[upki-odcert:00089] Re: Google Chrome の SHA-1 証明書表示

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

荻野様
西村です。

>>> SHA-1 の証明書で「有効期限 2016年 6月まで」を選択できれば良いので
>>> すが。

元のブログでは有効期限2016年以降のものに対して表示を変更する(Chrome 41
以降)と言っているようなのですが、そうすると2015年12月までの証明書が発
行できると良い、ということになるでしょうか。

# Chromeのためにそこまでやるか、というのはひとまず脇に置きます。

On 2014/12/02 20:01, Takeshi NISHIMURA wrote:
> 荻野様
> 西村です。
> 
>>> UPKI の証明書の場合、中間証明書が 2017年以降も有効な SHA-1 なの
>>> で、すでにオールグリーンとはいかなくなっています。
> 
> 誤解があるか私が誤解しているかですが、Chromeが中間CA証明書をチェック
> するのはSHA-1か否かだけで、有効期限のチェック対象は
> end-entity certificateだけだと認識しています。
> 
> On 2014/12/02 17:28, Yasuo Okabe wrote:
>> 京都大学の岡部です。
>>
>> Google Chrome のSHA-1証明書のアラート表示は、ちょっと勇み足というか混乱
>> を招くと思っています。このあたりに詳しいです。
>>> http://blog.livedoor.jp/k_urushima/archives/1750289.html
>>
>> とはいえ文句を言ってもGoogleが考え直してしてくれないことにはどうしようも
>> ないので、新サービスでSHA-2が発行できるのようになるのを心待ちにしています。
>>
>> (2014/12/02 17:15), Mitsuru Ogino wrote:
>>> 椙山女学園の荻野です。
>>>
>>> Takeshi NISHIMURA wrote on 2014/11/28 18:41:
>>>> もちろん、新サービスでSHA-2の証明書が発行できるようになった暁には、
>>>> 是非ご利用ください！
>>>
>>> ご存じの方も多いとおもいますが、Google Chrome 39 から SHA-1 が危ないのを
>>> 表示するそうです。
>>>
>>> http://googleonlinesecurity.blogspot.jp/2014/09/gradually-sunsetting-sha-1.html
>>>
>>> UPKI の証明書の場合、中間証明書が 2017年以降も有効な SHA-1 なので、すで
>>> にオールグリーンとはいかなくなっています。
>>>
>>> 中間証明書だとあまり目立たないのでまだマシですが、サーバ証明書だと気にな
>>> りそうです。
>>>
>>> ベリサインなどだと SHA-1 で引っ張る場合でも、来年前半までは有効期限１年
>>> を選べば良さそうですが、UPKI の場合は、2016/6/1 以降も有効な証明書になっ
>>> てしまうように読めます。すると灰色鍵＋黄色三角マークになるのでしょうか。
>>>
>>> SHA-1 の証明書で「有効期限 2016年 6月まで」を選択できれば良いのですが。

-- 
西村健
国立情報学研究所 TEL:03-4212-2890