AppleのCertificate Transparencyログプログラム

AppleのCertificate Transparencyログプログラムのポリシーと、登録申請の方法についてご案内します。

AppleのCertificate Transparencyログプログラムの目標は、Appleのプラットフォームで信頼されているCertificate Transparency（CT）ログ（ログサーバ）一式を確立し、公的に信頼されているTLSサーバ認証証明書にSCT（Signed Certificate Timestamps：署名済み証明書タイムスタンプ）を付与することです。

プログラムのポリシーと条件

RFC 6962

AppleのCertificate TransparencyログプログラムにRFC 6962準拠のログ（ログサーバ）を登録申請するには、以下の条件を満たしている必要があります。

• RFC 6962に規定されている通りにCTを実装していること。

• 提示する複数のマークルツリー表示が、異なる時刻や異なる関係者に対して競合していないこと。

• Appleが定める稼働時間の要件（99%）を満たしていること（Apple独自の計測に従う）。

• 最大MMD（Maximum Merge Delay：最大マージ遅延）が24時間を超えて設定されていないこと。

• SCTを作成した証明書をMMDの時間内に登録すること。

• Appleのトラストストアに登録されているルートCA証明書をすべて信頼すること。

  • Appleのトラストストアに登録されていないその他のルートを信頼することもできます。

RFC 6962準拠のログ（ログサーバ）の条件として、以下が許容されています。

• 有効期限が終了している証明書を拒否すること。

• 失効した証明書を拒否すること。

• id-kp-serverAuth EKU（Extended Key Usage：拡張キー使用法）が含まれていないリーフ証明書を拒否すること。

  • ログ運営者は、運営するログが受け入れるリーフ証明書の種類を変更するような場合は、少なくとも45日前までに書面にてcertificate-transparency-program@group.apple.comに通知する必要があります。

STATIC-CT-API

AppleのCertificate Transparencyログプログラムにstatic-ct-api C2SP仕様に準拠したログ（ログサーバ）を登録申請するには、以下の条件を満たしている必要があります。

• Static Certificate Transparency API, v1.0.0に規定されている通りにCTを実装していること。

• 提示する複数のマークルツリー表示が、異なる時刻や異なる関係者に対して競合していないこと。

• Appleが定める稼働時間の要件（99%）を満たしていること（Apple独自の計測に従う）。

• 最大MMD（Maximum Merge Delay：最大マージ遅延）が1分を超えて設定されていないこと。

• SCTを作成した証明書をMMDの時間内に登録すること。

• Appleのトラストストアに登録されているルートCA証明書をすべて信頼すること。

  • Appleのトラストストアに登録されていないその他のルートを信頼することもできます。

static-ct-api C2SP仕様に準拠したログ（ログサーバ）の条件として、以下が許容されています。

• 有効期限が終了している証明書を拒否すること。

• 失効した証明書を拒否すること。

• id-kp-serverAuth EKU（Extended Key Usage：拡張キー使用法）が含まれていないリーフ証明書を拒否すること。

  • ログ運営者は、運営するログが受け入れるリーフ証明書の種類を変更するような場合は、少なくとも45日前までに書面にてcertificate-transparency-program@group.apple.comに通知する必要があります。

Appleのプラットフォームにおけるログの状態

Appleのプラットフォームに組み込まれたログは、以下のいずれかの状態になります。

Pending（保留中）

ログがAppleの信頼済みのログリストへの登録を申請済みで、まだ承認されていない状態です。保留中のログは、「currently qualified」（現在認定済み）または「once qualified」（過去に認定済み）とは見なされません。

Qualified（認定済み）

ログがAppleのプログラムで承認され、Appleのプラットフォームへの配備を予定されています。認定済みのログは、「現在認定済み」と見なされます。

Usable（利用可能）

このログが付与するSCTは、AppleのクライアントCTポリシーに準拠しており信頼できます。利用可能なログは、「現在認定済み」と見なされます。ログは、認定済みの状態が74日以上続くと、「qualified」（認定済み）から「usable」（利用可能）になります。

Readonly（読み取り専用）

ログはAppleのプラットフォームで信頼されていますが、読み取り専用です（例：ログが証明書申請の受け入れをやめた）。読み取り専用のログは、「現在認定済み」と見なされます。

Retired（引退）

ログは、特定の引退時のタイムスタンプまで、Appleのプラットフォームで信頼されていました。引退したログは、SCTが引退時のタイムスタンプの前に発行されたものである場合、「過去に認定済み」と見なされます。引退したログは、「現在認定済み」とは見なされません。

Rejected（拒否）

ログはAppleのプラットフォームで信頼されておらず、その予定もありません。拒否されたログは、「現在認定済み」または「過去に認定済み」のどちらにもなりません。

登録プロセス

ログがAppleのCertificate Transparencyログプログラムで承認された後、監視期間中に、そのログがAppleのポリシーに準拠しているかどうかが審査されます。この期間中、ログの状態は「pending」（保留中）になります。

Appleは、独自の裁量でログを拒否できます。その場合、そのログの状態は「rejected」（拒否）になります。この監視期間中に問題が見つからなかった場合、ログは承認され、この時点からその状態は「qualified」（認定済み）になります。

Appleは継続的にログを監視し、ログプログラムのポリシーに準拠しているかどうかを調べます。この間、ログの状態は「qualified」（認定済み）、「usable」（利用可能）、「readonly」（読み取り専用）、「retired」（引退）のいずれかになります。

ログはいつでもAppleの裁量で、またはログプログラムのポリシーから逸脱した結果、引退する可能性があります。その場合、ログの状態は「retired」になります。

登録申請

AppleのCTログプログラムへの登録申請は、以下の情報を添えて、certificate-transparency-program@group.apple.com宛にメールでお送りください。

• ログの説明（以下の情報を記載してください）

  • 証明書の受け入れに関するポリシー（ある場合）

  • 証明書の登録拒否に関するポリシー（ある場合）

  • サブジェクトDNとSHA256指紋ごとの受け入れ済みルート証明書のリスト

  • ログが準拠している仕様（RFC 6962またはstatic-ct-api）

• 公にアクセス可能なCTログサーバのURL（HTTP）

• ログの公開鍵（SubjectPublicKeyInfo ASN.1構造体のDERエンコーディング形式）

• ログのMMD.

• ログが受け入れる、時間で分割された証明書の有効期限の範囲

  • end_exclusive の値：ISO 8601規格に基づいたUTC形式の日時

  • start_inclusive の値：ISO 8601規格に基づいたUTC形式の日時

• 連絡先情報（運営者の事業窓口2つと代表連絡先2つのメールアドレスと電話番号を含む）