委任された資格情報 TLS

の終了 TLS 接続には、証明書の秘密鍵を使用する必要があります。 その結果、秘密鍵は、サービスが使用するすべてのサーバーに保存する必要があります。 この秘密鍵の機密性を保護することは、公開鍵インフラストラクチャスキームの円滑な運用にとって最も重要です。 秘密鍵を所有しているエンティティは、証明書の有効期間の残りの部分で中間者攻撃を実行できます。 通常、攻撃者が秘密鍵を侵害すると、この鍵に関連付けられている証明書が取り消され、新しい証明書が発行されます。 ただし、Facebookや

」は、サーバーが許可されていることを示します。 終了します TLS 接続。

「以下を可能にする限定された委任メカニズム TLS 外部CAによって発行された証明書の範囲内で独自のクレデンシャルを発行するピア。 これらのクレデンシャルにより、委任の受信者はCAが承認した名前についてのみ話すことができます。」

委任された資格情報は、セキュリティを強化することを目的として設計されています。 したがって、IEFTドラフトで定義されているように、それらは特定の特性を持っています。

• 委任されたクレデンシャルの最大有効期間は次のとおりです。 7日 秘密鍵が危険にさらされた場合の露出を最小限に抑えるため。 有効期間が短いからといって、委任された資格情報のセキュリティを軽視する必要があるわけではありません。 エンドエンティティ証明書の秘密鍵を保護するために講じられた措置は、DCの保護にも適用する必要があります。 これらには、ファイルシステム制御、物理的セキュリティ、ハードウェアセキュリティモジュールなどが含まれます。 さらに、委任された資格情報は、相互に信頼関係を共有する当事者間でのみ使用する必要があります。
• 委任されたクレデンシャルは 暗号的にバインドされています エンドエンティティ証明書に。 具体的には、エンドエンティティ証明書の秘密鍵を使用して、クレデンシャルで指定されたアルゴリズムを介してDCの署名を計算します。 シグニチャは、DCをエンドエンティティ証明書の名前に効果的にバインドします。
• 委任されたクレデンシャルはクライアントによって発行されます。これは、CAによって署名された証明書を作成するよりもはるかに簡単です。 クライアントが発行した証明書は、CAにダウンタイムが発生した場合でもサービスを機能させ続けるのにも役立ちます。 また、組織は、エンドエンティティ証明書のセキュリティを損なうことなく、CAによって公式にサポートされていないアルゴリズムを試すことができます。 
• 委任された資格情報は、定義上、有効期間が短いです。 委任された資格情報の有効期間を設定する場合、サーバーは、証明書の拒否を回避するために、クライアントのクロックスキューを考慮する必要があります。 クライアントのクロックスキューも元の証明書にとって重要ですが、短命の委任された秘密鍵にとっては重要です。 クライアントクロックスキューは、有効期間の開始時と終了時の両方で考慮に入れる必要があります。
• 委任された資格情報の失効メカニズムはありません。 有効期間が終了すると、無効になります。 ただし、エンドエンティティ証明書（委任された資格情報に署名するために使用される）の秘密鍵を取り消すと、委任された資格情報が暗黙的に取り消されます。 
• 委任されたクレデンシャルは、 TLS 1.3 またはそれ以降。 既知の脆弱性があります TLS 1.2サーバーはRSAキー交換をサポートしており、任意のメッセージに対してRSA署名を偽造できます。 攻撃者が署名を偽造できると仮定します。 その場合、エンドエンティティ証明書の有効期間全体にわたって偽造された委任されたクレデンシャルを作成できます。 この脆弱性は、の実装には存在しません TLS 1.3以降。 また、この脆弱性は、楕円曲線暗号を使用する証明書には影響しません。 SSL.com 用意されています。 
• 組織は、委任された資格情報を配信するためにACMEなどの既存の自動発行APIを使用できます。 この場合、使用されるアルゴリズムはCAでサポートされているアルゴリズムのみですが、この方法により、キーが危険にさらされる可能性が低くなります。 SSL.com この慣行を支持します。 
• 委任された資格情報は、複数のコンテキストで再利用することはできません。 発行者は、目的の役割（クライアントまたはサーバー）に固有のコンテキスト文字列を使用して署名を計算するため、クライアントとサーバーの認証に同じ委任された資格情報を使用できなくなります。 

ECDSAを利用して PKI に提供 クライアント、クライアントによって発行された委任されたクレデンシャルは、上記のように署名偽造攻撃に対して脆弱ではありません。