシマンテックはSSL認証局事業を「DegiCert」に売却し、一部事業から撤退しています。シマンテックの再発行済みのSSL認証マークを見ると、ロゴの下に小さくDegiCertと入っていますが、それもこの撤退が影響しています。

実は無効化の対象だった方

もしシマンテックのSSL証明書を使っていて実は無効化の対象となっていた場合、どうすれば良いのでしょうか。
対策は2つです。
一つめは無効化の対象となるユーザーに対し、すでにシマンテックもしくは証明書を代理販売している業者から無効化されるから、気を付けてね、という通知が届いているはずです。確認できていない方は、メールを読み返すなどしてすぐに対策を行いましょう。
二つ目は別のSSL証明書を導入する方法です。いずれにしても無効化の対象となっている場合、どちからかの対応が必須です。

まとめ

もし旧シマンテック系証明書を使い続けるとどうなるか。
対策を打たないままにすると、GoogleChromeで一切Webサイトが表示されなくなってしまうのです。
2018年10月23日の週にChromeの新しいバージョンである「Google Chrome 70」がリリースされます。そのリリースとともに、シマンテックの証明書は完全に削除されてしまうのです。つまりあと7カ月足らずしかない間に対策を打たないと…ちょっと困ったことになりそうです。