Google ChromeにおけるSymantec系サーバ証明書の扱いについて |

Blog

2017.11.2

Google ChromeにおけるSymantec系サーバ証明書の扱いについて

はじめに

　こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。
前回は、「AWSにおけるセキュリティグループ整理術とScout2」について、書かせていただきました。
今回は、「Google ChromeにおけるSymantec系サーバ証明書の扱いについて」書かせていただきます。

　近年、スマホアプリやWebブラウザのセキュリティ強化によりhttps通信（暗号化通信）が必須の時代になった来ました。
今までは「お問い合わせなどの個人情報を取り扱うページ」だけをhttps化すれば良しとされてましたが、現在では、サイト全体をhttps化にするサイトが多くなってきてます。

理由としては、サイトのセキュリティ強化はもちろんですが、、、

１，Google検索結果の順番に影響

and we also started giving a slight ranking boost to HTTPS URLs in search results last year.

引用元：　https://webmasters.googleblog.com/2015/12/indexing-https-pages-by-default.html

２，Apple ATS

improves user security and privacy by requiring apps to use secure network connections over HTTPS.

引用元：　https://developer.apple.com/news/?id=12212016b

などにより、https化した方がいい状況が迫ってきてます。

　そんな中、Symantec系サーバ証明書（Thawte、VeriSign、Equifax、GeoTrust、RapidSSLなど）が Google Chromeの次期バージョンでサーバ証明書が有効期限内であっても、警告・エラーにするというニュースが飛び込んできました。

　Google ChromeとSymantec系サーバ証明書の間に一体何が起こったのでしょうか。

Google Chromeチームの言い分：

This is also coupled with a series of failures following the previous set of misissued certificates from Symantec, causing us to no longer have confidence in the certificate issuance policies and practices of Symantec over the past several years.

引用元：　https://groups.google.com/a/chromium.org/forum/#!msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ

Sytemtec側の言い分：

私たちの証明書発行業務ならびに過去の不適切な発行の影響範囲に関するGoogle社のステートメントは誇張されており、誤解を生じさせるものです。例えば私たちが3万枚の証明書を不適切に発行したとするGoogle社の主張は事実ではありません。Google社が言及する事象では、3万枚ではなく、127枚の証明書が不適切に発行されましたが、消費者に被害は及んでいません。

引用元：　https://www.symantec.com/connect/ja/blogs/symantec-backs-its-ca-0

両者ともはっきりとした意見を述べてます。

ブラウザとサーバ証明書シェア

　ブラウザのシェアを確認してみると、世界的にも日本でもGoogle Chromeのシェアはとても高いという結果が出ています。

Webブラウザシェアランキング(2017年9月)：日本国内

参考：　https://webrage.jp/techblog/pc_browser_share/