2015年2⽉3⽇
⽔元明法（国⽴情報学研究所）

2

サーバ証明書発⾏・導⼊のための啓発・評価研究プロジェクト（第⼀期プロジェクト）```

平成19年4⽉2⽇〜平成21年6⽉30⽇
参加機関数97機関 のべ発⾏枚数2,413枚

UPKIオープンドメイン証明書⾃動発⾏検証プロジェクト（第⼆期プロジェクト）```

平成21年4⽉1⽇〜平成24年3⽉31⽇
参加機関数276機関 のべ発⾏枚数9,561枚

UPKIオープンドメイン証明書⾃動発⾏検証プロジェクト 延⻑
（第⼆期プロジェクト2）```

平成24年4⽉1⽇〜平成27年6⽉30⽇
参加機関数337機関 のべ発⾏枚数22,865枚（平成26年12⽉時点）

9 ⼤学等のドメインに対するOV（組織認証）サーバ証明書を無償にて発⾏
9 証明書の有効期限:25ヶ⽉
3

2500022000枚超

20000

のべ発行数
有効数

15000

10000

5000

約11000枚0※2009年5月から2014年12月まで
4サーバ証明書``

利⽤例：⾦沢⼤学

従来のOV（Organization Validation）証明書だけでなく，より信頼性のレベルの⾼いEV（Extended Validation）発⾏への期待

クライアント証明書``

現在各⼤学で個別に購⼊ or 独⾃に発⾏しているクライアント証
明書発⾏への期待クラウドサービスの信頼度 信頼度Ⅰ 信頼度Ⅱ

信頼度Ⅲ 信頼度Ⅳ

対応 認証レベル（LoA）

Level3

Level1

Level2

重要度Ⅰ

学内統合認証基盤の普及

`

`

`
5

重要度Ⅳ

機微な情報を含む学内の多くのサービスに接続

ID/Password認証の限界`

機関が保有する 重要度Ⅱ
情報の重要度 重要度Ⅲ

クライアント証明書等を使ったセキュアな認証⽅法の必要性

Level4` コード署名⽤証明書

⼤学ICT環境の⾼セキュリティ化要請への対応` プログラム等に署名することで，利⽤者が警告を無視することなく利⽤可能`` ⼤学が提供するサービス，研究成果等の公開・配布

内容に誤りがないことを保証するものではないことに注意

コード署名⽤証明書とは`Webサーバ等で提供されるプログラムやドキュメントに署名`

6

Java，Flash，ActiveX，MS Office BVA，実⾏ファイル(.exe)，Androidアプリ，PDFなど`各機関のプログラム開発者やドキュメント管理者に対して証明書を発⾏`

署名ツールを利⽤してプログラムに署名`

署名の正当性を，OS，ブラウザ，ウイルス対策ソフト等が検証してから実⾏`

署名を⾏ったコード署名⽤証明書の有効期限内であれば，付与された署名が有効`

別途，タイムスタンプを利⽤することで，コード署名⽤証明書の有効期限を越えた５〜２０年程度有効（各タイムスタンプサーバの署名の有効期限内）

調査，検討の結果を踏まえNIIの事業として提供(有償)` 提供する証明書の種類``

サーバ証明書(OV)，クライアント証明書，コード署名⽤証明書
``

費⽤`

`

OV証明書
`
`
`

`

追加ドメインの制約を⼤幅に緩和
クライアント証明書・コード署名⽤証明書は4⽉提供開始予定

発⾏枚数に制限なし
組織の規模ごとに段階的に設定（定額，CiNiiの区分を踏襲）
追加ドメインはドメイン単位に課⾦

クライアント証明書，コード署名⽤証明書は当⾯無料`

普及啓蒙フェーズ

EV証明書``

7

1枚単位での料⾦（有効期間1年，発⾏業者に直接⽀払い，詳細調整中）新サービス

旧プロジェクト

申請

機関の長から*

機関責任者から費用有償（定額）無償発行できる証明書

サーバ証明書クライアント証明書
コード署名用証明書

サーバ証明書

ドメイン数

複数申請可能**

原則1つ

SINETへの加入

必須ではない必須

署名アルゴリズム

SHA-1
SHA-256

SHA-1*：大学であれば、学長にあたる方となります**：機関が保持または管理するドメインであること
8

9

構成員数
1-200
201-400
401-600
601-800
801-1000
1001-1200
1201-1400
1401-1600
1601-1800
1801以上
追加/ドメイン10

