主要ウェブブラウザは、悪用を防ぐためeMudhraのTLS証明書をブロックしました。
インドの企業が高レベルの暗号化証明書を作成する際に重大なミスを犯したため、主要ウェブブラウザは、ハッカーがウェブサイトの偽装に使う前に、これらの証明書をブロックしました。
問題となったのは、インド企業eMudhraが作成した中間証明書です。同社は、Google Chrome、Microsoft Edge、Mozilla Firefoxなどのブラウザから信頼される証明書の発行権限を持っています。証明書発行者は中間証明書を使い、サイトの正当性と安全性をユーザーに保証する個別のウェブサイト証明書に「署名」します。ところがeMudhraは最近、8つの中間証明書を作成する際に適切な手順を踏まず、驚くほど脆弱な鍵を生成していました。
鍵の強度は、ランダムに生成する際に用いたエントロピーのビット数で測られます。秘密鍵には通常、数百ビットのエントロピーが含まれます。ところがeMudhraの欠陥のある鍵に含まれていたのは、3〜8ビットにすぎませんでした。
eMudhraの中間証明書を保護する暗号化はきわめて簡単に破れるため、ハッカーはこれらを悪用して不正なトランスポート層セキュリティ（TLS）証明書に署名し、大手企業になりすませた可能性がありました。
インターネットインフラ企業のCloudflareはブログ記事で、次のように述べています。「攻撃者は任意のドメインの偽造証明書を作成し、サーバーになりすまして通信を傍受したり改ざんしたりできます。これはインターネット全体に影響を及ぼしかねない深刻なセキュリティインシデントです」
欠陥のある証明書との信頼関係を解消
主要ウェブブラウザは対応として、脆弱な8つの中間証明書との信頼関係を打ち切りました。GoogleとMozillaは、この問題の発見を受けた対応を詳しく説明するブログ記事を公開しました。
Mozillaの暗号エンジニアリングチームのメンバーであるDennis Jackson氏は、この件に関する解説ページで、「ユーザーはできるだけ早く、ブラウザとOSを最新バージョンに更新してください」と呼びかけています。
eMudhraの鍵の脆弱性を悪用して、ハッカーが不正なウェブサイト証明書を生成した形跡は確認されていません。
eMudhraの従業員であるNaveen Kumar氏は、Mozillaのフォーラムへの投稿で、欠陥のあるスクリプトが脆弱な鍵の作成につながったと説明しました。
Kumar氏は次のように書いています。「プロセスの複数の段階で人為的なミスがありました。現在、コードの欠陥、プロセス上の不備、そしてこの問題に固有のメーカー／チェッカー管理について、さらに掘り下げて調べています」
