15年2025月XNUMX日、SSL.comはCA/ブラウザフォーラムのサーバ証明書ワーキンググループ（SC-067）は、部分的に施行されています。MPICの目的は、ドメイン情報の検証とCA認可（CAA）レコードの検証をインターネットネットワークの複数の観点から要求することにより、デジタル証明書のセキュリティと信頼性を強化することです。
9月2、2025上SSL.comはMPICの適用を完全に実施し、リモート検証チェックでプライマリ検証結果が裏付けられない場合、証明書は発行されなくなります。MPICの更新は業界全体で有効になります。 9月15、2025上.
MPICとは何ですか?
MPICでは、証明機関（CA）が地理的および地形的に異なる複数のネットワークポイントからドメイン検証とCAAチェックを実行することが求められます。この追加のセキュリティレイヤーは、攻撃者がドメインネームシステム（DNS）の応答、ボーダーゲートウェイプロトコル（BGP）のハッキング、またはその他のネットワーク構成を操作して証明書を不正に取得する潜在的な攻撃を検出し、防止するのに役立ちます。
定足数要件
CA/Bフォーラムは、検証チェックに対する肯定的な応答の数をクォーラム（定足数）として規定しています。この要件は肯定的な応答1件から始まり、否定的な応答が肯定的な応答の数を超えないように増加していきます。
定足数要件に関する最新情報については、 CA/ブラウザフォーラムのベースライン要件具体的には、投票用紙 SC-067 です。
公的認証局の顧客への影響
パブリック CA のお客様は、この変更に備えて変更を加える必要はありません。お客様は次の変更に気付く可能性があります。
- セキュリティ強化: 不正な証明書発行の可能性が減少します。
- 検証の遅延の可能性: 追加のチェックにより若干の遅延が発生する可能性があります。
- 透明性の向上: 検証プロセスの詳細は、レビューと監査のために提供されます。
- アクションは必要ありません通常、お客様側で何か対応していただく必要はありません。効率的な検証を行うために、DNS 構成が正常であり、ネットワーク上のさまざまな場所からアクセスできることを確認してください。
一般的な MPIC 検証の問題のトラブルシューティング
MPICの導入において、ほとんどのお客様は問題に遭遇することはありませんが、特定のネットワーク構成では検証に問題が生じる場合があります。最も一般的な問題に対する簡単な解決策を以下に示します。
ファイアウォールの背後にあるWebサーバー: ウェブサーバーが、リモートからの接続をブロックするファイアウォールやロードバランサーの背後にある場合、証明機関が検証に使用するIPアドレス範囲を許可リストに登録する必要があります。ただし、主要なウェブブラウザのほとんどが、ファイアウォールの背後にあるサーバーでは公的に信頼された証明書を使用すべきではないと以前から推奨していることに留意してください。 CA /ブラウザフォーラム TLS ベースライン要件 インターネット経由でアクセス可能なサーバーの認証に使用されるアドレス証明書のみを対象としています。
証明書管理者に連絡して、検証IPアドレスの最新リストを入手し、それに応じてファイアウォールルールを設定してください。または、セキュリティポリシーで許可されている場合は、検証プロセス中にポート80を一時的に開くことを検討してください。プライベートポートに切り替えることをお勧めします。 PKI ポリシーにより、ポート 80/433 がパブリック インターネットからアクセスできないようにしている場合。
制限されたネームサーバーアクセス一部のDNSプロバイダーまたは内部ネームサーバーは、特定の地理的地域またはIPアドレス範囲からのクエリを拒否するように設定されています。そのため、リモートパースペクティブがドメインの所有権を確認しようとした際に、検証プロセスが失敗する可能性があります。
DNS 管理者と協力して、権限のあるネーム サーバーが世界中のユーザーからのクエリに応答できることを確認します。または、世界中のアクセスをサポートする DNS プロバイダーの使用を検討してください。
ジオブロッキングとCDNの問題コンテンツ配信ネットワーク（CDN）やジオブロッキングサービスは、多角的な検証を妨げる場合があります。これらのサービスをご利用の場合は、証明書検証トラフィックに例外を設定してください。CDNプロバイダーは、検証エンドポイントがネットワークのあらゆる側面からアクセス可能であることを保証するためにも役立ちます。
MPIC の準備: 証明書管理者のためのベストプラクティス
証明書マネージャーとして、または PKI 管理者の皆様、今から積極的な対策を講じることで、MPICが完全に施行された際にスムーズな移行を実現できます。インフラストラクチャの準備方法は以下の通りです。
DNSインフラストラクチャを監査するDNSチェッカーなどのツールを用いて、複数の地理的な場所からドメイン解決をテストしてください。DNSレコードのTTL値が、パフォーマンスと証明書更新時に必要な柔軟性のバランスが取れていることを確認してください。
ネットワークアーキテクチャを文書化するファイアウォール、ロードバランサ、地理的な制限などを含むネットワークインフラストラクチャの明確なマップを作成してください。このドキュメントを認証局と共有することで、移行期間中に発生する可能性のある検証上の問題のトラブルシューティングに役立ちます。
監視と警告を確立する証明書検証エンドポイントとDNSインフラストラクチャの監視を設定してください。接続の問題を早期に検出することで、検証プロセスに影響が出る前に問題を解決できます。多角的な検証プロセスをシミュレートする自動ヘルスチェックの実装を検討してください。
検証時間の増加に備える証明書の更新プロセスには、多角的な検証チェックにかかる時間を考慮して余裕を持たせてください。社内手順と自動証明書管理ツールを更新し、サービスに支障をきたすことなく遅延の可能性に対応できるようにしてください。
MPIC 実装がなぜ必要なのか?
MPICは、攻撃者が不正な証明書を取得するために悪用してきた重大なセキュリティ脆弱性に対処します。攻撃者は、特定の地域におけるDNS応答やBGPルートを巧みに操作し、認証局を欺いて、管理下にないドメインに対して証明書を発行させています。MPICは複数のネットワークの観点から検証を要求するため、攻撃者は地理的に分散した複数のネットワーク拠点を同時に侵害する必要があるため、こうした局所的な攻撃の実行は著しく困難になります。
MPICは、DNSおよびBGP攻撃の軽減に留まらず、証明書エコシステムに対する公共の信頼強化に向けたより広範な取り組みを表しています。認証局（CA）が多角的な視点に基づく発行検証を採用することで、ウェブサイト所有者とエンドユーザーの両方を保護する、より高度なセキュリティ基準への準拠を実証し、デジタル証明書への信頼を強化します。
MPIC についてさらに詳しい情報や質問がありますか?
詳細については、当社までお問い合わせください。 支援チーム または下記までお問い合わせください。
