SSL自己証明書の有効期限の目安

質問

自社webサーバで限られたユーザーに
自己証明でSSLを利用しています。

メンテナンスを楽にするために有効期限を
伸ばしたいと思っているのですが、
RFCなどで推奨されている（安全とされている）
有効期限などがありましたら、教えてもらいたいと
考えております。社内での統一基準としたいので
”論拠”となる情報元も教えていただけると
助かります。

よろしくお願いします。

回答No.3

galluda · ベストアンサー

がるです。
ちょっとあまりにも気になったので、大変に恐縮ではあるのですが。
まず、証明書の有効期限は「その暗号強度に由来する」問題なので、間違っても「ポーズ」ではないです。

暗号というのは、１種類を除いて、大量の時間があればいつかは解読できるものです。
その「解読するためにかかる時間」が暗号強度になります。
つまり「２年」という数字には、「現在使われている暗号が、この時間なら破られないだろう」という実測値にある程度基づいているわけです。
この数値を無限にしない理由は簡単で。「一定の期間が経過したら鍵を交換することで、アタック調査をいったん無効にし、それによって暗号強度的に十分な時間を稼ぐ」意味合いがあるので。
有効期限には技術的にきちんとした意味があり、ゆえに、間違ってもポーズではありません。

次に。きちんとした認証局の認証と自前の認証では、根本的に深い隔たりがあります。
これについては、専門家もちょくちょく勘違いするのですが。
http://takagi-hiromitsu.jp/diary/20050123.html
こちらをご覧ください。
認証局に認証されている証明書には、きちんとした相応の理由があります。
間違っても「イメージ的お墨付き」のためではありません。

間違ったセキュリティ認識はあまりにも危険なので、一筆。

お礼

ありがとうございます。

リンクはとても面白く読ませていただきました。
認証局の認証と自前の認証に関しては、リンクを読ませていただいた上で
今回のケースについては特に問題ではないと考えてまして、
質問の意図としましてはSSLの強度に関連する有効期限でした。
＊質問文が不十分ですみませんでした。

もし可能でしたら2年の根拠もいただけると助かります。認証局の中には5年の証明書を発行している
ところもあるので
（その認証局に直接、私もその論拠も確認してみます）

正直、gryfinndorsのおっしゃるように
私自身、ポーズという側面もあります。

というのも、他のセキュリティ強度との
バランスを考えれば
例えば現状で、pop3 110ポートでパスワードを
平文で流していたり、OSへのユーザログイン
パスワードを定期変更の強制をしていなかったり
ということを考えると、他の強度を高めたところで・・
という本音もあります。

SSLの鍵強度や有効期限をどうのこうの言う前に、
セキュリティチェインの一番弱いところを
話題すべきであって・・・
でも利便性を求める現場（もしくはお客さん）
のニーズにもあわせる必要があり、アンバランス
なのを承知の上での対策なので実質ポーズ、
とも思っています。

ただ、それでも自分の守備範囲というか力の
及ぶ範囲なので質問させていただきました。
今回のケースは、お客さんのリクエストで
自己証明なので、こちらとしては証明書入れ替え
のコストを減らしたいというコスト的な思惑が
あるわけです。

正論でセキュリティ体制を取れる企業というの
は少ないと思いますし、多かれ少なかれコストや
利便性などのトレードオフの中で構築している
と思います。割り切って仕事する部分と、それでも
技術的な理論武装する必要もあるのかと個人的に
考えてはいます。

回答No.2

gryfinndors

好きなだけ伸ばせばいいのではと思いますよ。
有効期限はもともとＣＡなりサーバーの認証が外部に対して適宜監査していますよというポーズに過ぎないのです。
ＶＥＲＩＳＩＮだろうが自前だろうがＳＳＬの暗号アルゴリズムは同じ強度なのですから。
だから有効期限の長短と暗号の安全性は無関係と思っています。

自社サーバーにアクセスするのに第三者機関のお墨付きは必要ないでしょう。
だから別に気にしなくていいのではと思いますが。

お礼

ありがとうございます。

No.3さんのお礼のほうにまとめて
長文で書かせていただきました。

回答No.1

galluda

がると申します。セキュリティエンジニアやっております。
たとえそれが自社Webサーバでの限定したユーザであれ。もしそれがグローバルIPによって接続可能であれば(或いはパケットの到達ルート中にグローバルな領域があれば)、その時点で「自己証明SSL(通称：オレオレ証明書)」はNGです。
そこに、SSLが提供するべき安全性は最早ありません。

ただ。もしDMZを含む、そこから外に出ないものであるならば。通例は２年程度を有効期限としているところは多いです。
このあたりは「業者がそれくらいだから」という、かなりアバウトな基準ですね。

ただこのあたりは結局「用いてる暗号方式と現在のクラック状況」次第なので。きちんとした調査をなさるのであれば、そのあたりを調査されたほうがよろしいかと思います。
状況は、ある程度リアルタイムに変わりますので。