eMudhra、秘密鍵が1秒足らずで解読された問題を受け、証明書事業から撤退

インドの認証局eMudhraは10月23日（木）、SSL/TLS証明書の発行を停止すると発表しました。研究者らが、同社の証明書8件を保護する秘密鍵が極めて脆弱で、1秒足らずで再構築できることを示してから数日後の決定です。

今回の発表により、主要ブラウザが同社の証明書をブロックし、インド当局が調査に乗り出した一連の問題は区切りを迎えました。  

同社によると、取締役会が詳細な審議を重ねた結果、事業からの撤退がeMudhraと株主にとって正しい判断だと結論づけました。V. Srinivasan会長は、データ主権やコンプライアンス要件への対応でコストが増大していることに加え、大手事業者が証明書を無償で発行していることによる競争激化を理由に挙げました。また、今回の問題がソーシャルメディアで拡散したことで、同事業部門の社内での位置づけに比べて「不釣り合いなほど」大きな注目を集めたとも述べています。

「多くの認証局にとって、SSL/TLSは事業のすべてです」と同社は説明しています。「しかしeMudhraにとっては、はるかに幅広いデジタルソリューション群の一部にすぎません」

発端は先週です。ある研究者がApple、Google、Microsoft、Mozillaに対し、eMudhraの中間証明書8件の秘密鍵が、公開されている証明書から計算で導出できると通報しました。鍵の生成時に使われた乱数性が不足していたためです。セキュリティ研究者のScott Helme氏は、8件すべてを自身のノートPCで復元しました。所要時間は1秒未満でした。同氏によれば、のちにAIエージェントも1回のプロンプトだけで同じ作業を再現したということです。

通常、秘密鍵はコンピューターでも推測できないほど巨大な秘密の数値です。これらの証明書で使われている種類の暗号方式では、およそ77～78桁になります。ところがeMudhraの8つの鍵は、いずれも256未満の整数でした。1つは単に数値の4として記録されていました。証明書には、元になった鍵が公開情報として含まれています。そのため、誰でもあり得るすべての値を数秒で試すことができました。こうした鍵を使えば、証明書を偽造してWebサイトになりすますことも可能です。

eMudhraは、この欠陥の原因を2025年4月に実施した鍵生成の儀式（key generation ceremony）での誤りだと説明しています。この誤りにより、本来の鍵ではなく、脆弱な別の鍵セットが生成され、ブラウザの信頼リストに公開されてしまったということです。同社は、インフラは侵害されておらず、データ漏えいもなく、8件の中間証明書のいずれもエンドエンティティ証明書を発行していないとしています。問題の鍵が誰かに悪用されたかどうかは分かっていません。

ChromeとFirefoxは報告から数時間以内に該当証明書をブロックしました。Appleは月曜日、Microsoftは火曜日にブロックしています。Mozillaは同社のルート証明書を信頼リストから削除しました。Googleは、eMudhraの残るルート証明書を精査する一方、問題のルート証明書をChromeから削除する予定で、来週の更新で反映される見込みだとしています。Go、Node.js、Pythonのcertifiバンドル、複数のLinuxディストリビューションも更新版を公開しました。

インドのコンピューター緊急対応チーム（CERT-In）は、水曜日の時点で鍵の悪意ある使用は確認されていないとしています。