UPKI電子証明書発行サービスについて
NII 学術情報基盤 オープンフォーラム 2022
2022年6月2日 認証トラック1© 2022 National Institute of Informatics

1

UPKI電子証明書利用状況（2022年5月末日現在）
371機関 500ドメイン で利用中
• サーバ証明書発行有効枚数 22,190枚（のべ発行数95,512枚）• クライアント証明書有効枚数 16,340枚（のべ発行数42,209枚）• コード署名用証明書有効枚数 47枚（のべ発行数195枚）
500ドメイン

371機関

機関の内訳
機関

機関数

私立大学

143

国立大学/国立大学法人

86

公立大学/公立大学法人

48

学校法人

45

大学共同利用機関/大学共同利用機関法人

18

独立行政法人

16

財団法人

5

試験研究機関4

公立高等専門学校

3

その他

3

2

S/MIME証明書有効期間の変更
Apple社のRoot certificate program 改訂に伴い、本サービスも2022年3月22日以降に発行するS/MIME証明書の最大有効期間は823日となりました。そのため、有効期間を52ヶ月（約1580日）としているS/MIME証明書
プロファイルは、有効期間823日（27ヶ月）とするプロファイルに変更されました。
対象の証明書プロファイル

プロファイルID 7のS/MIME証明書※プロファイルID 15（有効期間：13ヶ月）、プロファイルID16（有効期間：25ヶ月）は対象外

変更点

証明書有効期間は、52ヶ月から823日(27ヶ月)になりました。
2022年3月21日以前に発行したS/MIME証明書には影響はありません。
3

OUフィールド廃止
CAブラウザフォーラムによる証明書ガイドライン
Baseline Requirementsが改訂され、2022年9月1日以降に発行されるTLSサーバー証明書では、subject:organizationalUnitName（OU：部門名）の使用が禁止されることとなりました。
 変更となった背景
OUは、認証局で確認されないため、不正な値を持つ証明書も発行できてしまうためこの決定に対応するため、禁止となる日のおよそ１カ月前の2022年7月26日にシステム改修を行う予定です。
 変更点

システム改修後の7月26日以降に、新規または更新発行するTLSサーバー証明書にはOUが含まれません。
 対象となる機関・証明書
全機関のTLSサーバー証明書
2022年7月2５日以前に発行した証明書は、有効期限までOUを含む証明書のまま、ご利用可能です（本件に伴う更新手続きは不要です）。
4

OUフィールド廃止
 OU廃止に伴う注意点
 OU許可リストの追加は2022年7月19日をもって終了します。7月20日以降は追加申請を受け付けません。
 同一FQDNで複数証明書をOUを変えて管理されていた場合、今後はOUを使えなくなります。以下の対応を推奨します。
①発行した証明書を複製して利用する②FQDNを個別に割り当てている場合、CNは個別にし、SANsの値で対応する。
（例）1枚目の主体者DN ”CN=certs1.nii.ac.jp, O=NII, L=Chiyoda-ku,ST=Tokyo,C=JP"
2枚目の主体者DN ”CN=certs2.nii.ac.jp, O=NII, L=Chiyoda-ku,ST=Tokyo,C=JP"
1枚目のSANsの値 "dNSName=certs1.nii.ac.jp, dNSName=certs.nii.ac.jp"
2枚目のSANsの値 "dNSName=certs2.nii.ac.jp, dNSName=certs.nii.ac.jp“
詳細は以下のURLをご参照ください。
https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=79925399

5

OUフィールド廃止
今後のスケジュール
2022年7月20日

OUの許可リスト追加・削除 受付終了

2022年7月26日～

OUを含む証明書の新規、更新発行不可

詳細情報は随時ホームページに掲載します。

6

コード署名用証明書鍵ペアの作成と管理
2022年4月6日にCAブラウザフォーラムにて「Ballot CSC-13- Update to Subscriber Private Key Protection
Requirements（投票 CSC-13 - 加入者秘密鍵保護要求事項の更新）」が成立しました。
これにより、コード署名用証明書においては、秘密鍵を保存するセキュリティデバイスの管理が厳密になります。
変更となった背景
過去にコード署名用証明書の私有鍵が盗難され、マルウェアに利用されるなど、悪用された事例が多数あった。

対象機関

コード署名用証明書を利用中の機関

7コード署名用証明書鍵ペアの作成と管理 対応方法の検討
BRの記述

検討結果

CAは、適切なハードウェア暗号モジュールと、そのハー 採用
ドウェア暗号モジュールを使用して CAが生成した1つ以上の事前生成された鍵ペアを出荷する。
利用者は、一般に鍵認証と呼ばれる製造者証明書を用いて検証できる証明書要求に副署 不採用名し、秘密鍵が適切なハードウェア暗号化モジュールを用いて非輸出的に生成されたこ 鍵認証と呼ばれるハードウェア暗号化モジュールを利用することが難しいため、採用でとを表明すること。
きませんでした。

利用者は、鍵ペアの生成および保存に CA が規定する暗号化ライブラリと適切なハード 不採用
ウェア 暗号化モジュールの組合せを使用すること。
暗号化ライブラリを認証局で準備し、そのライブラリを使用したアプリで発行申請者のローカル環境で特定のUSBトークンを認識させ、その後、ライブラリ由来の秘密情報をCSRに入れるようにし、それで作成されたCSRをCAに送付する仕様
この方法を採用することが難しいため、採用できませんでした。

利用者は、Code Signing 証明書に関連付けられる鍵ペアの生成に適切なハードウェア 不採用
暗号モジュー ルのみを使用していることを示す内部または外部 IT 監査を提供すること 適切な内部または外部IT監査を指定できていない状況があり、採用できませんでした。
利用者は、適切なハードウェア暗号化モジュールで秘密鍵を保護するクラウドベース鍵 不採用
保護 ソリューション加入およびリソース構成から適切な報告書を提出すること。
認定したクラウドベース鍵保護ソリューションを利用する方法
認証局で、確認する方法が確立できていないため、採用できませんでした。
CAは、CAが承認し、IT セキュリティトレーニングを受けた監査人または CISA 資格 不採用を持つ監査人が署名した申請者の報告書に依拠し、クラウドベースの鍵生成・保護ソ 認証局で認定したクラウドベース鍵保護ソリューションを利用する方法
リューションを含む適切なハードウェア暗号モジュールソリューションで鍵ペアが生成 を採用することが難しいため、採用できませんでした。
されたことを証明する。
利用者は、16.2 項の要件を満たす署名サービスを使用することに同意していること。 不採用
16.2 署名サービスを弊社で提供して、それを利用する方法。
この方法を採用することが難しいため、採用できませんでした。

8

コード署名用証明書鍵ペアの作成と管理変更点
2022年11月15日以降に、コード署名用証明書を新規または更新発行する場合、鍵ペアの作成と管理方法が以下のとおり変更となります。
変更前

変更後

秘密鍵を保存するセキュリティ 秘密鍵を保存するセキュリティデバイスとして制限はなし
デバイスとして適切なハード
秘密鍵はUSBデバイスで管理し、 ウェア暗号モジュールの利用が使用時のみPCに接続必須。認証局でUSBトークンに秘密鍵を保存し利用者に安全に渡す方法を検討中
続報は随時ホームページに掲載します。

9

ご連絡・お問い合わせ先
国立情報学研究所
学術基盤課総括・連携基盤チーム（認証 担当）
お問い合わせフォーム：
https://certs.nii.ac.jp/contact/form
原則、サービス利用機関または利用予定機関の機関責任者・登録担
当者・経理担当者からお願いします。

10