Microsoft SmartScreen と Extended Validation (EV) コード署名証明書

先日、Symantec (英語) と DigiCert (英語) という 2 つの証明機関 (CA) から、EV コード署名証明書の導入が発表されました。この 2 社の発表は、詐欺行為を減らし、信頼性を高めるために役立つもので、ユーザーと企業の両方にとって明るい展開と言えます。今回は、これが Microsoft の SmartScreen と Windows 8 アプリケーション エコシステム全般にとってどのような意味を持つかについて、少し詳しくお話ししたいと思います。

Windows ストアと Windows 8 アプリ

Windows ストアと Windows 8 アプリケーションへの参入は、開発者にとって、アプリを配布して収益を得る絶好のチャンスとなります。Windows 8 アプリケーションは、Windows ストアの開発者登録とアプリケーション レビュー プロセスに合格する必要があります。このプロセスは、ユーザーが安心して購入できるようにすると同時に、インストール プロセスをできるだけスムーズにする目的で設計されています。Windows 8 アプリケーションは、SmartScreen アプリケーション評価チェックや警告の対象にはなりません。これらのアプリは、Windows ストアによって直接レビューされ、コード署名され、ライセンスされ、配布されます。

デスクトップ アプリ

デスクトップ アプリケーションが引き続き Windows エクスペリエンスの重要な部分を占めることに変わりはなく、Microsoft では、デスクトップ エクスペリエンスとユーザーの安全を確保することに力を注いでいます。ユーザーがインターネットからアプリケーションをダウンロードするときには、常に Internet Explorer (IE) が使われるとは限りません。そこで Windows 8 では、インターネットからダウンロードしたアプリケーションを初めて起動するときに、SmartScreen によるアプリケーション評価チェックが実行されるようになっています。

SmartScreen が IE 限定の機能からシステム レベルの機能に進化したことは、Windows ユーザーにとって大きな意味のある改良点です。この機能は、IE9 で驚くほどの効果を上げたことが確認されています (詳しくはこちら (英語) とこちら (英語) をご覧ください)。この新しいエクスペリエンスのおかげで、何億人ものユーザーがマルウェアへの感染を未然に防ぐことができました。この保護機能を、ブラウザーの選択にかかわらず Windows ユーザーの皆さんに提供できるのはすばらしいことと思います。IE9 のアプリケーション評価機能とデータ モデルの詳細については、こちらの記事 (英語) をお読みください。Windows 8 のセキュリティ機能と安全機能 (Windows SmartScreen を含む) の詳細については、こちらの記事をお読みください。

SmartScreen アプリケーション評価の統合が強化されるということは、デスクトップ アプリの開発者にとって、コードに署名して評価を確立するメリットが大きくなるということでもあります。以前に私たちは、評価の確立とプログラムの信頼性の証明のために、コードへのデジタル署名が重要であるというお話をしたことがあります。喜ばしいことに、この呼びかけに開発者コミュニティが応えてくれました。IE9 での SmartScreen アプリケーション評価のリリース以降、署名付きのダウンロードは全体で 10% ほど増加し、IE9 RTM では 73% でしたが、現在は 83% を超えています。

以前に説明したとおり、SmartScreen では、個々のプログラムと、そのコードの署名に使われた証明書の両方に対して評価が構築されます。コード署名は、私たちの評価システムにとって重要な意味を持ちます。この上位の ID を利用すると、1 つの発行元によって署名された複数のプログラムについて評価を構築できるようになるためです。これは発行元にとっても重要です。署名されたプログラムは、その署名に使われた証明書の評価を引き継ぐからです。つまり、同じ発行元から発行されるプログラムでは、個々に評価を構築する必要はないということです。

EV コード署名

このたび Microsoft では、コード署名に関する重要な機能拡張として、EV コード署名証明書のサポートを発表しました。EV コード署名証明書は、Internet Explorer 9、Internet Explorer 10、および Windows 8 の SmartScreen アプリケーション評価テクノロジに統合されます。

Microsoft では、過去数年にわたって CA 業界と協力し、EV コード署名証明書の実現に向けて取り組んできました。このコード署名標準には、安全性と本人確認という点で重要ないくつかの機能強化が含まれています。第一に、現在使われている EV SSL 証明書と同様の、より厳密な検査と認証のプロセスが必要となります。このプロセスでは、それぞれの開発者について包括的な本人確認と認証のプロセスが要求されます。第二に、EV コード署名証明書では、アプリケーションに署名するためのハードウェアを使う必要があります。このハードウェア要件は、コード署名証明書の盗用や不正使用を防ぐ二重の保護として役立ちます。

