[Joke-RFC] RFC7169 NSA 証明書拡張

# はじめに

* この文書は [RFC7169](https://www.rfc-editor.org/rfc/rfc7169.txt) を勉強と好奇心のため適当に訳したものです。
* 翻訳の正確さは全く保証しません。
* 誤字誤訳等の指摘はいつでも大歓迎です。

# The NSA (No Secrecy Afforded) Certificate Extension（NSA 証明書拡張）

* Independent Submission
* Request for Comments: 7169
* Category: Informational
* ISSN: 2070-1721

- S. Turner
- IECA, Inc.
- 1 April 2014

## Abstract（要旨）

> This document defines the NSA (No Secrecy Afforded) certificate extension appropriate for use in certain PKIX (X.509 Pubic Key Certificates) digital certificates.
> Historically, clients and servers strived to maintain the privacy of their keys; however, the secrecy of their private keys cannot always be maintained.
> In certain circumstances, a client or a server might feel that they will be compelled in the future to share their keys with a third party.
> Some clients and servers also have been compelled to share their keys and wish to indicate to relying parties upon certificate renewal that their keys have in fact been shared with a third party.

本文書は、PKIX (X.509 Pubic Key Certificates) 電子証明書において使用するのに適した NSA (No Secrecy Afforded; 提供済みで安全ではない) 証明書拡張を定義するものである。
歴史的に、クライアントとサーバは、鍵のプライバシーを維持することに努めてきた。しかし、秘密鍵の秘密性を常に維持することは不可能である。
ある種の状況下では、クライアントやサーバーは、将来、第三者と鍵を共有せざるを得なくなると考えるかもしれない。
また、鍵の共有を余儀なくされ、証明書更新時に第三者との鍵の共有が事実であることを証明書利用者に示したいと考えるクライアントやサーバもある。

## Status of This Memo（このメモの位置づけ）

> This document is not an Internet Standards Track specification; it is published for informational purposes.

この文書は、インターネット標準過程の仕様ではなく、情報提供を目的として公開されている。

> This is a contribution to the RFC Series, independently of any other RFC stream.
> The RFC Editor has chosen to publish this document at its discretion and makes no statement about its value for implementation or deployment.
> Documents approved for publication by the RFC Editor are not a candidate for any level of Internet Standard; see Section 2 of RFC 5741.

これは他の RFC ストリームとは無関係に、RFC シリーズに貢献するものである。
RFC エディターは自らの裁量でこの文書を公開することを選択し、その実装や配備に対する価値については一切言及しない。
RFC エディターによって公開が承認された文書は、どのレベルのインターネット標準の候補にもならない。RFC 5741 の2章を参照。

> Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc7169.

この文書の現在の状態、正誤表、それに対するフィードバックの提供方法に関する情報は、http://www.rfc-editor.org/info/rfc7169 で得ることができる。

## Copyright Notice

```
   Copyright (c) 2014 IETF Trust and the persons identified as the
   document authors.  All rights reserved.

   This document is subject to BCP 78 and the IETF Trust's Legal
   Provisions Relating to IETF Documents
   (http://trustee.ietf.org/license-info) in effect on the date of
   publication of this document.  Please review these documents
   carefully, as they describe your rights and restrictions with respect
   to this document.
```

## 1.  Introduction（導入）

> Insecurity abounds when clients and servers are unable to keep their private keys private.
> Situations exist nonetheless where client and servers have shared their private keys with a third party.
> An example of over-sharing might be lawful intercept.

クライアントとサーバーが秘密鍵を秘密にできない場合は、非常に危険な状態である。
それにもかかわらず、クライアントとサーバがその秘密鍵を第三者と共有している状況が存在する。
過剰な共有の例としては、合法的な傍受が考えられる。

> Just because the private key has been shared does not mean that the private key holder wants to conceal the fact they have shared their private key with a third party.
> Overtly indicating that the private key may be or has been shared with a third party is the best way to indicate to relying parties that this sharing has occurred.
> Knowledge is power, after all.
> Extensions for certificates [RFC5280] offer an excellent mechanism to indicate that the entities key(s) have been shared, and this document specifies one such certificate extension for use by entities that have shared their private key: the NSA (No Secrecy Afforded) certificate extension.

