制裁コンプライアンスは、ほとんどの人が考えもしないインターネットの層にまで及んでいる。それは、ブラウザがウェブサイトを信頼するための証明書だ。「制裁によりCAがイラン・ロシアでTLS証明書を失効させる」と題したRisky Bulletinの記事を含む最近の報道は、認証局（CA）が制裁対象の組織からTLS証明書を引き揚げている状況を伝えている。本稿では、イランとロシアにおけるTLS証明書失効の仕組み、誰が影響を受けるのか、そしてVPNがどこで関わるのかを見ていく。

証明書の失効が実際に何をするのか

TLS証明書は、CAが発行するデジタル資格情報であり、ウェブサイトが主張するとおりの存在であることを証明する。ブラウザには、信頼するCAのリストが同梱されている。CAが証明書を失効させると、失効ステータスを確認するブラウザはユーザーに警告を表示するか、HTTPSでのサイト読み込みを拒否する。

この件に関する検索結果の報道によると、GlobalSignは6月に米国とEUの制裁を実施する中で、ロシアの顧客向けTLS証明書を大量に失効させた。他の報道では、イランの銀行の証明書も失効させられたこと、そして制裁対象のイラン海事当局のウェブサイトが証明書を失った後、標準的なブラウザで到達不能になったことが述べられている。モスクワ取引所も、信頼ストアの変更が行われなければ、外国の証明書失効がウェブサイト、API、取引システムを混乱させる可能性があると警告している。

重要な点は、失効はウェブサイトを削除したり、トラフィックをブロックしたりするものではないということだ。それは、現代のブラウザが期待する暗号学的な身元の証明を取り除く。サイトは依然としてオンラインかもしれないが、ブラウザはそれを信頼できないものとして扱う。

イランとロシアの一般ユーザーがどのように影響を受けるか

影響を受けるほとんどの人々は、制裁対象の組織そのものではない。彼らは、失効した証明書に依存していた銀行、取引所、その他のサービスの顧客である。

証明書が失効したか、有効な代替なしに期限切れになると、ユーザーはブラウザの全画面警告を目にするかもしれない。APIや決済連携など、TLS経由で接続する自動システムは単純に失敗する可能性がある。報道によれば、ロシアの銀行は8月に国営の認証局に切り替えなければならなかった。これは、デバイスが新しい認証局を信頼している人々にしか警告を修正しない。そしてロシア当局は国民に対し、国のセキュリティ証明書をインストールするよう促したと報じられている。

これは難しいトレードオフを生む。ユーザーはエラーを目にし続けるか、国内の認証局から証明書をインストールするかのどちらかだ。国家が管理するルート証明書をインストールすると、その認証局が技術的に保証できる範囲が広がる可能性があり、一部の評論家は傍受に関する懸念を提起している。我々はこれらの主張を独自に検証しておらず、読者はこれらを確立された事実ではなく懸念として扱うべきだ。それでも、一般的な原則は妥当である。デバイスに追加するルート証明書は、デバイスが信頼するものになるのだ。

VPNが役立つところとそうでないところ

ここがしばしば混同される点である。VPNとHTTPSは異なる問題を解決する。

VPNにできること:

  • デバイスとVPNサーバー間のトラフィックを暗号化し、ローカルネットワークやインターネットプロバイダから閲覧を隠す。
  • 接続のネットワーク経路と見かけの位置を変更し、ネットワークレベルでブロックされたサービスへの到達に役立つ。

VPNにできないこと:

  • 失効した証明書を復元すること。サイトの証明書が失効していれば、どのネットワークを使ってもブラウザは依然として異議を唱える。
  • HTTPSが提供する身元確認を置き換えること。VPNはウェブサイトが本物であることをブラウザに伝えない。
  • サイトを信頼できるものにすること。トラフィックがVPNサーバーを離れると、目的地へと向かい、その最終区間を保護するのはHTTPSである。

要するに、VPNは道路を保護し、証明書は目的地を保証する。証明書警告を回避することはVPNの機能ではなく、そのような警告をクリックして進むことはなりすましに対する保護を取り除く。依存しているサイトが証明書エラーを表示するなら、別の経路でそうでないことを確認できるまで、何かが間違っていると想定するのが最も安全である。

証明書システムへの信頼にとってこれが意味すること

ウェブの信頼モデルは、ブラウザが信頼することに同意する比較的少数のCAに依存している。これらのCAは国内法の下で運営される企業であり、制裁義務が適用される可能性がある。報じられた失効は、この技術的信頼システムが法的・政治的圧力にもさらされていることを示している。

また、可能性のある対応も示している。各国が並行システムを構築するかもしれない。ロシアの国営CAや、制裁対象のイラン組織に証明書を発行した中国拠点のCAに関する報道は、より分断された証明書エコシステムを指し示している。ブラウザがそのような代替を信頼するかどうかは、ブラウザベンダーとOSメーカーが下す別の決定であり、それらの製品を使うすべての人に影響を及ぼす。

セキュリティチームにとって、これは証明書の依存関係がサプライチェーンの依存関係であるという警告である。単一のCAに依存する組織は、そのCAの義務が変われば、安全なアクセスを迅速に失う可能性がある。

これがあなたにとって意味すること

イランやロシアに住んでいる、あるいはそれらと取引がある場合、金融や政府のサイトで証明書エラーを目にするかもしれない。たとえ別の場所にいても、あなたの組織が制裁対象地域と関わっているなら、証明書が引き揚げられると連携が壊れる可能性があるため、この話は重要である。

そのような状況の外にいるほとんどの読者にとって、日常的に変わることは何もない。教訓は、各セキュリティツールが何を保護するのかを理解することにある。

実行可能なポイント

  • 銀行やログインページでブラウザの証明書警告をクリックして進まないこと。
  • 新しいルート証明書、特に政府や不慣れな機関が発行したものをインストールする前には慎重に考えること。
  • VPNはVPNサーバーへの接続を暗号化するものであり、HTTPSの信頼を修正したり置き換えたりするものではないことを覚えておくこと。
  • サービスを運営しているなら、どのCAが証明書を発行しているかを把握し、利用できなくなった場合の切り替え計画を用意すること。
  • 信頼ストアの変更はアップデートを通じて届くため、ブラウザとOSを最新の状態に保つこと。

イランとロシアにおけるTLS証明書失効のより広い要点は、HTTPSの信頼とVPNの暗号化は別々の層であるということだ。違いを理解すれば、あるツールが実際にどのリスクに対処するのかを判断する助けになる。