電子証明書の有効期限切れに注意

現在、セキュアな情報通信を実現するために欠かせないファクターの一つとして「電子証明書」が広く利用されています。
電子証明書は、他人が自分のふりをする「なりすまし」、データの通信途中で盗み見される「盗聴」、データを勝手に変更される「改ざん」等のリスクを回避するために有効とされています。
また、電子証明書には一般的に有効期限を設定します。有効期限は以下の理由から必要と考えられます。

• 証明書が証明する項目には時間の経過と共に変更などが発生する可能性があり、一定期間経過後に内容を確認する必要があるため
• 技術革新による暗号解読リスクを緩和する必要があるため

したがって、電子証明書を活用したサービス提供者は、電子証明書の有効期限を常に意識しておく必要があります。

なお、電子証明書の有効期限が切れた場合、以下のような事象が発生します。

• 公開Webサーバの証明書（SSLサーバ証明書）の有効期限が切れた場合：

  利用者がそのWebサーバを訪れると一般的なWebブラウザでは「有効期限」に関するアラートが出力されます。また、Webサーバによっては再起動後に暗号化通信ができなくなる事象が発生することもあります。
  例えば、オンラインショッピングをWebサービスにて提供している場合にこのような事象が発生すると、信用の低下や販売機会の損失が発生します。

• ハードウェアに実装されたファームのソフトウェア証明書の有効期限が切れた場合：

  ネットワーク機器の場合、最悪通信ができない事象が発生します。ネットワーク機器のソフトウェア証明書の有効期限切れで発生した事象として、昨年、携帯電話サービス事業者で発生した大規模通信障害が記憶に新しいところです。

電子証明書の有効期限切れへの対策は様々な方法がありますが、基本的には各自で確実に有効期限を把握したうえで、サービスを運用していく必要があります。
ただし、ハードウェアに実装されたファームとセットになったソフトウェア証明書の有効期限については運用者が確認することは困難であるため、ハードウェアベンダとの連携が重要となります。
一方、公開Webサーバの証明書（SSLサーバ証明書）については、運用者が自分で証明書を取得するため、有効期限の管理は可能です。さらに、セキュリティ脆弱性診断サービスを受けることにより、有効期限切れを事前に発見することができます。例えば、SaaS型セキュリティ脆弱性診断サービス「QualysGuard」では、証明書の期限が切れる1ヶ月前から診断結果に警告が出力されます。こうした点も客観的にツールで管理できる診断サービスの利点です。

関連サービス

• 脆弱性診断・管理サービス