X.509証明書の失効

本記事は、インターネットの公開鍵基盤（PKI）における証明書失効メカニズムの根本的な問題について論じています。「失効は壊れている」というキャッチフレーズが示す通り、現在のX.509証明書失効システムは、現代のインターネット環境に適応していません。

具体的には、OCSP（Online Certificate Status Protocol）による失効確認の仕組みが必ずしも効果的に機能しておらず、サーバー側とクライアント側の責任分配に関する設計的な矛盾が存在します。さらに、DNSと同様にPKIもインターネット上で中央集約化された重要なインフラであり、これらが感染すれば、インターネット全体のセキュリティを脅かす危険性があります。

記事では、DANEなどの代替案も検討されていますが、実装の複雑性やDNSSECの普及率の低さなど、実装上の課題が多く残されています。これはセキュリティと実用性のバランスをどう取るかという、インターネット基盤設計の根本的な問題を浮き彫りにしています。