スタートアップに在籍していたころ、運営していたサイトにユーザーが突然アクセスできなくなり、利用できない状態になったことがある。システム障害？それともインフラ障害？さまざまな可能性を考えたが、原因は単なるSSL/TLS証明書の期限切れだった。インターネット事業をしていれば、ドメインを購入することは誰もが知っているが、SSL/TLS証明書を管理しなければならないとは、なかなか思い至らない。このセキュリティ証明書は、多くの会社で開発チームが自前で管理していることが多い。特に初期のスタートアップでは入社・退社が頻繁に起こるため、管理の担い手がいなくなり、結局事故が起きるケースが多い。
人の単純なミスであるSSL/TLS証明書の期限切れは、スタートアップだけの問題だろうか？そうではない。最近、グローバルCDN事業者であるjsDelivr - A free, fast, and reliable CDN for JS and open sourceでも、SSL証明書が期限切れとなり、サービス停止に至る事故が発生した。以下は、このサービスを利用する開発者やユーザーからの苦情である。
SSL/TLS (Secure Sockets Layer/Transport Layer Security) 証明書は、現代のインターネットで安全な通信を可能にする中核的な要素である。しかし、こうした証明書は期限が切れると、サイトやアプリケーションのセキュリティに深刻な脅威をもたらしかねない。そのため最新のブラウザーは、証明書の期限が切れたサイトへのアクセスを完全にブロックして接続できないようにし、サービスに障害が発生したものとみなされるのである。
周囲のスタートアップの代表や開発者の方々に尋ねたところ、意見は半々だった。「必要だ」対「人が見落としたなら人の問題だ」で意見が分かれた。ほとんどの会社がGoogleカレンダーや個人用の通知アプリを使っているが、これも個人に頼ったプロセスであり、見落とせばすぐに事故につながる。担当者は多くの業務の中で、証明書やドメインの管理を副業のように担当していることが多い。この業務をきちんとこなすのは当たり前のことであるため、結局は重要な業務から外され、見落としが起きるのは避けられない。
また、SSL証明書の有効期間はどんどん短くなっている。2012年の5年間と比べると、現在はその5分の1の1年にまで短縮された。まもなく3か月に短縮されれば、自動化された証明書の更新プロセスが欠かせなくなる。
解決のためには、管理、通知、プロセスが必要である。
SSL/TLS証明書の期限切れは、オンラインのセキュリティに深刻な脅威をもたらし、事業の停止という致命的な問題を引き起こす。したがって、早期の対応と定期的な管理が欠かせない。証明書の期限切れを防ぎ、管理するためには、定期的なモニタリングと自動化ツールの活用が重要である。これによって、ユーザーの個人情報を保護し、オンラインのセキュリティを維持するのに役立つだろう。SELLEASEのSafeNotiを使えば、ビジネスの中断を防ぎ、体系的に管理できる。SELLEASE(Sellease) SafeNoti
