Fediver

SSL証明書発行時のメール認証は現在は多くの業者で、WHOISの情報の参照ではなくてwell-knownな管理者メールアドレスに送信するという方式をとっている。
ただ、CA/Browser Forumで、証明書の有効期限が今後順次短縮されて最終的に2029年以降は47日を超える有効期間を持つ証明書を発行できないことが決定されたほか、Googleがルート証明書ストアに格納する認証局に対して「ACMEなどの自動化認証を導入する」ことなどを要求しており、自動化認証以外の方法による認証は非現実的になりつつある。
https://www.digicert.com/jp/blog/tls-certificate-lifetimes-will-officially-reduce-to-47-days

「証明書の有効期限を90日以内とし、さらにドメイン認証の結果も90日以上使い回さないこと」という要求仕様もここに記載されている

RE: https://mi.kuropen.org/notes/a6txnrot2g

そもそもGoogleがルート証明書の格納基準の中で
1. サーバー証明書の発行を極力自動化すること
2. サーバー証明書発行申請者の確認にあたって、電話・FAX・メール・SMSを使わないこと
を要請している。
ただ一部には、例えば古い仕様に従っているため _ で始まるCNAMEレコードやTXTレコードの設定を禁止するなどしているDNSサーバーもあるらしく、いまだにメール認証に頼らざるを得ないところの話も聞こえてくる。

Chrome Root Program Policy, Version 1.6 (3.3 Promote Cryptographic Agility and Resilience in the Web PKI)
https://googlechrome.github.io/chromerootprogram/#33-promote-cryptographic-agility-and-resilience-in-the-web-pki

SSL/TLS証明書の有効期間が47日に短縮、2026年から段階的に実施
https://news.mynavi.jp/techplus/article/20250417-3190551/

証明書発行機関からはAmazon、DigiCert、Japan Registry Servicesなど30機関が投票に参加し、賛成25、反対0、棄権5となった。証明書のコンシューマーとしてはApple、Google、Microsoft、Mozillaが参加し、全員が賛成に投じた。合計は賛成29、反対0、棄権5となり、賛成多数で可決された。

CAとブラウザベンダーはほぼ全会一致という現状。結局SSL証明書というのは暗号鍵の情報を含むので、漏洩リスクや危殆化を防ぐためには「できるだけ使い捨てにしてもらいたい」というメッセージであって、それを許さないような運用あるいは旧型のシステムはその存在自体がセキュリティホール、ってことなんだろうな

「国籍を取れば？」と思う人もいるだろうけど、残念ながらそうしても見た目や肌の色、言葉のなまりなどで標的にされる可能性はとても大きい。アメリカ国籍保持者は身分証明書の携帯義務はない。それでも拘束される事例が発生している。

証明書の秘密鍵配布してそう

今年にletsencryptで使えるようになるShort-Lived Certificatesは、
WebPKIの失効システムがあんまりうまく機能しないし問題もあるから、
失効システム自体をやめて定期的な証明書の発行で置き換えようぜみたいな意味合いだと理解してる。

@dampuzakura 失効証明書のアップロードぐらいじゃないできるのは

AppleがSSL証明書の有効期限を45日に制限する構えなのでそれは気を付けたほうがいいかも
https://xtech.nikkei.com/atcl/nxt/column/18/00676/103000181/

SSL証明書って結局暗号鍵だから、同じ鍵を使い続けるなってことかな？
EV証明書も結局偽装問題で特別扱いされなくなってきてるから、機械発行のDV証明書のほうが鍵が変わる分相対的に安全ってジャッジ？

Whoisに記載されたメールアドレスをSSL証明書発行の認証に使用できなくして、メール認証はそのドメイン名でホストされているメールサーバーにある既定の管理用メールアドレスに限るとする話は仕事で聞いていたけど、このようにWhoisサーバーが何らかの原因で乗っ取られもしくは偽装された場合に攻撃者のメールアドレスをもって認証される危険があるからか

.mobiドメインにおけるWHOISを用いた不正サーバ証明書の取得事例
https://asnokaze.hatenablog.com/entry/2024/09/27/003452

Cloudflare Zero Trustを自鯖で試してみた
トンネルを「localhost:3000」に向ければ
・nginxを止めても
・ルータやufwの80・443ポートを閉じても
問題なく動作する
SSL証明書の処理もCloudflare側で全部やってくれてるみたいだし、しかも無料！面倒だけど無料！
ufwの内側に直接入ってくるのだけど、Cloudflareという企業を信頼できるならとても便利です
https://www.google.com/search?client=safari&rls=en&q=Cloudflare+Zero+Trust&ie=UTF-8&oe=UTF-8

@Minou 証明書の内容見たところwww.vino.blueからcal.vino.blueにサーバーお引越ししてそのまま放置してそうな感じでした
https://cal.vino.blue/tags/%E3%83%AA%E3%83%8E%E3%83%BC%E3%83%88%E3%81%99%E3%82%8B%E3%81%94%E3%81%A8%E3%81%AB%E9%9B%91%E3%81%98%E3%82%83%E3%81%AA%E3%81%8F%E3%81%AA%E3%82%8A%E3%81%BE%E3%81%99
でも警告文が出たサイトを見ないのは​​