HOME情報セキュリティ資料・報告書・出版物調査・研究報告書情報セキュリティ技術動向調査(2008 年上期)

本文を印刷する

情報セキュリティ

情報セキュリティ技術動向調査(2008 年上期)

7 PKI 関連の動向(RFC 5280)

木村 泰司

  2008 年5 月、IETF PKIX WG よりRFC 52809が出された。これはインターネットにお けるPKI の、基本的な仕様を定義したRFC で、多くのRFC が準拠しており、与える影 響が大きいドキュメントである。PKI 関連の出来事の中で特に注目すべきトピックとして 紹介する。

概要

  RFC 5280 はインターネットで使われるX.509v3 証明書と、X.509v2 CRL を定めたもの で、RFC 3280 の後継の位置づけにある10。RFC 5280 の大きな特徴としていえるのは、国 際化された名称11への対応であろう。この他に、名称(DN12)のUTF8String 形式への限 定が解除されるなどした。
  本稿では、本TG の開始直後に出たRFC 5280 の特徴を挙げた上で、インターネットPKI の現状について考察する。

国際化された名称への対応

  • DN
  •  RFC 3280 では、UTF8String 形式のみがDN で使われ、比較の際にはバイナリー値として扱われるとされていた。一方、RFC 5280 ではUTF8String 形式ないし PrintableString 形式でよくなり、オプションとしてTeletexString 形式、BMPString 形式、UniversalString 形式を使ってもよいことになった。ただし、比較はRFC 451816で定められた6 つのステップを持つアルゴリズムが適用される。
  • IRI
  •  IRI はUnicode 文字列のURI である。直接、証明書やCRL に記載されることはないが、RFC398717で定義されたマップに従ってASCII に変換されたものがsubjectAltName 拡張などに入っている可能性がある。しかしこれらはGeneralName 形式であり、IA5String である。つまりUnicode がASCII 変換された文字列で入っていることになる。この比較は複雑で、始めにRFC3987 で定義されたASCII 変換が行われ、スキーマ部やホスト部を正規化(normalize)し、パーセント符号化部分を正規化し、比較する。URI の比較の際には大文字と小文字を区別する。

  このふたつの他にも、フィールドごとにルールがあり、期待される処理は複雑である。 証明書検証の安全性に大きく影響すると考えられるため仕方がないという側面はあるが、 証明書検証を行うプログラムは、多くの比較ルールをサポートする必要が出てきている。

UTF8 対応に関わる日本勢の活動

  前節で述べたUTF8 を使う国際化の対応には、当時IPA で行なわれた調査結果からのイ ンプットがあった。
  IPA では「PKI におけるUTF8String 問題に関する調査」をJNSA(NPO 日本ネット ワークセキュリティ協会)に委託して実施していた。この調査結果は、当時RFC 5280 の 著者に選任されたばかりのDavid Cooper 氏にインプットされている。

発行者および主体者の名称に対するエンコーディング

  RFC 3280 では、発行者および主体者の名称を格納する際のエンコーディングとして、 2003 年12 月以降はUTF8String 形式にしなければならない、という記述があった。RFC 5280 では、この制限が廃止され、複数のエンコード方式から選択できるようになった18

その他の課題への対応

  RFC 5280 では、RFC 3280 では証明書の処理の上で起こる不具合を避けるための改善も行われた。CRL にAIA19拡張を入れられるようにしたことや、security consideration の節への記述の追加などが行なわれた。

考察

  本節で述べた変更点によって、複雑であったRFC 3280 が更に複雑さを増したと言える。 しかし、インターネットで使われるPKI には、この議論とは別の、早急に解決すべき課題 が存在している。例えば、ハッシュアルゴリズムの代替可能性確保の課題などである。
  今後は、複雑化の方向性よりも、現状に存在する問題解決を図る議論が必要であると考 えられる。

以上


  1. RFC5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List(CRL) Profile
  2. そのためSon of RFC3280 やrfc3280bis などと呼ばれてきた。
  3. Internationalized Names
  4. Distinguished Name
  5. Internationalized Domain Names
  6. RFC4518: Lightweight Directory Access Protocol (LDAP): Internationalized String Preparation
  7. Internationalized Resource Identifiers
  8. RFC4518: Lightweight Directory Access Protocol (LDAP): Internationalized String Preparation
  9. RFC3987: Internationalized Resource Identifiers (IRIs)
  10. RFC4630 で記述されたものが組み込まれた。
  11. Authority Information Access
目次へ
次へ