eMudhra証明書の欠陥でブロック措置、ルート証明書の削除へ

eMudhraの証明書の欠陥を受け、研究者が中間証明書8個の秘密署名鍵を復元した後、Google、Mozilla、Apple、Microsoftは2026年10月17日から10月20日にかけて、影響を受ける証明書をブロックしました。Googleはさらに、eMudhraのルート証明書をより広範に削除することも発表しました。Chrome Root Storeに依存するデバイスへの展開は、10月27日に予定されています。

重要ポイント

• 中間証明書8個の秘密鍵は容易に復元できる状態でした。そのうち6個はウェブサイトのセキュリティ用、2個はコード署名用でした。
• Chromeによるブロック前に、影響を受ける6個の中間証明書に連なるTLS証明書が公開ログに記録された例はありませんでした。一方、証明書透明性の適用対象外での露出状況は不明です。
• Chromeが予定するルート証明書の削除により、正規の証明書も機能しなくなる可能性があり、影響を受けるウェブサイト運営者は証明書の交換が必要になります。

目次

• eMudhraの証明書の欠陥が信頼性を損なった経緯
• 緊急のブロック措置で判明したこと、判明していないこと
• より広範なルート証明書の削除と交換期限
• 結論

eMudhraの証明書の欠陥が信頼性を損なった経緯

影響を受けたインド拠点の認証局の鍵は、2025年4月30日に生成されました。Mozillaのエンジニア、Dennis Jackson氏によると、8個すべての鍵で256未満の整数が使われており、安全な暗号鍵に求められるランダム性がなく、ほぼ瞬時に復元できる状態でした。

Mozillaは10月17日に独自に鍵を復元し、研究者の調査結果を確認しました。影響を受けたTLS署名鍵を入手すれば、これらの認証局を引き続き信頼するクライアントに対し、ウェブサイトになりすます偽造証明書を攻撃者が作成できる可能性がありました。

根本原因についての説明で、eMudhraは、同様のラベルが付いた、より脆弱な鍵ペアをもう1組生成する鍵生成スクリプトに問題があったとしました。その鍵ペアが誤って証明書署名要求に使用され、プロセスの複数の段階で人為的ミスが重なったとしています。

緊急のブロック措置で判明したこと、判明していないこと

ChromeはCRLSetの仕組みを通じて影響を受ける公開鍵をブロックしました。これにより、ブラウザーの更新や再起動を必要とせずにユーザーを保護しました。Firefoxも同日にOneCRLによるブロックを導入し、その後eMudhraは証明書8個を失効させました。

Googleによると、ブロック措置を行う前に、影響を受ける中間証明書6個に連なるTLS証明書がCertificate Transparencyのログに記録された例はありませんでした。そのため、Chromeを含め、ログ記録要件を適用するクライアントに対しては、これらの認証局が発行した不正な証明書を使用できなかったとしています。

この調査結果だけでは、他の環境で鍵が悪用されたかどうかは明らかになりません。ブラウザー以外のソフトウェアは、証明書透明性を必ずしも適用せず、同等のブロック更新を受け取るとも限らないため、それ以前の露出範囲は未解明です。

より広範なルート証明書の削除と交換期限

GoogleはChromeとAndroidの保護に関する発表で、emSign ECC Root CA – G3をChrome Root Storeから削除することも明らかにしました。広範な展開は2026年10月27日に予定されており、プレリリース版のチャネルではそれより早く利用可能になる見込みです。

このより広範な措置が重要なのは、同ルート証明書に連なる正規の証明書の一部も、Chromeで機能しなくなるためです。Googleによると、影響を受けるウェブサイト運営者は、同社のルートストアに含まれる別の階層からTLS証明書を取得し、インストールする必要があります。また、eMudhraは契約者の移行を支援すると約束したとしています。

Googleは、eMudhraの残る認証局を引き続きChrome Root Storeに含めるべきかどうかについても調査中だと述べました。この審査は継続中であり、eMudhraの認証局がすべて削除されたわけではありません。

結論

当面の証明書ブロック措置で既知の脆弱な鍵には対処しましたが、より広範な是正措置は引き続き進められていました。次の予定上の節目は、10月27日に予定されているChromeのルート証明書削除の展開です。削除対象のルート証明書にひも付く証明書を交換していない場合、正規のウェブサイトも影響を受ける可能性があります。

ニュースをさらに読む

FinanceVelixのニュースをもっと読む

免責事項

この記事はFinanceVelixが一般的な情報を提供するものであり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済状況は変動する可能性があり、投資には損失のリスクが伴います。記載された事実は公開時点で入手可能な資料に基づいており、変更される場合があります。重要な情報はご自身でも確認し、必要に応じて資格を持つ専門家に相談してください。資産、企業、サービスへの言及は推奨を意味するものではありません。