秘密鍵が共有されたからといって、秘密鍵の所有者が秘密鍵を第三者と共有した事実を隠したいわけではない。
秘密鍵が第三者と共有される可能性があること、または共有されたことをあからさまに示すことは、この共有が発生したことを証明書利用者に示す最良の方法である。
結局のところ、知識は力である。
証明書の拡張 [RFC5280] は、エンティティの鍵が共有されたことを示す優れた仕組みを提供する。この文書は、プライベート鍵を共有するエンティティが使用する、そのような証明書拡張の1つであるNSA (No Secrecy Afforded) 証明書拡張を規定する。

## 2.  The NSA Certificate Extension（NSA 証明書拡張）

> In order to allow entities that have shared their keys with a third party, the NSA certificate extension is defined herein.
> ASN.1 [X.680] for the extension follows:

第三者と鍵を共有しているエンティティを許可するために、本書では NSA 証明書拡張を定義する。
この拡張の ASN.1 [X.680] は以下の通りである：

```
   ext-KeyUsage EXTENSION ::= { SYNTAX
         BOOLEAN  IDENTIFIED BY id-pe-nsa }

   id-pe-nsa OBJECT IDENTIFIER ::=  { id-pe 23 }
```

> Making the boolean TRUE indicates that the key has been shared with a third party, and making the extension FALSE indicates that the key may have also been shared with a third party but the signer does not want to overtly indicate that the key has been shared.
> This extension is always marked critical.

TRUE にすると鍵が第三者と共有されていることを示し、FALSE にすると鍵が第三者と共有されている可能性があるが、署名者は鍵が共有されていることをあからさまに示したくないことを示す。
この拡張は常に Critical とマークされる。

## 3.  Security Considerations（セキュリティに関する考慮事項）

> Having to disclose keys is sometimes unavoidable.
> Explicitly indicating that the keys have been shared is one way to mitigate the risk that the relying party might be unaware of this over share.
> Whatever the case for having shared the keys, the certificate signer needs to careful consider whether to include this extension.

鍵の公開は避けられない場合がある。
鍵が共有されていることを明示的に示すことは、証明書利用者がこの共有に気づかないというリスクを軽減する一つの方法である。
鍵の共有がどのような場合であっても、証明書署名者はこの拡張を含めるかどうかを慎重に検討する必要がある。

> Any key with this extension must be trusted with care.
> Lengthy deliberations about whether to trust the keys is necessary.
> Rushing a security analysis is never a good thing.
> Ultimately, the keys need not be trusted.
> Secrecy is hard.

この拡張を含む鍵は、注意深く信頼されなければならない。
鍵を信頼するかどうかについては、長時間の検討が必要である。
セキュリティ分析を急ぐことは決して良いことではない。
究極的には、鍵を信頼する必要はない。
秘密保持は難しい。

## 4.  Normative References

```
   [RFC5280]  Cooper, D., Santesson, S., Farrell, S., Boeyen, S.,
              Housley, R., and W. Polk, "Internet X.509 Public Key
              Infrastructure Certificate and Certificate Revocation List
              (CRL) Profile", RFC 5280, May 2008.

   [X.680]    ITU-T, "Information technology - Abstract Syntax Notation
              One (ASN.1): Specification of basic notation", ITU-T
              Recommendation X.680 (2002) | ISO/IEC 8824-1:2002, 2002.
```

## Author's Address

```
   Sean Turner
   IECA, Inc.
   3057 Nutley Street, Suite 106
   Fairfax, VA 22031
   USA

   EMail: turners@ieca.com
   XMPP:  sean.turner@jabber.psg.com
```