2023年2月27日～2023年3月5日に読んだ中で気になったニュースとメモ書き（TLSらじお第95回の前半用原稿）です。
[Chrome Root Program Updates]
こちらのツイートから。
Chrome is planning a future policy update to require the availability of ACME-based enrollment! #webPKI #automation #standards pic.twitter.com/tIzUz5fbFM
— Ryan Hurst (@rmhrisk) 2023年3月1日
Hey now "Trusted People" and ECH on the way! pic.twitter.com/HLFcSx4zmK
— Ryan Hurst (@rmhrisk) 2023年3月1日
サーバ証明書の頻繁な更新をめざすべく、CAにACME（Automatic Certificate Management Environment、証明書自動管理：RFC 8555）のサポートを要求する方針らしい。
まだドラフト段階のEncrypted Client Helloも時期未定ながら、もうすぐChromeに搭載されそう。
こちらのツイートによると、既にソースコード自体は入ってきていそう？それともこれはQUIC(HTTP/3)利用時の話だけで、HTTP/2用の修正とかが今後追加されたりするのだろうか。謎。
[chromium] Add initial ECH QUIC supporthttps://t.co/dXnMjkSdLs
— ゆき (@flano_yuki) 2023年2月28日
QUICのEncrypted Client Hello
Ryan Hurst氏のツイートにあった画像の元の資料はこちらのツイートにある。Chromeチームの人がCA/B Forumのミーティングで発表したものらしい。
Honored to represent @googlechrome at the CA/Browser Forum Face-to-Face Meeting 58. We announced a few exciting updates, including results from our recent CA survey.
— Ryan Dickson (@ryancdickson) 2023年2月28日
Learn more here: https://t.co/zt2bTVZb3t
Let’s keep working together to make the web a safer place. 🚀🔒🔑
[短命証明書の推進]
こちらのツイートから。同じくChrome Root Program関連。
This week the Chrome Root Program announced exciting future initiatives to incentivize automation, rotate all types of certificates quicker, & more. Also check out related work in progress to minimize privacy leaks to CAs, incentivize short-lived certs: https://t.co/1FEqecpRlv 🎉 https://t.co/xqFDEk1k8F
— Emily Stark (@estark37) 2023年3月3日
リンク先はこちら。
Chrome Root Programのポリシーが更新され、「Streamlining and improving domain validation practices」というタイトルの節が追加された。
将来の本ポリシーの更新やCA/B Forumの提案において、TLSサーバ証明書の有効期限を現行の397日から90日にまで削減を予定している旨が明記されている。
1年ほど前にRyan Hurst氏やScott Helme氏の予想した通りの展開になりつつある。
早いとこ手作業での更新は止めてACMEにしないと死にそう...。
[CRYSTALS-Kyberサイドチャネル攻撃]
こちらのツイートから。
Side-Channel Attack against CRYSTALS-Kyber https://t.co/rYoTLG9nZE
— Schneier Blog (@schneierblog) 2023年2月28日
リンク先はこちら。
NISTが標準化を進めている耐量子暗号の公開鍵アルゴリズム候補であるCRYSTALS-Kyberにサイドチャネル攻撃が可能なことがわかったらしい。
電力消費量に着目した攻撃を、ディープラーニングを使って実現したとのこと。人間には見つけられないこういうサイドチャネル攻撃、他にもたくさんありそう...実際、論文の結論のところでは「本攻撃は他のKEMアルゴリズムにも有効」と書かれていた。
[その他のニュース]
▼Bulletproof TLS Newsletter #98
こちらのツイートから。
Bulletproof TLS Newsletter is out! In this issue:
— Feisty Duck (@feistyduck) 2023年2月28日
- CAA Expands into New Use Cases
- Short news from February - it has been a busy month againhttps://t.co/yMOvz9TAF2 pic.twitter.com/bXzAge2LGr
リンク先はこちら。
トップニュースはCAA（Certificate Authority Authorization）DNSレコードの利用拡大。認証局によってサポート度合いの差はあるものの、contactemailやcontactphone、accounturi、validationmethodsといった拡張で証明書発行手段をより細かく指定できるようになりつつある。
Javaの乱数生成を予測する手法が紹介されていた。シードをそんな簡単に逆算できるなんてちょっと驚き。
他のニュースは割とうちでもカバーしてるものが多かったので省略。
▼TCPからQUICへ
こちらのツイートから。
The New, Encrypted Protocol Stack & How to deal with ithttps://t.co/EAHe0hmzau
— Momoka Yamamoto (@momoka0122y) 2023年3月1日
The transition of network traffic from TCP to QUIC is happening extremely fast with measurements across the world showing QUIC has already reached nearly 50% of total traffic, doubling approximat...
リンク先はこちら。CISCOの方の発表。
https://2023.apricot.net/assets/files/APPS314/the-new-encrypted-pr_1677641996.pdf
以前紹介したIIJのレポートでみると、日本ではまだUDPは3割に届いていない。一方で、ヨーロッパではQUICが4割を超えており、アプリによっては通信の8割以上がQUICになっている様子。
▼Google Trust Services + Google Domains
こちらのツイートから。
Google Domains Customers can now get certificates from Google Trust Services, the same CA Google uses for its own services! https://t.co/iUjgxswXds
— Ryan Hurst (@rmhrisk) 2023年3月2日
リンク先はこちら。
Ryan Hurst氏によれば、Google Trust ServicesはWeb上の証明書の7.3%を発行しているらしい。Let's Encryptが50%を超えていた気がするので、なかなか健闘していると言えそう。
Google Domainsを利用している場合、無料でGoogle Trust Servicesを利用でき、ACMEでスムーズに管理されるとのこと。
▼日本薬剤師会認証局
こちらのツイートから。
日本薬剤師会認証局のCPSを勉強のため見てたんですが、CRLのプロファイルがいくつかあってCertificateIssuer CRLエントリ拡張のスペルが全部間違っているみたいです。(と、誰となく)
— kjur (@kjur) 2023年3月3日
誤：CertificateIssure
正：CertificateIssuerhttps://t.co/fzoxdF6Dz4
スペルミスはまあ仕方ないとして、薬剤師の国家資格所有者に公開鍵証明書が発行されているというのを学べた。何に使ってるんだろう...。HPをみると、オンライン資格確認とかあるからその辺？
[まとめ]
こんな本が出たっぽい。ちょっと気になる。
以前Software Designに掲載いただいたTLS周りの記事が他の方の記事とまとめて「今さら聞けない暗号技術＆認証・認可」というムックになりました！私のパートでは業務でSSL証明書を扱う方向けのやさしい内容で執筆しております！https://t.co/JMcYEZingg pic.twitter.com/ZUzBPcsUdd
— Genki Taniguchi (@genkitngch) 2023年3月1日
