ニュース

Mozilla、Symantec発行のTLS証明書無効化を延期 ~「Firefox 64」ベータ版から実施

100万を超えるWebサイトを対象とした調査では1%以上が依然として古い証明書を利用

公式サイト“Mozilla Security Blog”

 米Mozillaは10月10日(米国時間)、SymantecをルートとするTLS証明書を「Firefox 63」から無効化する計画を延期したことを明らかにした。10月中旬に出荷される予定の「Firefox 64」ベータ版から実施される。

 米Symantecは“Thawte”、“VeriSign”、“Equifax”、“GeoTrust”、“RapidSSL”といったブランドで認証局を運営するPKI事業を営んでいたが、2017年1月、業界標準の監査プロセスに従わず、不正にSSL/TLS証明書を発行していた事実が明らかになった。そこで、MozillaやGoogleはSymantecが発行した証明書の無効化を段階的に進めていた。なお、SymantecのPKI事業はすでに米DigiCertへ売却されている。

 Mozillaによると、当初は「Firefox 63」をナイトリー版からベータ版へ移行する段階で証明書を無効化する予定だったが、証明書を更新していないWebサイトが数多く残されているという。最新のデータによれば、100万を超えるWebサイトを対象とした調査で1%以上が依然として古いSymantecの証明書を利用しており、このままでは多くのユーザーに影響が及ぶことが懸念されている。

100万を超えるWebサイトを対象とした調査で1%以上が依然として古いSymantecの証明書を利用している(Mozillaのブログより引用)

 Mozillaは、DigiCertが無償で移行支援を提供しているにもかかわらず、多くのサイト管理者が対応を行っていないことは残念であるとし、できるだけ早い対応を呼び掛けている。