この記事は後半です。前半は Qiita にあります: Let’s Encryptが検証点を7回に増やす理由を、BGP攻撃の入口から追う
画像: global.discourse-cdn.com より
画像: community.letsencrypt.org より
Let’s Encrypt の今回の変更は、単に「検証先を増やした」話ではない。2026年10月27日に staging で始め、11月10日に production へ進めるこの更新では、ドメイン検証を合計7回行う。内訳は primary datacenter から1回、remote perspectives から6回だ。しかも発行の成否は、primary server と quorum を満たす remote perspectives が正しい challenge response を受け取れるかで決まる。
ここで重要なのは、検証回数そのものより、検証の見え方がばらけることだ。2020年の Let’s Encrypt の説明では、1つの視点だけで確認すると、攻撃者がその経路を横取りしたときに誤発行が起こりうるとされていた。複数の視点を使えば、攻撃者は1本の経路ではなく、同時に複数の経路を支配しなければならない。2020年時点の説明では「primary path と少なくとも2つの remote paths」を同時に押さえる必要があるとされていたが、今回の制度変更では、そもそも CA/B Forum が少なくとも5つの remote Network Perspectives を求めるところまで来ている。
この仕組みが効くのは、検証リクエストが途中で別の場所へ誘導されるケースだ。BGP を悪用した経路ハイジャックは、その代表例として公式文書でも繰り返し挙げられている。Let’s Encrypt と CA/B Forum は、こうした攻撃が「理論上ありうる」ではなく、HTTPS のなりすましに直結する現実の脅威だと見ている。だからこそ、複数のネットワーク視点から同じ応答を照合する。
ただし、これは万能ではない。FAQ でも、検証地点は固定ではなく変わると明言されているし、国や地域を絞った firewall ルールで恒久的に守れるものでもない。むしろ、視点が動くこと自体が前提だ。つまり、攻撃者にとっては「狙う場所が増える」のではなく、「どこを押さえればよいのかが読みにくくなる」。この違いは大きい。単一の経路遮断ならまだしも、複数視点での同時一致を崩すのはずっと難しい。
利用者側の体感としては、Let’s Encrypt は「ほとんど影響はない」としている。ここは実際その通りで、通常の ACME 利用者は検証回数の増加を意識しないまま証明書を取れるはずだ。気にするべきなのは、むしろ自分の公開面が世界のどこから見ても同じに見えているかだ。公式 FAQ が案内している通り、DNS なら世界中から到達できること、HTTP-01 なら port 80 の /.well-known/acme-challenge/ にアクセスできることが前提になる。ローカルな閉じ方をしている環境では、別の challenge に逃がす必要が出る。
自分なら、この変更は「証明書発行の安全性を上げるためのコスト」として受け止める。特に、証明書を自動更新している運用では、検証が少し厳しくなっても、発行経路の信頼性が上がるほうを優先したい。逆に、特定の国からしか来ないはずだから大丈夫、という前提で geoblocking を置いているなら見直す。検証の視点は固定ではないし、今後も増減しうるからだ。
今回の更新で見えているのは、Let’s Encrypt が単独で判断を変えたのではなく、CA/B Forum の Baseline Requirements に沿って、発行時の照合そのものを多視点化していく流れだ。しかもその背景には、公開された研究と、実際に起きた BGP ハイジャックの事例がある。証明書の発行は、もはや「ひとつのサーバーで確認して終わり」では足りない。インターネット全体の見え方が揺れる以上、確認もまた一面からでは足りない。
7回の検証は派手ではない。だが、誤発行を起こす余地を削るには、こういう地味な多点観測しかない。Let’s Encrypt が増やすのは回数ではなく、だまされにくさだ。
