こんにちは、村木ゆりかです。
これまで何度か取り上げてきました信頼できる証明書や公開鍵基盤 (PKI) について、今回は、さらなる信頼できる環境を実現するために Internet Explorer 11(以下、IE 11) から実装している SmartScreen の証明書評価についてご紹介します。
■ 「信頼できる証明機関」だけではもう古い
多くのウェブサイトは、自身の身分を証明し、安全な暗号化通信を行うために、証明書を利用しています。これまでは、証明書を発行した「証明機関が信頼できる」かどうかが、証明書の信頼性を評価する大きな指標でした。
信頼できる証明機関は、厳しい監査の元に適正な運用を行っており、発行される証明書は非常に信頼の高いものです。
しかしながら、最近は、証明機関やウェブサイトがサイバー攻撃を受け侵害されたり、弱いアルゴリズムを利用している証明書が狙われたりするなど、証明書自体を取り巻く脅威が増加しています。このため、信頼している証明機関が発行した証明書であっても、その証明書自体が現在不正に利用されていないか、個別に確認を行う必要性が増してきています。このため、「証明機関が信頼できるか」という確認に加え、「証明書も問題ないか」を確認することが、非常に重要な指標となっています。
■ 証明書の信頼は取り消される場合がある
証明機関は、証明書を発行する際、対象のウェブサイトが詐欺に利用するサイトではないか、などの審査を行って発行しています。しかしながら、発行した後、ウェブサイトの証明書 (鍵) が窃盗にあったり、不正な行為を働いていたりする場合など、証明書の利用を取りやめなくてはいけない場合があります。ちょうど、現実世界でも、運転免許証を発行された後、重大な違反があると運転免許証が利用停止になってしまうようなものです。
通常、証明機関は、このように発行した証明書の信頼性が危ぶまれている場合、証明書の信頼を取りやめる措置 (失効) を取ります。マイクロソフトでも、ルート証明書プログラムや、信頼できない証明書のリストの配布などの取り組みを行っています。信頼できない、失効された証明書が利用された場合は警告が表示されたり、利用ができなくなったりします。
しかしながら、時には、証明機関やマイクロソフトが行っている失効のしくみを利用できないユーザー環境や、昨今、急速に拡大する不正に利用された証明書やによる被害も発生しています。このような脅威や環境に迅速に対応するために、これまでの証明機関やマイクロソフトの取り組みに加え、追加で、証明書の最新の信頼性を評価するしくみの必要性が増しています。
■ SmartScreen 証明書評価による多層的な保護
このような急速に広がる脅威に対して、より迅速に対応し、信頼できる証明書環境を実現するために、Internet Explorer 11 SmartScreen では、閲覧しているウェブサイトで利用されている SSL 証明書についても信頼性の評価を行うしくみを取り入れました。
SmartScreenとは、Internet Explorer の機能で、既定で有効で、個人情報を盗もうとするフィッシング詐欺サイトや、悪意のあるソフトウェアのダウンロードを防止するセキュリティ機能です。閲覧しているウェブサイトや、ダウンロードしているプログラムの危険性を、マイクロソフトが収集しているデータを基に評価します。もし、危険と判断される場合は、警告を表示します。
SmartScreen の証明書評価は、これまでの、証明機関やマイクロソフトが実施している失効のしくみに加え、ウェブサイトを閲覧しているときに利用しているブラウザー上で、さらに追加で、証明書の信頼性を確認するしくみを入れることで、より多層防御となり、不正な証明書による被害を未然に防ぐことを目的としています。
広範囲に広がりを見せている中間者攻撃 (Man-In-The middle 攻撃) からの保護を主な目的としています。今後、少人数を対象とした攻撃や、そのほかの攻撃からの保護へとも拡張していくことを検討しています。
](https://msdnshared.blob.core.windows.net/media/TNBlogsFS/prod.evol.blogs.technet.com/CommunityServer.Blogs.Components.WeblogFiles/00/00/00/61/20/8865.AD30E330D730C130E330.PNG)図: 証明書評価のしくみ
■ シナリオ例
SmartScreen の証明書評価で利用される信頼性の判断基準は、マイクロソフトが収集している脅威の分析に基づいて、行われています。「昨今広まっている攻撃に利用されている証明書に類似している」などの分析も反映させており、怪しいと思われる証明書に対しては、警告を表示することで、ユーザーの皆さんが被害に遭うことを未然に防ぐことを目的としています。たとえば、以下のようなシナリオがあります。
- ウェブサイトが利用している証明書に設定されている属性が、下位の証明機関として利用できるような属性が設定されており、通例はサーバー証明書として利用しないものである。
- 中間者攻撃 (Man-In-The middle 攻撃) によくみられる傾向に類似している証明書である。たとえば、ウェブサイトが、突然、これまでに提示していたサーバー証明書とは異なる新たな証明書を提示していて、また、新たな証明書は特定の地域のみで利用されておりこれまでとは異なる証明機関から発行されているなど。
- ウェブサイトが利用している証明書に設定されている属性が、これまで証明機関が発行時に通常は設定していない属性が含まれている。たとえば、異なる OCSP レスポンダー箇所など。これらは、証明機関が不正に侵害されている可能性などが挙げられます。
■ 信頼できる PKI 環境のために
PKI や証明書は、これまで、信頼の基盤として、大きな安心を提供してきました。ゆえに、攻撃者にも狙われており、信頼基盤に対する脅威はこれからも出現するでしょう。しかし同時に、こうした脅威からの保護策も、さらに改善し、進化し続けます。今回紹介した SmartScreen 証明書評価のしくみも、さらに改善を継続していきますし、Public Key Pinning, Perspectives や Convergence, Certificate Transparency (CT) など、業界で実現化へ向けて進められている対策や、一歩先を行くための保護策は多く検討されています。こうした新機能は新製品へ次々と反映されていきます。ぜひ、IE 11 を試してみてください。
-————————————————————————-
■ 補足: SmartScreen にて送信される情報について
プライバシーはマイクロソフトが提唱する信頼できるコンピューティングの重要な要素です。マイクロソフトは悪意のあるウェブサイトからユーザーのみなさんの保護を行うと同時に、プライバシーも尊重しています。SmartScreen を利用している際にマイクロソフトに送信されている情報は、HTTPS により暗号化されており、データは、IP アドレスや個人を特定する情報は含まれていません。詳細は、「プライバシーに関する声明」を参照してください。
■ 関連情報
マイクロソフト セーフティとセキュリティ センター「SmartScreen フィルターとは?」
Windows PKI Blog「A novel method in IE 11 for dealing with fraudulent digital certificates」 (英語情報)