Search Posts

Visits: 754

情報源:PEPPOL Policy for Transport Security

課題(2021-07-16追記)

Peppolネットワークは公開鍵暗号基盤を使った電子証明書を利用して電子文書を送受信するサービスプロバイダーの正当性を保証して送受信する。このためオープンペポルが電子証明書の発行元(認証局)となり、各国の管理主体となるPeppolオーソリティーを経由してプロバイダーの正当性を証明する証明書を発行する。オープンペポルはシステム全体の信頼性を担保するため、アクセスポイントのサービスプロバイダー及び利用者に一定の参加要件を課している。そのために、各国のPeppolオーソリティーはサービスプロバイダーを審査する。
デジタル庁は、Peppolオーソリティーとしてアクセスポイントのサービスプロバイダーの電子証明書の発行依頼を受付け、オープンペポルをルートとするOpenPEPPOL証明書を発行させる。ただし、この通信では、インボイスの発行者や受信者の正当性は証明されないので、これとは独立して売り手と買い手の間のトラスト基盤を構築する必要がある。

— 2021-03-21 —

1.導入

PEPPOLのeDeliveryネットワークでは、2種類の電子証明書の管理が必要。

  1. サーバー認証とメッセージの機密性を保護するための標準ソリューションを提供するためにトランスポートレベルで使用されるTLS証明書
  2. アプリケーションレベルで使用されるOpenPEPPOL証明書。承認され、承認された実行者(Actor)のみがPEPPOLeDeliveryネットワーク内で動作していることを保証

TLS証明書は、OpenPEPPOLから提供されず、第3者の認証局が発行する。

2.トランスポートセキュリティのポリシー

2.1 承認された認証局

TLS証明書はOpenPEPPOLによって発行されないため、ガイドポリシーがないと、セキュリティリスクと実行者(Actor)間の信頼の問題が発生する。 信頼の問題は、かなり前からPEPPOL eDeliveryネットワーク内の問題であり、これらの問題を解決するために、OpenPEPPOLはTLS証明書の使用を次のように制限している。

ポリシー 1 承認された認証局

PEPPOL eDeliveryネットワークで使用されるそれぞれのTLS証明書は、「Mozilla NetworkSecurityServices」の「プリロードされたCA証明書のリスト」[CACERTS]の最新バージョンに含まれるルート証明書によってのみ(直接的または間接的に)発行される必要があります[ NSS]。
Each TLS certificate used in the PEPPOL eDelivery Network MUST be issued (directly or indirectly) only by a root certificate contained in the latest version of the “List of pre-loaded CA certificates” [CACERTS] of the “Mozilla Network Security Services” [NSS].

このポリシーに準拠するTLS証明書を使用し、このポリシーに準拠するTLS証明書のみが接続を許可されていることを確認するのは、PEPPOL eDeliveryネットワークの実行者(Actor)の責任。

ポリシー 2 自己署名証明書

自己署名TLS証明書の使用は禁止。
Self-signed TLS certificates are not allowed.

中間者攻撃(man-in-the-middle-attacks)が気付かれずに実行される可能性があるため、自己署名TLS証明書は許可されていない。

2.2 TLS要件

PEPPOL eDelivery Networkを安全に保つために、TLS構成は常に更新する必要がある。 TLS構成は、次のような領域をカバーする。

  • ソフトウェアバージョン(セキュリティパッチ)Software versions (security patches)
  • ハッシュアルゴリズム Hash algorithms
  • 鍵交換アルゴリズム Key exchange algorithms
  • 証明書の要件 Certificate requirements
  • 暗号スイート Cipher suites

ポリシー 3 TLS構成要件

SSL Labs [SSL-LABS]によると、TLS構成は常に少なくともグレード「A」である必要がある。
The TLS configuration MUST constantly be of at least grade ‘A’ according to SSL Labs [SSL-LABS].

このポリシーを頻繁に再発行することなく、TLS構成を最新に保つための要件に対処するために、SSLLabsが提供するサードパーティの分析ツールを使用してTLS構成を検証する。
SSL Labsで「A」未満に格付けされたすべての実行者(Actor)は、トランスポートインフラストラクチャ契約に関して「利用不可」と見なされる。
注:これは、PEPPOL eDeliveryネットワークでサポートされているすべてのトランスポートプロトコル(このドキュメントの執筆時点ではAS2およびAS4)のすべてのアクセスポイントに適用される。 これは、すべてのSMLインスタンスにも当てはまる。 SMPインスタンスは、TLS証明書を使用していないため、現在影響を受けていない。

2.3 TLS構成のカスタマイズ

ポリシー 4 TLS構成のカスタマイズ

このドキュメントのポリシーに違反する実行者(Actor)との通信を許可するために、TLS構成を変更してはならない。
TLS configurations MUST NOT be modified in order to allow communication with actors violating the policies of this document.

実行者(Actor)がこの文書に記載されているポリシーの一つにでも違反した場合、OpenPEPPOL運営当局に報告する必要がある。
実行者(Actor)がこの文書に記載されているポリシーの一つにでもに違反した場合、その特定の実行者(Actor)と通信するために構成を変更してはならない。