LGPKI が WebTrust に合格

ゲスト

GPKI/LGPKI の認証局証明書を Mozilla 製品に同梱してもらうには WebTrust, ETSI
などのお墨付きをもらう必要がありますが、LGPKI のほうは合格したそうです。

【報道資料】地方公共団体組織認証基盤（LGPKI）における「WebTrust for CA」
　検証報告書の取得について (平成20年7月7日）
http://www.lasdec.nippon-net.ne.jp/cms/15,8150,38.html

地方公共団体における組織認証基盤 (LGPKI)
http://www.lgpki.jp/

これにともない、LGPKI の認証局証明書をダウンロードするセキュア接続の証明書が
自己署名証明書に切り替わり、Mozilla 製品では「例外に追加」しなければアクセス
できなくなってしまいました。
Mozilla 製品に LGPKI の認証局証明書を同梱してもらうには、所定の書式で bugzilla
に申請しなければなりません。
Mozilla Japan から LGPKI の担当部署に連絡をとって申請してもらうか、Mozilla
Japan が申請を代行しなければ、待っていても同梱されません。
dynamis さんから Mozilla Japan のしかるべきひとに連絡していただけませんか。

申請の書式は、挫折したフランス政府の例を参照してください。
Bug 368970 – Add French Government (DCSSI) CA certificate
https://bugzilla.mozilla.org/show_bug.cgi?id=368970

Mozilla CA Certificate Policy (Version 1.2)
http://www.mozilla.org/projects/security/certs/policy/

Pending Certificate List
http://www.mozilla.org/projects/security/certs/pending/

登録日: 2005年5月 27日 記事: 176 所在地: 東京

Bug 5363 - GPKI・LGPKI・JPKIなどのルート証明書をMozillaの証明書ストアに含めてほしい
http://bugzilla.mozilla.gr.jp/show_bug.cgi?id=5363

これですね。
1 年間動きなしですが、これで一歩前進と言ったところでしょうか？

# GPKI はどうした？

登録日: 2003年10月 05日 記事: 1744

dynamis＠遅くなりました m(_ _)m

もちろん本件は把握されていますし、関係者と打ち合わせなどもされています。
# というか、WebTrust 合格以前からやりとりはされています。

Mozilla のポリシーを満たすものが適切に手続きされれば承認されるし、そうでなければ承認されません。
私の立場で言えることはそれくらいです。m(_ _)m
# GPKI と2つに分裂してるのをどう説明することになるのやら…

何処とは言いませんが、他にもちゃんと認証局の申請ができずに Fx3 リリースに間に合わず困ってるところがあったりと、認証局周りは…

追記:
申請するのは LGPKI の方々で、Mozilla Japan は相談受けてる立場です。
# 代理申請する(できる)ようなたぐいの話じゃないですし
そのうち他の認証局同様に Bugzilla にバグがたつと思います。
GPKI についても Web Trust 取れ次第同じことになるかと。

ゲスト

GPKIもWebTrust for CAを取得したようです。
LGPKIのときと比べて情報がないなぁ。こことかこことか。

登録日: 2005年5月 27日 記事: 176 所在地: 東京

GPKI の認証局証明書が Firefox 3.6 で同梱されて久しいですが、結局 LGPKI は却下されたまま動きありませんねぇ
と古い話題をほじくり返してみる
この先どうなるんだろ？

登録日: 2005年5月 27日 記事: 176 所在地: 東京

Bug 5363 の方に書きましたが、GPKI のルート証明書が新しいものに切り替えられた (SHA1→SHA256) 影響で、GPKI 本体やらハロワやらの SSL なサイトが見れなくなってます。
GPKI の中の人の対応待ちって感じです。

Bug 870185 - Add Renewed Japanese Government Application CA Root certificate

LGPKI はどうなった/どうするんだろうなぁ…

ゲスト

Firefox/Thunderbird の PKI 周りは適切に訳されていなかったり英語のままだったり
するので、GPKI/LGPKI では使えないほうがむしろユーザーのためかもしれません。
不完全なまま放置された理由は、当時のオーナーだった dynamis さんが華麗にスルー
したからですが、わたしが５年前に投稿した“証明書ビューア☆たたき台”
http://forums.firehacks.org/l10n/viewtopic.php?t=2608
は回収したわけではないので、もしヤル気のあるメンバーが対処してくれるのなら
委ねます。

なお、Bug 867465 - Remove "Revocation Lists" feature により、証明書の失効
チェックは OCSP に一本化されました。
GPKI/LGPKI は仕様では OCSP をサポートするものの、現実には OCSP サーバーを
備えていません。
これでは、ルート証明書の新たな同梱は絶望的でしょう。

登録日: 2005年5月 27日 記事: 176 所在地: 東京

Bug 870185 は WONTFIX で閉じられました。

・GPKI の運用状況についての改善は認められた
・しかし、改善前に GPKI によって発行された既存のルート証明書/個別の証明書については、改善されたプロセスを経ていないため信頼することはできない
・今のルート証明書とは別のルート証明書を作成して、新たに申請せよ

といった結末です。