要約

  • Let’s Encryptは10月15日に遠隔の検証地点を四つから六つに増やす計画を示し、27日に試験環境で六つが稼働していると報告した。主たる地点を含め、検証要求は合計七回になる。
  • CA/Browser Forumの定足数表では、遠隔地点が二～五つなら不一致は一つまで、六つ以上なら二つまで。一致する地点は二つのRIRサービス地域に分布しなければならない。11月10日の本番導入は試験結果を条件とする予定だ。

管理者の画面だけでは決まらない

たとえば社内の運用画面に「更新失敗」とだけ出たとする。担当者はまず自分のサーバーを疑う。しかし発行側の遠隔検証器へ向かう経路が問題なら、サーバー上の応答は正しくても結果は食い違う。BGPの経路を誘導できる攻撃者も、この差を突いて一台の検証器を偽の応答先へ運べる。発行後のブラウザーには、その検証要求がたどった道は見えない。だから認証局は一つの経路で見えた答えをそのまま採用できない。

複数視点による発行時の照合は、主たる観測地点の判定を遠隔地点に確かめさせる。対象にはドメイン支配の検証とCAAによる発行許可の確認がある。Let’s Encrypt自身の告知は10月15日、遠隔地点を二つ追加して六つにし、主たるデータセンターから一回、遠隔から六回の計七回の検証を行う方針を示した。27日の追記は試験環境で六つの遠隔視点を使用中だと確認する。本番の目標日は11月10日。確認した告知スレッドには、本番への切替完了を伝える投稿はまだない。

CA/Browser Forumの現行基本要件は、2026年6月15日から対象となる検証に少なくとも四つの遠隔地点を求め、12月15日から最低五つに引き上げる。さらに主たる地点の判定を支持する遠隔地点は、二つ以上の異なるRIRサービス地域に存在しなければならない。地図上の拠点数ではなく、実際に一致した拠点の分布を数える規則である。

六つ目が買うのは二つ目の不一致

定足数表は、二～五つの異なる遠隔地点で不一致を一つ、六つ以上で二つ許す。六つのうち四つが主たる判定を支持し、残る二つが支持しなくても、地域などの条件を満たせば発行できる。五つの場合も四つの支持が必要で、許される不一致は一つだけだ。六つ目の地点は賛成票の最低数を減らすための飾りではない。もう一つの失敗に耐えるための追加の観測である。

どの六つでもよいわけではない。基本要件は観測地点の相互の直線距離を少なくとも500キロと定める。遠隔地点は主たる地点とも、定足数に加わる他の地点とも区別される。ドメイン支配とCAAで別々の地点群を使うなら、それぞれの群が定足数に達する必要がある。DNSキャッシュを共有して同じ答えを複数の観測として数えることは禁じられる。再試行はすぐにできるが、前の試行で得た支持票は持ち越せない。都合のよい答えだけを数回分つなぎ合わせる発行手続きは許されない。

2024年の運用告知には、その年の3月27日に遠隔四地点が本番で動いているとの記録がある。今回確認できる新事実は六地点の試験稼働だ。Let’s EncryptはBGP攻撃に対する可視性と防御の向上を増設理由に挙げた。どれだけの攻撃を防いだか、試験中に何件が不一致になったかという数字は今回の告知には載っていない。

「更新失敗」の一行では直せない

規則は定足数または二地域の条件を満たせなければ、認証局は証明書を発行してはならないとする。自動更新に頼るサイトには重い命令だ。「更新失敗」を見た担当者が直すべきものは一つとは限らない。応答の内容なら自社の設定、経路の到達性なら通信の制限、CAAならDNSの発行許可、地域の偏りなら認証局側の観測構成が問題になる。どの票で止まったかを知らなければ、担当者は無関係な設定を何度も変える。

基本要件は別の方法を使った即時再試行も認める。ただし新しい試行には新しい観測が必要だ。認証局が古い支持票を再利用しなければ、一時的な通信障害が解消したことと、矛盾した結果を都合よく平均したことは区別できる。発行拒否を単なる「検証失敗」の一行に押し込めれば、サイト側は何を修正すべきか分からない。

確認した10月のスレッドには、試験の成功率、遅延、地域条件による拒否件数はない。本番で六地点を使い始めたという日付入りの報告が次の確認材料になる。その後の集計された拒否理由が、六番目の地点の実際の効用と負担を示す。

票の数を決めるのはCA/Browser Forum。地点を配置し、失敗を分類して証明書を出すのはLet’s Encrypt。発行できなかったときの痛みを受けるのは申請者。証明書は最後に渡される品物であり、その前段の採決こそ統治である。