要約

  • RFC 3647 では CP が要求を、CPS が実装方法の説明を担う。一つのポリシー OID は一つの運用実態や実行済み統制を意味しない。
  • 利用側は、宣言された規程から儀式、公開、鮮度、パス処理、ローカル方針、アプリ判断までを別々の受領記録として保存すべきである。

利用側から見ると、証明書は複数の宣言を運んでくる。発行者、主体、用途、ポリシー、拡張、署名である。しかし、証明書そのものには「この鍵生成で誰が二重承認したか」「失効要求が何分で全公開点に届いたか」という履歴は入っていない。

RFC 3647 は、その不足を証明書に詰め込む仕様ではない。Certificate Policy は参加者への要求を示し、Certification Practice Statement は一つの CA または組織が要求をどう満たすと説明する文書である。一つの CPS が複数 CP を支え、異なる CPS を持つ複数 CA が同じ CP を支えることもできる。

したがってポリシー OID は重要な入力だが、運用環境の一意な識別子ではない。テキスト版 は、RFC の目的を概念説明と文書作成支援に限定し、特定 CP/CPS や具体的統制を定義しない。柔軟な枠組みへの準拠から、個別運用の適合性を推論してはならない。

九つの領域は比較に役立つ。公開、本人確認、ライフサイクル、物理・人員統制、技術統制、プロファイル、評価、法務を同じ順で確認できる。ただし項目には no stipulation と書ける。見出しの存在は、統制の存在や有効性を意味しない。非公開の機微な手続についても、証拠責任者と検証方法が必要になる。

利用側のローカル判断は残る。RFC 3647 は、証明書の結び付きをどこまで信頼するかを利用者または利用アプリを統制する主体が評価すると説明する。発行 CA の宣言だけで用途が決まるわけではない。ルート選択、ポリシー制約、失効鮮度、許可用途は利用側の入力である。

RFC 5280 と更新の RFC 6818 は証明書・CRL とパス検証を定義する。パスが妥当でも、CPS に書かれた本人確認や鍵儀式が実際に行われたという履歴証明にはならない。形式と署名の検証、運用手続の来歴は別問題である。

失効照会も一つの観測にすぎない。RFC 6960 は OCSP を定義し、RFC 5019 は大量利用向けプロファイルを示す。応答は対象証明書の状態と鮮度を評価する材料になるが、侵害発見、要求者認証、承認、全公開点の収束、アプリ拒否を一括して証明しない。

リポジトリについても、CPS の公開頻度は目標である。利用側が必要とするのは取得先、取得時刻、実バイト、マニフェストや CRL の鮮度、キャッシュ、検証結果だ。RFC 6481 は RPKI 公開点を構成し、RFC 6486 は署名マニフェストで特定の欠落・古さを検出できるようにする。これは宣言から観測へ近づく仕組みだが、全 CPS 統制の証明ではない。

RPKI の文書分離は分かりやすい。RFC 6484 は CP、RFC 7382 は RFC 3647 に基づく CPS テンプレート、RFC 6487 は証明書・CRL プロファイルである。要求、実施説明、機械形式が別文書であること自体が、三者を同一視してはいけない理由になる。

鍵儀式では、CPS の「複数人統制」をイベント証拠へ展開する。独立した承認者、実行者、立会人、装置 ID と状態、入力、出力、公鍵指紋、例外、記録保全を結び付ける。最終証明書だけを残すと、後から手続違反と暗号処理成功を区別できない。

監査にも時間境界がある。RFC 3647 は範囲・方法、頻度または契機、評価者の資格と関係、対象、欠陥対応、結果通知を別項目にする。「年次監査済み」は、サンプル、除外、期間、未解決事項や監査後の変更を示さない。バッジの参照先には報告書と是正証拠が必要だ。

法的効力はさらに別である。CPS は情報開示文書の場合があり、自動的に契約にはならない。加入者契約や利用者契約が参照によって取り込む場合もある。証明書のリンクや qualifier から同意、責任、適用法を機械的に断定できない。

RFC 3647 は RFC 2527 を置き換えた Informational 文書である。Datatracker、RFC Editor 情報、履歴、正誤表 は文書来歴を示すが、配備のテレメトリではない。

IANA SMI Numbers は共有 OID 語彙を支える。登録は名称衝突を減らすが、統制実施を証明しない。

Heng Lu の実行コード優先、最小初期仕様、現実層という視点を当てると、共通枠組みの役割が明確になる。比較可能な宣言を作ることは有益だが、公開だけで運用現実を成立させてはならない。実装、実行、外部観測、ローカル検証、利用が必要である。

保存すべき鎖は、CP/CPS の版、条項、責任者、外部委託先、イベント ID、人と装置の証拠、監査範囲、公開オブジェクト、外部取得、鮮度、パス・ポリシー結果、アプリ判断である。前段の宣言で後段の事実を代用しない。