EV コード署名証明書で署名されたプログラムは、そのファイルまたは発行元の評価がまだ存在しない場合でも、すぐに SmartScreen 評価サービスで評価を確立することができます。その他の要素は、評価が生成され、製品エクスペリエンスが決定されるときに検討されます。EV によって署名されたプログラムは、長期的に詳しく観察されることになります。証明書の調査とセキュリティが強化されることは、ユーザーと開発者の双方にとって大きな進展と言えるでしょう。

現在、EV コード署名証明書の発行は、Symantec 社 (英語) と DigiCert 社 (英語) によって開始されています。SmartScreen との統合も既に有効になっています (IE9、IE10、Win8)。

SmartScreen が開発者に証明書の購入を強制しているという批判もあるかもしれません。しかし、SmartScreen での評価を構築または維持するうえで、EV コード署名証明書は必須ではないことを強調しておきたいと思います。標準のコード署名証明書で署名されたファイルでも、署名のないファイルでも、評価の構築は続行され、その場合は昨年 IE9 に導入されたアプリケーション評価と同様の方法が使われます。ただし、EV コード署名証明書の存在は、そのファイルが厳密な検証プロセスに合格したエンティティによって署名され、かつ特別なハードウェアを使って署名されたという強力な証拠となります。これによりシステムでは、署名のないプログラムや EV コード署名では署名されていないプログラムよりも早く、そのエンティティに対する評価を確立することができます。

ベスト プラクティス

開発者の皆さんには、これまでのブログ記事で提案してきたベスト プラクティスに今後も従っていくことをお勧めします。私たちは、これまでのガイダンスへの追加事項として、Windows ストアを通じてアプリを配布するという項目と EV コード署名の項目を付け加えました。

• Windows ストアを通じてアプリを配布する
  Windows 8 アプリケーションは、Windows ストアの開発者登録とアプリケーション レビュー プロセスに合格する必要があります。Windows 8 アプリケーションは、Windows 8 の SmartScreen アプリケーション評価チェックや警告の対象にはなりません。

• プログラムにデジタル署名する (標準または EV コード署名)
  評価の生成と割り当ては、特定のファイルだけでなくデジタル証明書に対しても行われます。デジタル証明書を使うと、多数のプログラムに個別にデータを割り当てるのではなく、データを集約して 1 つの証明書に割り当てることができます。これは必須ではありませんが、EV コード署名証明書で署名されたプログラムは、そのファイルまたは発行元の評価がまだ存在しない場合でも、すぐに SmartScreen 評価サービスで評価を確立することができます。EV コード署名証明書には一意の ID が含まれているため、証明書の更新前後で評価を維持することも簡単です。評価を確立できるのは、Windows ルート証明書プログラムに参加している CA から発行された Authenticode 証明書だけです。

  現時点では、Symantec 社 (英語) と DigiCert 社 (英語) が EV コード署名証明書を提供しています。

• 悪意のあるコードの署名や配布を行わない
  悪意があると見なされるコードを配布すると、ファイルから評価が削除されると共に、関連するデジタル証明書からもすべての評価が削除されます。これは EV コード署名証明書で署名されている場合でも同様です。

• Windows ロゴまたは Windows 8 デスクトップ アプリ認定を取得する
  これらのプログラムについて詳しくは、次のリンク先を参照してください。

  • Windows 8 デスクトップ アプリ認定 (英語) (Windows ストアへの提出に必須)
  • Windows ロゴ プログラム

私たちは今回、EV コード署名証明書が利用可能になったことを発表できて嬉しく思っています。そして間もなく登場する Windows 8 で、より幅広い Windows ユーザーの方々に SmartScreen アプリケーション評価をお届けできることを楽しみにしています。

— SmartScreen 担当リード プログラム マネージャー Jeb Haber

Comments

• Anonymous
  August 17, 2012
  Windows 7向けのIE10はいい加減、詳細くらい情報出せよ。 こんなくだらん情報なんて正直、どうでもいい人がほとんど。

• Anonymous
  August 21, 2012
  CSS関連の翻訳をおねがいします。 そして英語版のコメント欄にも多いのですが、Windows 7向けのIE10を早いうちに発表リリースしてください。