無料のSSL/TLS証明書を提供する認証局（CA）であるLet's Encryptは、マルチパースペクティブ・ドメイン検証プロセスを拡大します。2026年後半から、同組織はドメイン所有権を検証するために使用するリモートネットワークパースペクティブの数を増加させます。この動きは、CAに対して少なくとも5つのリモートネットワークパースペクティブを使用したマルチパースペクティブ発行照合を実装することを義務付ける、更新されたBaseline Requirementsへの準拠の必要性によって推進されています。
この画像は、ドメイン検証のためのリモートネットワークパースペクティブの拡大に関する発表の主要な視覚資料として機能します。
マルチパースペクティブ検証は、攻撃者がインターネットルーティングを操作してドメインの証明書をハイジャックするのを防ぐために設計されたセキュリティメカニズムです。標準的な検証では、CAは単一の場所からドメインを確認する場合があります。しかし、攻撃者はBorder Gateway Protocol（BGP）ハイジャックを使用して、その特定の場所からのトラフィックを悪意のあるサーバーにリダイレクトする可能性があります。複数の「パースペクティブ」（異なる物理的な場所から発生し、異なるネットワークルートを経由するリクエスト）を使用することで、CAはこれらのリクエストの過半数が正しいチャレンジレスポンスを受け取ることを保証します。攻撃者が一つのパースペクティブのルートをハイジャックした場合でも、他のパースペクティブは依然として正当なサーバーに到達するため、検証は失敗し、不正な証明書の発行が阻止されます。
更新されたプロセスでは、プライマリデータセンターから1つ、およびリモートパースペクティブから6つ（以前の4つから増加）の、計7つの検証リクエストが含まれます。新しい要件を満たすために、これらのリモートパースペクティブは、少なくとも2つの異なる地域インターネットレジストリ（RIR）のサービス地域内に含まれている必要があります。Let's Encryptは、2026年10月27日にこれらの新しい地域のステージングを開始し、2026年11月10日に本番への展開を予定しています。この変更は、高度なネットワークレベルの攻撃に対する可視性と保護を向上させるための技術的な必要性であり、CAはエンドユーザーの体験への影響はほとんど、あるいは全くないと考えています。マルチパースペクティブ検証は攻撃者に対するハードルを大幅に高めますが、絶対的な保証ではありません。過去の事例では、高度なBGPハイジャックがインターネットのルーティングテーブルの十分に大きな部分に同時に影響を与えた場合、依然として時折成功することが示されています。この継続的な課題の証拠は、ネットワークの観測地点の多様性を高めることが、なぜCAにとって重要な防御戦略であり続けるのかを浮き彫りにしています。