本文へ
ハクソク

世界を動かす技術を、日本語で。

Let's Encryptがドメイン検証のために2つの追加のリモート視点を導入します

元記事: 原文(community.letsencrypt.org)

概要

Let's Encryptは 新たなリモート視点 を追加し、 ドメイン認証のセキュリティ を強化します。 これは Baseline Requirements （BR）の要件に基づく対応です。 合計7つの視点から認証リクエストを行い、 BGP攻撃対策 を強化します。 ユーザーへの影響はほぼありません。 2026年10月27日からステージング、11月10日から本番展開予定です。

Let's Encryptによるマルチパースペクティブドメイン認証の強化

  • Let's Encryptが 新たに2つのリモート視点 （remote perspectives）を追加

  • 目的は ドメイン認証のセキュリティ向上 および Baseline Requirements （BR）への準拠

  • BR 3.2.2.9 Multi Perspective Issuance Corroborationの要件

    • 2026年12月15日より有効
    • 5つ以上のリモートネットワーク視点 の利用が必須
    • Quorum Requirements Table で定義された要件の遵守
    • リモート視点は 2つ以上の異なるRegional Internet Registries のサービス地域に分散
    • 要件未達の場合、証明書発行は不可

  • 新しい認証方式の流れ

    • 認証リクエストは 合計7回 実施
      • プライマリデータセンター から1回
      • 6つのリモート視点 から6回（従来は4回）
    • 認証成功には プライマリサーバー と リモート視点のクォーラム が正しいチャレンジレスポンスを受信する必要
    • これにより BGPハイジャックなどの攻撃耐性 が向上

  • 参考情報

    • マルチパースペクティブ認証の詳細は Let's Encrypt公式ブログ にて案内

  • ユーザーへの影響

    • ほぼ影響なし、通常通り利用可能

  • スケジュール

    • 2026年10月27日 ：新方式をステージング環境で開始
    • 2026年11月10日 ：本番環境にてロールアウト予定
    • 進捗やアップデートは 公式スレッド で随時告知

  • まとめ

    • セキュリティ強化と業界基準への対応
    • 利用者は特別な対応不要
    • 今後のアップデートも注視推奨

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

: https://ipinfo.io/blog/rpki-protects-70-internet-routes

└

70%の普及率って、必須の検証要素としてはまだまだ足りない気がする。インターネットの約3分の1にとっては、かなりの混乱を引き起こすだろうね。

└

異なるネットワークに複数の権威あるDNSサーバーを持つのが、これに役立つかもしれないと思う。CAが複数の権威あるDNSサーバーを持つドメインの状況にどう対処しているのかは分からないけど、全てのサーバーが期待通りの応答をするわけじゃないよね。CAが全ての権威あるDNSサーバーに問い合わせて、一貫した回答を求めるのはいい考えだと思う？

└

jabber.ruの攻撃もあったよね。攻撃者がサーバーのネットワークケーブルを物理的に傍受して、自分で証明書を発行したんだ。

└

RPKIは残念ながら、政府の検閲手段としても使われる二重目的なんだ。オランダ政府（アメリカに従属しているオランダ）にとって、ロシアのネットワークのRPKIレコードの公開をRIPE NCCにやめさせるのは簡単なことだし、もしその時RPKIが義務化されていたら、ロシアはインターネットから切り離されてしまうだろうね。

└

ハイジャッカーは実質的にドメインの管理権を確立したんだ。私の考えでは、それは適切に発行された証明書だよ。ドメインコントロール証明書の発行において、CAがドメイン所有者の身元を確認したり、同意を得たりすることは期待されていないからね。

└

うん、いろんな視点からチェックするのはいいアイデアだけど、結局は欠陥のあるシステムの上にバンドエイドを貼ってるだけだよね。適切に設計された解決策は、最終的にはドメイン所有権の暗号的証明に基づくべきだと思う（DNSSECを通じて、または似たような方法で）。RPKIも私の好みにはちょっと間接的すぎる気がする（BGP攻撃を修正するけど、他のドメインハイジャックの形態には隙間を残す可能性がある）。実際にはこれで十分かもしれないけど、セキュリティオタクの私としては、全体的に雑な感じがして反発を覚えるよ。

└

ルートハイジャックはRPKIが有効だったよ。彼らはHetznerのASをAS_PATHに偽装して、HetznerはROAで最大長を/24に設定してたからね。（https://bgp.tools/rpki-history?cidr=162.55.0.0%2f16&asn=2494...）個人的には、CAAレコードの使用を奨励するのが本当の解決策だと思う。できればaccounturiパラメータも含めてね。

└

RPKIの検証を「必須」にして、複数の検証ソースを積み重ねるのではなく、ASPAの検証を[1] [1] https://blog.apnic.net/2026/07/09/aspa-at-apnic-strengthenin...

HTTPSを有効にするのが難しくて高額だったなんて、Let’s Encryptが登場する前は信じられないよね。スノーデンの暴露があったからこそ、なんだけど。

└

これを読むまでは、スノーデンがLet’s Encryptの動機になっていたとは考えもしなかったな。

└

スノーデンとLet’s Encryptはどう関係してるの？

Hacker Newsで議論の続きを見る

同じ出典の記事