DigicertのEV証明書2024年5月12日の失効対象か調べてみた

DigiCertの記載不良のあるEV証明書の失効措置が2024年5月12日に予定されているとの告知を受け、ChromeとOpenSSLを利用したEV証明書の記載不備の判定を試みてみました。

#SSL

#AWS Certificate Manager（ACM）

suzuki.ryo

2024.05.08

2024年5月8日、デジタル証明書の大手ベンダー Digicert社より、表記誤りのあるEV証明書の報告と、その失効措置が2024年5月12日に予定されている旨の案内がありました。

2023年 9月から同年12月中旬までに発行しているEV TLS/SSL証明書のうち、Subjectに記載のBusiness Category フィールド（subject:businessCategory）の表記に誤りがある証明書が失効の対象となります。

当該フィールドは以下のどれがの値を含む必要がございますが、これらについては大文字小文字が以下の表記のままである必要があります。

Private Organization

Government Entity

Business Entity

Non-Commercial Entity

【重要】EV証明書における再発行、ならびに入れ替え手順のご案内

今回、以下の環境を利用した EV証明書の確認方法と、 5月12日の失効対象になる表記誤りの調査する機会がありましたので、紹介させていただきます。

Google Chrome (バージョン: 124.0.6367.156）
OpenSSL 3.0.8 7 Feb 2023 (Library: OpenSSL 3.0.8 7 Feb 2023)

確認対象

以下の2サイトを対象に、EV証明書の表記不備を確認しました。

digicert社のトップページ
筆者が口座を保有していた銀行 (インターネットバンキングページ)

digicert

Chrome

digicert社のページを表示中のChromeブラウザで、URLバー左のアイコンより、証明書ビューアを開きます。

この接続は保護

証明書の詳細を確認します。

証明書は有効です

証明書ビューアー

証明書ビューア

DigiCert の EV証明書が利用されていました。

一般名（CN） DigiCert EV RSA CA G2

Subjectに記載のBusiness Category フィールドより、businessCategory値の表記誤りの有無を確認しました。

「www.digicert.com」 → 「証明書」 → 「件名」のフィールド値を確認。

フィールド値(正常)

businessCategory = Private Organization

「Organization」は正しい大文字で始まる表記、2024年5月12日の失効対象外でした。

OpenSSL

$ openssl s_client -connect www.digicert.com:443 -showcerts
CONNECTED(00000003)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root G2
verify return:1
depth=1 C = US, O = DigiCert Inc, CN = DigiCert EV RSA CA G2
verify return:1
depth=0 jurisdictionC = US, jurisdictionST = Utah, businessCategory = Private Organization, serialNumber = 5299537-0142, C = US, ST = Utah, L = Lehi, O = "DigiCert, Inc.", CN = www.digicert.com
verify return:1
---
Certificate chain
 0 s:jurisdictionC = US, jurisdictionST = Utah, businessCategory = Private Organization, serialNumber = 5299537-0142, C = US, ST = Utah, L = Lehi, O = "DigiCert, Inc.", CN = www.digicert.com
   i:C = US, O = DigiCert Inc, CN = DigiCert EV RSA CA G2
   a:PKEY: rsaEncryption, 2048 (bit); sigalg: RSA-SHA256
   v:NotBefore: Oct  6 00:00:00 
(略)

インターネットバンキングページ

DigiCertのページと同様の手順で、筆者が利用しているインターネットバンキングのページを対象に、証明書の確認を試みました。

確認を試みた2024年5月8日時点、不具合として報告された businessCategoryの値「organization」の記載が小文字で始まる事から、 2024年 5月 12日午前1時（日本時間）の失効措置が取られる、記載不備のあるEV証明書が利用されていました。

Chrome

フィールド値(影響あり2)

発行元

一般名（CN） DigiCert EV RSA CA G2

詳細 → 証明書のフィールド → 件名

businessCategory = Private organization

OpenSSL

$ openssl s_client -connect ***.**.****.jp:443 -showcerts
CONNECTED(00000003)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root G2
verify return:1
depth=1 C = US, O = DigiCert Inc, CN = DigiCert EV RSA CA G2
verify return:1
depth=0 jurisdictionC = JP, businessCategory = Private organization, serialNumber = 0100-01-******, C = JP, ST = Tokyo, L = Chiyoda-ku, O = "**** Bank, Ltd.", CN = ***.**.****.jp
verify return:1
---
Certificate chain
 0 s:jurisdictionC = JP, businessCategory = Private organization, serialNumber = 0100-01-******, C = JP, ST = Tokyo, L = Chiyoda-ku, O = "*** Bank, Ltd.", CN = ***.**.****.jp
   i:C = US, O = DigiCert Inc, CN = DigiCert EV RSA CA G2
   a:PKEY: rsaEncryption, 2048 (bit); sigalg: RSA-SHA256
   v:NotBefore: Oct  3 00:00:00 2023 GMT; NotAfter: Nov  2 23:59:59 2024 GMT

まとめ

今回、失効措置が取られる可能性があるのは、Digicert が2023年 9月から同年12月中旬までに発行した一部の EV証明書のみ。それ以外、AWS Certificate Manager(ACM)で発行、無料で利用できる DV証明書などについては影響はありません。

DigiCert は以下のようなサイトで、EV証明書の利用を推奨しています。

EV（Extended Validation）証明書は、最高レベルのブランドアイデンティティセキュリティを提供し、認証時には 16 項目の認証チェックが実行されます適している Web サイトやページ:

グローバルな銀行および金融サービス

フォーチュン 500 企業

グローバル 2000 企業

電子商取引サイト

エンタープライズ

DV、OV、EVの各SSL証明書の違いとは？

企業の実在性を証明するために導入したEV証明書が、 2024年 5月 12日午前1時（日本時間）に失効措置の対象であった場合、HTTPSを利用したサイトアクセスが不能となる事で障害となる可能性があります。

DigiCert 社の EV証明書、国内代理店経由で調達した場合の価格は1年12万円強。