ベリサイン、脆弱性検査サービスに「中間CA証明書」チェックを追加：設定や期限切れなどを確認

[＠IT]

　日本ベリサインは1月9日、同社のSSLサーバ証明書の利用者向けに提供している「脆弱性アセスメント」サービスに、「中間CA（認証局）証明書チェック機能」を追加した。

　脆弱性アセスメントサービスは、SSLサーバ証明書の利用者を対象に無償で提供しているサービスだ。週に1回のペースで対象Webサイトを診断し、SQLインジェクションやクロスサイトスクリプティングといった脆弱性が存在しないか確認する。

　新たに追加した中間CA証明書チェック機能では、証明書の有効性を検証するのに必要となる「中間CA証明書」をチェックし、設定忘れや期限切れ、中間CA証明書とクロスルート設定用証明書の設定順序間違いがないかどうかを確認する。

　もし中間CA証明書の設定忘れなどの不備があると、エンドユーザーが目的のWebサイトにアクセスできなくなるといった問題が生じる。同社サポートセンターへの問い合わせにおいて、中間CA証明書の不備に関するトラブルに関する問い合わせ件数は上位を占めているという。

　なお中間CAが発行する証明書を巡っては、2012年12月末に、トルコの認証局であるTURKTRUST傘下の中間CA経由で不正な証明書が発行されるトラブルが発生した。本来ならば標準のSSL証明書を発行すべきところ、誤って中間CA証明書を発行してしまい、それが不正な証明書の発行に悪用されたため、GoogleやMicrosoftなどがアップデートを提供し、不正証明書の失効措置を取っている。