ChromeでCT（Certificate Transparency）非対応のSSL EV証明書は警告表示
少し前から、ChromeでHTTPSのページを開いたときに、「○○により確認済みですが、公開監査記録がありません」っていうメッセージが出るようになってて、何それ？と気になっていた。
どうやら、使用されているSSL証明書がCertificate Transparency（以下CT）に対応していないと、このメッセージが出る模様。でもTwitterやらFacebookやらの証明書すら非対応ってどういうこっちゃ？と思ったら、各社まだCT対応の証明書の販売が間に合っていない様子。
各認証局のCT対応状況（2015年3月1日時点）
- シマンテック →「対応済み」のリリース見つけられず。恐らくCT未対応
シマンテックグループではCTに準拠するために、EV SSL証明書にProof情報を追加する対応を2014年（予定）より順次提供することを計画しています。 http://www.symantec.com/ja/jp/page.jsp?id=ssl-certificate-transparency
- サイバートラスト →CT未対応。2015年3月中旬から対応予定
2015 年 3 月中旬に CT に対応したサーバー証明書の提供を開始する予定です。 https://www.cybertrust.ne.jp/ssl/sureserver/ct.html
- digicert →CT対応済み。
Digicert は本年、Google ともに CT（Certificate Transparency：透かし入り証明書）実現の準備に取り組み、CTをサポートする最初の CA（認証局）として、Digicert CT プラットフォームを準備しました。 http://www.digicert.ne.jp/topics/CertificateTransparency.html
- Trend Micro SSL →CT対応済み。
Trend Micro SSL では、2014 年 12 月 22 日のシステム改修により、CT への対応を開始します。システム改修後は、新規に発行されるすべての EV 証明書に対し、CT Log から SCT が発行されるようになります。 http://esupport.trendmicro.com/solution/ja-JP/1106400.aspx?cm_re=Sup-_-tmssl-_-news_05
- グローバルサイン →「対応済み」のリリース見つけられず。恐らくCT未対応
GlobalSignでは、2014年末までにEVの証明書についてCTへの対応を完了する予定です。 https://jp.globalsign.com/blog/2014/certificate_transparency.html
- Rapid SSL →「対応済み」のリリース見つけられず。恐らくCT未対応
非対応のEV証明書はChromeでグリーンバーが表示されなくなる
ChromeにはCTの検証機能が導入されているので、今までも証明書の詳細を見れば「○○により確認済みですが、公開監査記録がありません」というメッセージが表示されていた。とはいえぱっと見じゃ何もわからないので影響はなかった。
でも2015年2月にリリースされたChrome 41（ベータ版）以降は、警告度合いがより厳しくなっているようで、
- 2015 年 1 月 1 日以降に発行した
- CT非対応の
- EV証明書
という3つの条件が揃うと、折角EV証明書なのにグリーンバーが表示されず、OVやDVと同じ表示になってしまうとのこと。
今は上記のような限定された条件だけど、SHA-1→SHA-2のときみたいに、順次警告度合いが厳しくなっていくとしたら、そのうちOVやDVも「CT対応でないと鍵マークが出ない」みたいになっていくのでは・・・と予想。
恐らくは「グリーンバーが出るから、一目でフィッシングサイトと見分けがつく！」というメリットのために、高いお金出してシマンテックのEV証明書を買ってるんだろうに、SHA-1だしCT非対応だしで、グリーンバーどころか三角の警告マークが出ているみずほダイレクトとか本当に可哀想で涙なしには見られない。
