ホスティング会社が最近SNIながらもSSL/TLSに対応しました。ということで、管理中のサイト群も暗号化に対応するのですが、一つ問題としては証明書の管理が非常に大変なことでした。現状、HidekiSaitoCom PKI情報にも記載しているようにいくつかのサイトにおいてはStartSSLより無料で入手した証明書を使用しています。しかしながら、StartSSLは証明書の発行に制限がついており、また、破棄証明の作成に費用がかかるシステムになっています。そのため、全てのサイトに対してこの証明書を入手するのは破棄が必要になった場合の費用及び、破棄を行わない限り、代わりの証明書を得ることができないという関係上、何らかの不都合が生じた場合、非常に問題が発生する可能性があります。かと言って、ほぼ収益が0のサイトで証明書の費用を捻出するのは大変です。将来的にはLet’s Encryptプロジェクトが解決しうる問題であるかも知れませんが、一般公開が始まった後でもホスティング側での対応も必要であり、使用できるまでにそれなりの時間がかかるものと思われます。
そこで、現状の打開策としては自己証明書（いわゆるオレオレ証明書）を使用する方法もあるのですが、ここはGnuPGをプロモートしている者として、外部的にも検証が可能である方法を考えたすえ、実験的にRhodanthe CAを設置しました。（要はオレオレ証明書ならぬ、オレオレ認証局とOpenPGPの合わせ技です。ちなみに高木氏の区分でいくと第二種オレオレ証明書+ぐらいのものになるかも知れません。）
通常の認証局と違い、ルート証明書の別途導入が必要であるなど、サイトの正当性を保証する性質のものではありませんが、オポチュニスティックな暗号化を使用できるように今回、この設定を行いました。機能としてはルート認証及び中間認証、及び証明書破棄リスト（CRL)の利用ができるようになっています。尚、Let’s Encryptにおいてもフリーで自動的に証明書が得られる形になるようですから、サイトの認証などはほぼないものの、恐らく正当な（素の状態で警告が出ない）証明書を使用するシステムとなるかと思いますが、正当性証明に関してはドメイン名以上のものは行われないと思われますので、その正当性の信頼性は恐らくRhodanthe CAよりも少し良いぐらいになるかと思われます。ともあれ、恐らく、今後はネット上の暗号化された通信の割合を増やす、ということが主な課題になってくることから、これまで通常の証明書が担ってきた、サイトの正当性の証明はExtended Validation証明書が主流になってくると思われます。
ちなみにGoogleなど、大手の会社は自社で認証局を持っています。この場合は、正当なルート認証局より認証局自体を認証してもらう（つまり、ルート認証局の下に属する中間認証局になる）方式になっています。これはもちろん非常に高価であり、またこのような形で、正式な認証局として設置するには証明局運用規定を設置するなど、個人じゃ到底無理なレベルですので素直に諦めました。（確か、州によっては免許も必要だったと思います。ワシントン州は必要みたい。）