恐怖のSha-1廃止
すでに２０１６年も終わるころなので、この話題はすでにHOTではありませんが、シャノンのSha-1からSha-2への切り替えオペレーションを振り返りたいと思います。
今更ですが！
※この記事は２０１６年１２月２４日に書いたことになっています。
Sha-1が廃止されるとなにが起こるか（起こったか）
もはやセキュアではないと多くのエンジニアが考えているSha-1。これが廃止されるとあなたのサイトに接続できなくなります。廃止以前であっても、警告文などが出て、それを見たユーザは、自分の大切な情報を入力するのを躊躇う筈です。
Sha-2に切り替えたとしても古いガラケーやスマフォからの接続ができなくなります。あなたのサイトが正常に表示されるかどうかのテストも必要かもしれません。
※出典：グローバルサイン https://jp.globalsign.com/sha256/ssl/supported.html
悪いことばかりでもない
とはいえSIerはもちろん、我々自社サービスを提供する会社においても、古すぎるエンドユーザ環境にどこまで付き合えば良いのかはとても難しい問題です。筆者もSier時代にIE6の対応をユーザに求められて苦しんだ記憶が鮮明に残っています。古いほうに合わせてより無難な、しょぼく、重くなった生産物を見てきました。
そういった不幸を解決したともいえるかもしれません。問答無用で接続できなくなる措置を発表して実行するなんて流石です。さすが宗主国アメリカ様です。これで古すぎるバージョンのブラウザに対応しなくてはいけなかった多くの開発者が救われました。ユーザのいうことは神託と同義であると思っている顧客もアメリカ様のいうことには頭が上がりません。極東の島国には到底不可能なことを 平然とやってのける のです。
※個人の感想です。
シャノンでの対応
弊社では当時１５０ほどのSSLを管理していました。最初に影響があったのは2015年春にリリースしたChromeのver.41で、有効期限が2016年1月1日以降のSha-1SSL証明書についてはブラ
切り替えステップ１ 既存サイトのテストと顧客周知期間の確保 SSL期限の調整
テスト期間と顧客周知は全体で２０１５年中を設定しました。図のSSL-Aの場合は顧客周知期間が３クオーターあって余裕があるのですが、SSL-Dのパターンだと、１クオーターしかありません。このパターンの洗い出しをして、テストと周知を急ぐ必要がありました。
パターンBのように２０１５年１月中に切れるものは、テスト期間と周知期間が足りないため、GMOの無料延長３０日間を削って、SSL-Cのように期限日を２０１５年１２月３１日に設定して来るXデーに引っかからないように調整しました。
こうした取り組みにより、一番短いものでも２か月半のテスト・周知期間を確保することができました。
検証環境についてですが、我々サービスはユーザ毎の本番環境に無料で１つ共通ドメインの検証環境を作成できるので、こちらをSHA-2にして、事前に顧客に確認してもらうことが可能でした。
切り替えステップ２ 更新タイミングでsha-2への切り替え
テスト期間の短いものを重点監視し、終わったことを確認して期限の来たSSLを順次Sha-2に更新していきます。事前に計画を立てて実行するだけなので、この段階ではだいぶ気が楽です。期限に余裕があるものなのにぎりぎりまで確認が行われていないものは周知済みであるにもかかわらず顧客とのインターフェースを全うしていない該当担当者の責任です。担当者の責任です。 担当者の責任です。切り替えステップ３ 例外SSLを期限直前にsha-2へ再発行して手動で切り替え
ステップ２で漏れたもの、例えば２年以上の期限を持つSSLを再発行（GMOでは無料で人を介さず再発行ができました）して置き換えました。上記以外でも顧客側で取得したSSLがありましたが、こちらについてはSha-2への切り替えを推奨する案内を出しました。シャノン管理外なので、強制できないのでこれに関しては一部警告が表示されるサイトも出たりしましたが、概ね影響なく移行できたと思います。
さいごに
こういったことは、今後も発生することが予想されます。Sha-2はもはやセキュアではない！ とか。。 （当分ないか）一度うまくいったオペレーションは使いまわしがきく可能性があるので、しっかりドキュメントに残しておくとよいですね！
2017年2月27日追記
もはやSha-1がセキュリティではないと考えられる下記発表がありました。
2017年2月24日 19:45
【Google社発表のSHA-
https://jp.globalsign.com/
