GPKIルート証明書は主に政府が.go.kr TLDをはじめとする各種の国公立ウェブサイトのドメインに証明書を発行するために使われていました。（過去形である点に注意。現在は政府サイトがそれぞれ別の事業者から証明書の発行を受け、HTTPSサービスを提供中です）
他のブラウザーと異なり、Firefoxは独自のルート証明書リストを持っており、TLS接続時にOSの証明書リストには従いません。たとえばWindowsではGPKI証明書があらかじめ搭載されていますが、Firefoxはそれを読み取りません。（ただし最近では、about:configの設定ページのセキュリティタブでチェックボックスを1つ有効にするだけで、従うよう簡単に変更できます）
GPKIルート証明書の代表的な登録拒否理由としては、過去に政府が*.or.kr、*.ac.krなど非常に広範囲な証明書を発行していた実績が明らかになったことがあります。
ただし、単にその無制限級の発行事例1件だけで登録の試みが阻まれているわけではなく、Mozilla側が要求する外部監査の結果、証明書失効リストの確認方法（CRL）、証明書の有効性確認方法（OCSP）など、厳格な信頼認証手続きを政府がいずれも適時に十分満たせていなかったため、登録が遅延したり拒否されたりしています。
あるいは、期限内に対応していたとしても、行政安全部の証明書と教育部の証明書を同じ事業者から監査してもらうなど、その結果自体に問題があるケースもあります。
Bugzilla内でこの問題を追っていくと、何年にもわたる長期のあいだ登録の試みが続いているため、担当公務員の定期異動や政権交代に伴う政府組織改編などを理由に、実務を進める担当者名や所属機関名が年ごとに変わっていくのが見どころです。
7件のコメント
個人的な意見をbugzillaに書きましたが、まだ先は長そうですね。
CRL/OCSP の場合は、各種サービスが随時確認できるようになっている必要がありますが、
海外IPからは何度か接続を試みないとつながらない不具合があるようです。
おそらくファイアウォールやWAFで問題が発生しているのだと思われます。
（他の方のコメントを見ると、国内IPでも似たような状況のようです……）
過去の内容も含めて順に読みましたが、CA証明書を監査した監査先が2016-2017年に監査したところと同じで……
以前そうした問題があったのであれば、監査会社はもっと早く変更していてもおかしくないはずなのに、そのまま維持しているのも少し戸惑いますね……
いろいろ努力されているにもかかわらず、英語文書には細かな論理的誤りや誤字などが多く見られますし、
証明書自体も標準規定が更新されているので、新しく作り直す必要があるように見えます。
（CPS文書は頻繁に更新しているように見えますが、それだけ更新できるのであれば、証明書くらいは作り直せるのではないかと思います。）
担当の公務員の方々もかなりご苦労されているのだと思いますが、
すでに過去に一度失敗している以上、批判を受けるのは仕方ないと思います。
規定に従って毎年監査を行っているとのことですが、WebTrust の認証サイトは 2023 年のままですね。
2024 年、2025 年に監査がきちんと行われたのか疑問です。
https://www.gpki.go.kr/pds/WebTrustAction.action
CPS 文書についても同様で、いつでも頻繁に変更できるという条項があったり、
法律に従うため文書上では責任を負わないと記載していたり。
何かと曖昧な部分が多く、過去の出来事をすべて無視するとしても、信頼性は下がってしまいますね。
どうせ外部向けの公開サイトに独自証明書を載せる予定はありません。
負担しきれないので。
ただ、そのせいで意図せず Chrome 依存度をものすごく高めてしまっているということ。
内部ネットワークではどうせ外部証明書も検証されないのは同じです
あいつら、なんであんなに間抜けなんだ？ (x)
あいつらが間抜けなはずはないのに、なんでああなんだ？ (o)
断片だけ見て間抜けだのバカだのと言うのは、
今まで現実で「実は強者」を相手にして痛い目を見た経験がないか、あるいは運よくそういう「実は強者」に出会ったことがないか、そのどちらかです
軽々しくそんなことをおっしゃるものではありません
賢い人がいないのではなく、組織が首輪を締めているからそうなるのです。1人や2人ではなく、何万、何十万もの人が同じ問題を繰り返しているのなら、それは個人の問題ではなくシステムの問題です。
公務員にならなくてもいいくらい、相当頭が切れるようですね。