自己署名証明書とは？

自己署名のTLS/SSL証明書は、公に信頼されている認証局（CA）によって署名されておらず、代わりにウェブサイトの責任者である開発者や企業が署名しています。公に信頼されているCAによって署名されていないため、通常、公共のアプリケーションやウェブサイトでは安全でないと考えられています。

パブリックCAの役割は、証明書に含まれる情報の有効性、特にTLS/SSLの場合、証明書に関連するドメイン名の所有権および/または管理権を保証することです。 したがって、自己署名証明書を使用することは、有効な機関によって発行されていないクレデンシャルを使用することと同じです。

「自己署名証明書」という表現は、通常、ルート証明書や中間証明書との関連性を持たず、単独で生成されたTLS/SSL証明書を指します。 これは、S/MIME、コード署名、ドキュメント署名など、他のX.509デジタル署名証明書にも適用することができます。

自己署名証明書は、その性質上、証明書に記載された情報が信頼できる者（パブリックCA）によって検証されていないことを意味しており、このような証明書はセキュリティ警告を発生させます。 ウェブブラウザやオペレーティングシステムは、公に信頼されているCAによって署名されていない証明書は、ユーザーにとってセキュリティリスクをもたらすため、検知してフラグを立てます。 この証明書は信頼できる相手から発行されたものではないので、中間者攻撃を展開する攻撃者の仕業である可能性があります。

このような警告表示は、個人情報や財務情報が危険にさらされることを恐れて、ユーザーを遠ざけてしまいます。

自己署名証明書は、TLS/SSL、S/MIME、ドキュメント署名、コード署名のいずれであっても、規制の対象外であるため、有効期限を自由に設定できるように設計されています。 ただし、有効期限が切れる前に更新し、再展開する必要があります。 有効期間が長ければ長いほど、証明書の存在や有効期限を忘れてしまうリスクが大きくなります。

自己署名証明書と異なり、公に信頼されたTLS/SSL証明書は、13ヶ月を超える期間の発行はできません。 2015年以前は最大5年の有効期間が認められていましたが、徐々に1年に短縮されました。 これは、拡張検証（EV）および組織検証（OV）TLS/SSL証明書に適用されます。

自己署名証明書を使用することは、証明書の詳細の妥当性を保証するために信頼できる認証局のサポートを受けずに処理を進めるという選択すること、を意味します。 デフォルトでは、自己署名証明書はウェブブラウザやオペレーティングシステムから決して信頼されません。 セキュリティ警告を回避するには、各ユーザーが遭遇した自己署名証明書を、使用するデバイスごとに手動で承認する必要があります。 また、自己署名証明書はセキュリティ上のリスクがあることが警告メッセージで明示されているため、ユーザーは手続きを行うことができません。

自己署名のTLS/SSL証明書は、信頼できるCAから発行されていないため、正当な証明書であるという保証がないため、ブラウザがフラグを立てます。 ブラウザには、サイトの証明書が信頼できるCAから発行されていないため、安全な接続が保証されない旨の警告が表示されます。

ブラウザやオペレーティングシステムからのセキュリティ警告は、エンドユーザーが安全でないと感じ、ウェブサイトやアプリケーションを使用することを躊躇させるものです。 そのため、自己署名証明書は通常、テスト環境やリスクの低い内部ネットワークにのみ使用されます。

自己署名のTLS/SSL証明書は、テスト環境では安全であり、公開CAから証明書が発行されるのを待つ間は、使用することができます。 しかし、本番環境で使用すると、ウェブサイトやアプリケーションへのアクセスが大幅に減少し、ユーザーからの信頼を失うことにつながります。

自己署名のTLS/SSL証明書は無償で生成できるため、これを利用することにメリットを感じる組織もあるかもしれませんが、その一方で、多くは自己署名証明書の信頼リスクやメンテナンスについて考えていません。 特にその更新には多くの隠れたコストがかかります。

自己署名のTLS/SSL証明書は、それ自身の秘密鍵で署名され、中間またはルートCAに紐づけられていません。 自己署名証明書は、署名が必要なウェブサイトの管理責任者である企業または開発者が作成、発行、署名するものです。 これは、内部向けのウェブサイトでは証明書のコストを削減する方法となり得ますが、一般向けのウェブサイトやアプリケーションでは決して良いアイデアではありません。

秘密鍵が侵害されると、組織のインフラにとって大きな脅威となる可能性があります。 漏洩した証明書は、発行元の認証局に報告すれば、直ちに失効させることができます。 しかし、自己署名証明書の場合は、信頼できる失効メカニズムが存在しません。

また、自己署名証明書の管理が不十分なため、期限切れや脆弱性のある証明書が見落とされたり、気づかれなかったりするケースも少なくありません。 このような危険な証明書は、悪意のある行為者がネットワークにアクセスし、高度で洗練されたマルウェア攻撃、中間者攻撃（MITM）、フィッシング攻撃、ボットネットを起動するためのゲートウェイとなります。

保証書および技術サポートがない

公的な認証局は、その証明書に関するサポート、ノウハウ、管理ツールなどを提供します。 しかし、自己署名証明書の場合は、自社で生成するため、サポートやノウハウ、管理ツールは提供されません。 それらをコントロールし続けるためには、人的、資金的なリソースが必要です。

視認性および制御性が欠如している

組織では、プライベートCAとパブリックCAの両方から発行された数千のデジタル証明書を使用しており、これらの証明書をそれぞれ手動で追跡することは困難です。 証明書の数、所有者、所在、秘密鍵の保管場所などを把握することは、サイバーディフェンスを強化する上で極めて重要なことです。

無数の自己署名証明書を使用している組織では、証明書インフラストラクチャの可視性が曖昧になってしまうことがよくあります。 残念ながら、組織のネットワークに侵入があった場合、それが自己署名証明書とそれに関連する秘密鍵の漏洩が原因であるかどうかはわかりません。

セキュリティ要件を満たしていない

信頼できる認証局が発行する電子証明書は強固な標準を維持しているのに対し、自己署名証明書は内部で生成されるため、知識不足やベストプラクティスの追従ができず、最新のセキュリティ標準に沿った証明書になることは非常に稀です。

企業ネットワーク内に存在するすべてのデジタル証明書と鍵を管理および監視することは、非常に重要です。 認証局から発行された証明書も、内部サイトや公開サイトの機能を担う自己署名証明書も、すべて安全に保護され、常に監視されていなければなりません。

社内LANのみのサービスでは、自己署名証明書を使うこともできますが、発行元のCAサーバーがサイバー犯罪者から十分に保護されていること、組織の全従業員がアクセスできない場所にあること、監視ツールや証明書の財産管理を担当するチームがあることなど、しっかりとしたポリシーを持っていることが必要です。