風が吹けばWHOISが使えなくなる～なぜWHOIS・RDAPはサーバー証明書のメール認証に使えなくなったのか～

by Yasuhiro Orange Morishita / 森下泰宏

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

本日の内容 • 2025年7月15日から、サーバー証明書の発行におけるドメイン名管理権限確認（DCV）の参照先として、WHOIS・RDAPのコンタクト情報を使うことができなくなりました*1。 – できなくなった方法：認証局が発行要求を受け取ったドメイン名のWHOIS・RDAPを参照して、そのコンタクト情報の電子メールアドレスにランダムな内容が書かれているメッセージを送り、メッセージを受け取った申請者が認証局にその内容を伝える • そのきっかけは、2024年9月にドメイン名業界で発生した、とある事件でした。 • 今回はこの事件から使用禁止までの経緯について、コンパクトに話します。 Copyright © 2025 Yasuhiro Orange Morishita 3 *1 Ballot SC080v3: Sunset the use of WHOIS to identify Domain Contacts and relying DCV Methods

Slide 4

Slide 4 text

第1幕：.mobiのシステム改修 • 2022年に.mobiのレジストリがシステムを改修し、サービス用のドメイン名を dotmobiregistry.netから、nic.mobiに変更しました。 – .mobiのレジストリはICANNとの契約通り、IANAの登録情報を更新していました。 • しかし、同社は変更前のドメイン名を維持せず、 2023年12月に dotmobiregistry.netは期限切れになり、誰でも登録可能になりました。 Copyright © 2025 Yasuhiro Orange Morishita 4 TLDのWHOISサーバーが変更された場合、クライアントはIANAの登録情報を参照して、新しいWHOISサーバーにアクセスする必要があります。 RDAPには、サーバーを自動追尾する仕組みがプロトコルに含まれています。

Slide 5

Slide 5 text

第2幕：セキュリティ研究者の気づき • この状況を発見したセキュリティ研究者が、2024年8月に dotmobiregistry.netを、20米ドルで再登録しました。 • セキュリティ研究者が試しに、.mobiの公式WHOISサーバーだった whois.dotmobiregistry.netでWHOISサーバーを立ち上げたところ、世界中の多数のIPアドレスからアクセスされていることが判明しました。 • それらのIPアドレスには、ある大手認証局のものも含まれていました。 Copyright © 2025 Yasuhiro Orange Morishita 5

Slide 6

Slide 6 text

第3幕：セキュリティ研究者のドヤり • これに注目したセキュリティ研究者が、このWHOISサーバーに偽のコンタクト情報を設定して、アクセスのあった認証局に証明書の発行を申請したところ、その認証局は任意の.mobiドメイン名の証明書を不正発行してしまう状態になっていたことが判明しました。 • セキュリティ研究者は「もう1クリックすると偽のコンタクト情報の電子メールアドレスに発行確認のメールが送られる」状態で作業を中断したため、証明書は発行されませんでした。 • セキュリティ研究者が、この状況をブログで公開しました*1。 Copyright © 2025 Yasuhiro Orange Morishita 6 *1 We Spent $20 To Achieve RCE And Accidentally Became The Admins Of .MOBI

Slide 7

Slide 7 text

第4幕：サーバー証明書業界への飛び火 • ドメイン名業界・DNS業界では「またドロップキャッチ案件か」「やらかしたのはよりによってレジストリか」「証明書を不正発行されても、BGPやDNSをひねらないと使えないよね」ぐらいの反応でした。 • しかし、サーバー証明書業界では証明書全体の信頼を揺るがす深刻な問題と捉えられ、関連するコミュニティのフォーラムで火の手が上がりました。 Copyright © 2025 Yasuhiro Orange Morishita 7

Slide 8

Slide 8 text

第5幕：炎上するフォーラム • フォーラムで別のセキュリティ研究者が、多くのccTLDではWHOIS・RDAPの提供や情報の正確性の担保が契約で義務付けられていないことと、実際に WHOISが十分に機能していないTLDが複数存在することを指摘しました。 • その結果、コミュニティのメンバーにWHOISの信頼性そのものに対する疑義が生じ、WHOISの使用を全面的に禁止する形で、方向性が定まりました。 • WHOIS・RDAPの使用を信頼できるTLDのみに限定する案も出されましたが、認証方式を複雑にすべきではないという観点から、採用されませんでした。 Copyright © 2025 Yasuhiro Orange Morishita 8

Slide 9

Slide 9 text

第6幕：Googleの処断と情状酌量 • 当初、フォーラムには2024年11月1日からWHOISの使用を禁止するという過激な提案が、Googleの担当者から出されました。 • しかし、システム改修や顧客対応に必要な期間を考慮してほしい旨の嘆願書意見が認証局の担当者から出された結果、以下の2段階に提案が改訂され、投票による多数決で決定されました。 – 2025年1月15日から、WHOIS・RDAPの使用時にIANAの情報を参照して、 TLDごとのアクセス先を決定することを義務付ける – 2025年7月15日から、WHOIS・RDAPの使用を禁止する Copyright © 2025 Yasuhiro Orange Morishita 9 ということで、ドメイン名業界で風が吹いてサーバー証明書業界で火の手が上がった結果、WHOISはメール認証に使えなくなりました。

Slide 10

Slide 10 text

第7幕：ICANNの後始末 • ICANNは今回の件を受け、WHOISサーバーのドメイン名を運用終了後も無期限に維持することを強く推奨する旨の通知文書を、2025年1月24日にすべてのgTLDレジストリ・レジストラに送付しました。 • なお、gTLDでは既にWHOISはレジストリ・レジストラの義務ではなくなっており、提供を終了するレジストリ・レジストラも現れ始めています。 – gTLDではRDAPの提供が義務付けられており、ICANN Lookupで検索できます。 Copyright © 2025 Yasuhiro Orange Morishita 10 ICANN：Notice: Rogue WHOIS Server Exploit ICANN Lookup

Slide 11

Slide 11 text

予告：メール認証に関するその後の動き • 証明書の発行・更新の自動化・MPIC*1・失効期限遵守の厳格化の対応を進めるため、それらへの対応が難しいメール認証を段階的に全面廃止する提案の草案が、 2025年7月12日にGoogleの担当者から公開されました。 • もしかすると、メール認証そのものも風前の灯なのかもしれません。 Copyright © 2025 Yasuhiro Orange Morishita 11 Exploring an alternative approach to the Validation Summit *1 証明書発行時のドメイン名の権限確認の手順に別拠点からの確認を追加する仕組み。DNS認証・ファイル認証に対応。