グーグル、「Chrome 67」でHPKPのサポートを廃止へ

　Googleは、ブラウザの「Chrome」でHTTP Public Key Pinning（HPKP：HTTP公開鍵ピンニング）のサポートを取りやめることを明らかにした。HPKPは、Googleのエンジニアがインターネット標準化団体のInternet Engineering Task Force（IETF）を通じて発表した標準規格だが、今では悪影響もあると考えられている。

提供：Google

　HPKPは「IETF 7469」として定められた標準規格で、認証局（CA）がハッキングされ、サイトのデジタル証明書が悪用されるリスクを減らすために考案された。このような悪用によって、攻撃者は暗号化されたTransport Layer Security（TLS）接続で中間者攻撃を実行できるようになる。

　HPKPを利用すると、ウェブサイトはブラウザに対し、特定のウェブサイトに属する公開鍵を一定の期間記憶（ピン止め）するよう指示できる。そうすれば、指定された期間中、ブラウザは他のすべての公開鍵を無視するようになる。

　現在、HPKPをサポートしているブラウザは、Chrome、「Firefox」、「Opera」のみだが、Chromeのセキュリティ担当チームは、「Chrome 67」でHPKPのサポートを取りやめる計画を明らかにした。Chrome 67の安定版がリリースされるのは、2018年5月29日頃の見込みだ。

　HPKPをめぐっては、これまで複数のセキュリティ研究者がさまざまな問題を指摘してきた。たとえば、サイト運営者が誤ってサイト訪問者をブロックしてしまったりする可能性があるという。

　Chromeのチームは開発者に対し、ピンではなく、Certificate Transparency（CT：証明書の透明性）と比較的新しいExpect-CTヘッダーと呼ばれる仕組みの利用を推奨している。