Google ChromeブラウザにおけるEntrust発行TLSサーバー証明書の信頼喪失について

お客様各位

平素より弊社CDN(プラン２: Akamai)をご利用いただきまして誠にありがとうございます。

[影響のあるお客様]
Akamaiエッジサーバーまたはお客様オリジンにてEntrust発行のTLSサーバー証明書をご利用のお客様

[概要]
GoogleはGoogle Chromeブラウザが2024年10月31日以降、Entrust (および同社のAffirmTrustブランド) が
発行したTLSサーバー証明書を信頼しないことを発表しました。

Google Chromeブラウザを使用しているユーザーが、2024年10月31日以降にEntrustが発行したTLSサーバー証明書で
保護されたサイトに接続しようとすると、エラーメッセージが表示されるようになります。
2024年10月31日以前に発行されたEntrust証明書を使用しているサイトは、証明書の有効期限が切れるまで引き続き機能します。

現時点においては他の主要なブラウザである Apple Safari、Microsoft Edge、Mozilla Firefoxは、Entrustが発行した証明書の信頼についての変更を発表しておりません。

ChromeによるEntrust証明書の信頼性の低下は、サードパーティー証明書の持ち込みではないAkamai管理のDV、OV、EV証明書には影響いたしません。
また、EntrustおよびAffirmTrust以外の認証局（CA）からのサードパーティ証明書に影響はございません。

Googleからの発表の詳細については、以下の記事をご参照ください。

Google Online Security Blog:Sustaining Digital Certificate Security-Entrust Certificate Distrust
https://security.googleblog.com/2024/06/sustaining-digital-certificate-security.html


■Akamaiの対応について

AkamaiはEntrustが発行したサードパーティー証明書として既にエッジサーバーに導入済みの証明書に対して何も変更を行いません。
Entrustが発行したすべての証明書は、発行日にかかわらず、有効期限が切れるまでアカマイの証明書管理システムで使用し続けることができます。
ただし、EntrustおよびAffirmTrustルート証明書によって発行されたすべての証明書をできるだけ早く置き換えて、
Google Chromeクライアントへの安全なトラフィック配信の中断を回避することをお勧めいたします。

Akamaiエッジサーバーからお客様オリジンへの接続では、AkamaiプラットフォームはEntrustおよびAffirmTrustルートによって署名された証明書を当面の間信頼しますが、AkamaiはChromeの信頼性喪失日から4か月後に、すべてのEntrustおよびAffirmTrustルート証明書をAkamaiTrustストアから削除して信頼しなくなる予定です。
現時点では、2025年3月1日以降、Akamaiはオリジン接続に対してEntrustまたはAffirmTrustが発行する証明書を信頼しなくなる見込みです。
この変更は発行日に関係なく、EntrustおよびAffirmTrustによって発行されたすべてのオリジン証明書に影響します。


2025年3月1日にAkamai Trust storeから削除される特定のルート証明書:

C=US, O=AffirmTrust, CN=AffirmTrust Commercial
C=US, O=AffirmTrust, CN=AffirmTrust Networking
C=US, O=AffirmTrust, CN=AffirmTrust Premium
C=US, O=AffirmTrust, CN=AffirmTrust Premium ECC
C=US, O=Entrust, Inc., OU=See www.entrust.net/legal-terms, OU=(c) 2009 Entrust, Inc. - for authorized use only, CN=Entrust Root Certification Authority - G2
C=US, O=Entrust, Inc., OU=See www.entrust.net/legal-terms, OU=(c) 2012 Entrust, Inc. - for authorized use only, CN=Entrust Root Certification Authority - EC1
C=US, O=Entrust, Inc., OU=See www.entrust.net/legal-terms, OU=(c) 2015 Entrust, Inc. - for authorized use only, CN=Entrust Root Certification Authority - G4
C=US, O=Entrust, Inc., OU=www.entrust.net/CPS is incorporated by reference, OU=(c) 2006 Entrust, Inc., CN=Entrust Root Certification Authority
O=Entrust.net, OU=www.entrust.net/CPS_2048 incorp. by ref. (limits liab.), OU=(c) 1999 Entrust.net Limited, CN=Entrust.net Certification Authority (2048)


■お客様側のご対応について

-　Akamaiエッジサーバーでご利用の場合：
トラフィックの中断を回避するには、EntrustとAffirmTrustによって発行されたすべての証明書を置き換える必要がございます。
サードパーティー証明書としてAkamaiエッジサーバーに当該証明書を導入されている場合は、NTTコミュニケーションズCDNクエリ担当（cdn-query@ntt.com）までご相談ください。

-　オリジンサーバーがEntrustまたはAffirmTrustによって発行された証明書を使用している場合：
オリジン証明書が2024年10月31日以前の発行の場合でも、できるだけお早めに、必ず2025年3月1日より前に置き換える必要がございます。NTTコミュニケーションズCDNクエリ担当（cdn-query@ntt.com）までご相談ください。


本件につきましては、以下の記事をご参照ください。
https://community.akamai.com/customers/s/article/Entrust-certificate-distrust-2024?language=en_US

ご理解を賜りますよう、どうぞ宜しくお願い申し上げます。

<お問合せ先>

障害に関するお問い合わせ: cdn-trouble@ntt.com
CDN全般についてのお問い合わせ: cdn-query@ntt.com