年額（税別） 9 構成員数： 常勤の教員・研究者数¥30,000 (CiNiiと同基準）¥40,000 9 年額には，OV証明書（1ドメイン分），クライアント証明書，コード署名用証¥50,000 明書を含む¥60,000
9 発行枚数に制限なし
9 クライアント証明書とコード署名¥70,000
用証明書は当面無償¥80,000
9 ドメイン追加時には，1ドメインごとに¥90,000 追加ドメインの額をプラス¥100,000 9 数年後に改訂予定¥110,000¥120,000¥20,000

※ワイルドカード証明書（例：*.domainname.ac.jp）は発行できません11

` 現⾏サーバ証明書発⾏プロジェクト`

3⽉末まで発⾏，6⽉末まで有効` 新サービスへの参加申請受付中

OVサーバ証明書の発⾏開始：2015年1⽉` クライアント，コード署名⽤証明書：2015年4⽉（予定）`` サービス利⽤の更新`

年度ごとに年度末に利⽤継続を確認` 課⾦⽅法2014年度内（2015年1⽉〜3⽉）：無料` 2015年度以降`` 年度当初（申請受理後）に，当該年度分の請求書を発⾏` 年度途中の参加の場合は，残りの期間に応じて算定（１ヶ⽉単位）

12`

マイクロソフト セキュリティ アドバイザリ 2880823（2013年11⽉13⽇公開）`マイクロソフト ルート証明書プログラムでの SHA-1 ハッシュ アルゴリズムの廃⽌``「マイクロソフトは，マイクロソフト ルート証明書プログラムのポリシーを変更したことをお知らせします。新しいポリシーでは，2016 年 1 ⽉ 1 ⽇以降，ルート証明機関は SSL とコード サイニングの⽬的で，SHA-1 ハッシュ アルゴリズムを使って X.509 証明書を発⾏できなくなります。」「マイクロソフトは，証明機関が SHA-1 ハッシュ アルゴリズムを使って新しく⽣成された証明書に署名せずに，SHA-2 に移⾏することを推奨します。また，お客様ができるだけ早い機会に SHA-1 証明書を SHA-2 証明書に置き換えることを推奨します。」
引用もと：https://technet.microsoft.com/ja-jp/library/security/2880823`

当初はSHA-1/2双⽅の証明書が発⾏可能（3プロファイルを準備）````

sha1・有効期間 2016 年 12 ⽉まで
sha1・有効期間 2015 年 12 ⽉まで
sha256・有効期間25ヶ⽉

時期を定めてSHA-2への移⾏を進める予定
13` ⽤途認証
` 署名
` 暗号化
`

`

電⼦メールで使⽤する場合は，証明書にメールアドレスを記載` 配付形態`

ユーザごとに1枚（複数端末で共⽤）``

端末紛失等で，当該ユーザの証明書の再発⾏・全端末に再インストールが必要

端末ごとに1枚`

同⼀メールアドレスだと，電⼦メールの暗号化利⽤に難あり` 利⽤形態

端末にストア` ICカード（Type B等），USBトークン，SIMカード等にストア
`

`

`
14

耐タンパ性FCF（FeliCa）等と連携

` 発⾏単位

ユーザごと（⼤学担当者を経由して申請し，利⽤者が受領）` ⼀括（⼤学担当者がまとめて申請，受領，利⽤者に配布・ICカードへの登録等）`` ⼤学のID管理システムとの連携の考慮` 発⾏⽅法

PKCS#12 （秘密鍵をCAが⽣成）` Web enroll （ブラウザ内で秘密鍵を⽣成，対応検討中）`15

` 新UPKI電⼦証明書発⾏サービス

2015年スタート` クライアント証明書，コード署名⽤証明書` 有償サービス` 対応環境などはWebサイトをご参照ください`` 電⼦証明書の活⽤はこのあとに！
` ご連絡・お問い合わせ先`

国⽴情報学研究所 学術基盤課
総括・連携基盤チーム（認証担当 野⽥・⽔元）
Mail：
` 電話：
` Web：`

16

certs@nii.ac.jp
03-4212-2218
https://certs.nii.ac.jp