委任された資格情報

委任された資格情報は、TLSハンドシェイクの待ち時間を増加させることなく、秘密鍵の漏洩からの回復を高速化することでセキュリティを向上させるために使用される短命のTLS 証明書です。現在、 IETFインターネットドラフト^{[1]であり、} Cloudflare ^[2]とFacebook ^[3]で使用されており、Firefoxのブラウザサポートがあります。^[4]

現代のウェブサイトやその他のサービスでは、ユーザーのリクエストに可能な限り迅速に応答するために、コンテンツ配信ネットワーク(CDN) を使用しています。CDN は、 DDoS 緩和などの CDN が提供する他のサービスと並行して、世界中に分散している可能性のあるサーバーです。ただし、安全な接続を確立するには、サーバーが証明書に関連付けられた秘密キーを所有していることを証明する必要があります。証明書は、公開キーと信頼できる当事者をリンクする信頼チェーンとして機能します。信頼できる当事者は通常、証明機関(CA) です。

CA は、通常数か月から 1 年までの有効期限付きでこれらのデジタル証明書を発行します。有効期限が近づいたら証明書を更新するのはサーバーの責任です。有効な証明書に関連付けられた秘密鍵が知られると、悪意のあるエンティティが正当なサーバーとしてユーザーになりすます中間者攻撃が可能になるため、サイトのセキュリティにとって壊滅的な影響を及ぼします。したがって、これらの秘密鍵は安全に保管し、できれば CDN 内のすべてのサーバーに配布しないようにする必要があります。具体的には、秘密鍵が侵害された場合は、対応する証明書を失効させて、ブラウザーがこの証明書をサポートしないようにするのが最適でしょう。証明書の失効には、主に 2 つの欠点があります。まず、現在の失効方法はすべてのブラウザーでうまく機能せず、ユーザーを危険にさらします。次に、失効すると、サーバーは CA から新しい有効な証明書をすばやく取得し、すべてのミラーに展開する必要があります。

委任された資格情報は、証明書の所有者が TLS で使用するためにサーバーに委任する、有効期間が短い (数時間から数日) キーです。これは実際には署名です。証明書の所有者は、証明書の秘密キーを使用して、委任された公開キーと有効期限に署名します。

この委任された資格情報が与えられると、ブラウザは (サポートされている場合) 委任された証明書を検証してサーバーの信頼性を確認し、次に証明書自体を検証できます。

このアプローチには、現在のソリューションに比べて多くの利点があります。

• 委任された資格情報は有効期間が短いため、秘密鍵は頻繁に変更される可能性があります。したがって、証明書所有者が知らないうちに特定の委任された資格情報が侵害されたとしても、その侵害された資格情報が悪用されるのはごく短い時間に限られます。
• 盗まれた証明書については失効する必要はありません。^[要出典]
• 証明書所有者は、CDN サーバーに秘密鍵を公開する必要はなく、委任された資格情報を定期的に提供します。そのため、証明書所有者は、サードパーティの CDN サーバーを使用しながら、秘密鍵を排他的に制御できます (さらに、 HSMに保存することもできます)。
• 委任された認証情報には独自のキーがあるため、Ed25519などの新しいアルゴリズムを試すことができます。これにより、暗号化の俊敏性が向上します。