eMudhraの鍵侵害、ブラウザーの対策だけでは防げない問題を露呈

インドの認証局eMudhraで8個の署名鍵が侵害され、ブラウザーの保護と、ウェブサイトや取引ツールの裏側で稼働するソフトウェアとの間にある隔たりが明らかになった。10月21日時点で、大手ブラウザーメーカーは影響を受けた証明書をブロックしていたが、証明書が失効したかどうかを確認しない一部のブラウザー以外のプログラムは、偽造された認証情報を依然として受け入れる可能性があった。

重要ポイント

• 研究者は、信頼されたウェブサイトになりすます証明書への署名に悪用できる、脆弱な秘密鍵を8個回収した。
• ブラウザーメーカーは影響を受けた証明書をブロックしたが、失効の確認をまったく行わないソフトウェアは、失効だけでは保護されない。
• 暗号資産への攻撃は報告されていない。懸念は、インターネット全体に広く残る旧式ソフトウェアにも及ぶ。

目次

• eMudhraの鍵侵害で残るリスク
• どの保護措置が利用者に届いていたか
• 脆弱な鍵がウェブサイトの検証を損なった仕組み
• 取引ソフトウェアに個別の対策が必要な理由
• 結論

eMudhraの鍵侵害で残るリスク

重要なのは、証明書を失効させることと、ソフトウェアがその証明書を信頼しないようにすることの違いだ。eMudhraは影響を受けた証明書を失効させたが、セキュリティ研究者のスコット・ヘルム氏は、失効状況を確認しないプログラムには、この措置による保護が及ばないと警告した。

ヘルム氏によると、自身のテストではcurl、Python、Node、Go、Javaが、StripeのAPI向けの偽造証明書を受け入れた。これは証明書が受け入れられることを示した実証であり、Stripeが侵害された証拠ではない。

偽造証明書を使えば、通信を傍受する攻撃者が信頼されたサービスになりすまし、通信を読み取ったり改ざんしたりできる可能性がある。ブラウザーのブロック措置は、保護対象のブラウザーについてはその経路を遮断するが、個々のアプリケーションやバックエンドすべてにも同等の保護が行き渡ったことを意味するわけではない。

どの保護措置が利用者に届いていたか

研究者のウェイン氏が10月17日にブラウザーメーカーへ警告したことを受け、対応が始まった。同氏は警告にデジタル署名を付けることで、侵害された8個すべての鍵を支配していることを実証した。修正が提供されていたとしても、すべてのインストール環境が更新済みであることを意味するわけではない。

脆弱な鍵がウェブサイトの検証を損なった仕組み

認証局は、ブラウザーがウェブサイトの身元を確認するために使う認証情報を発行する。そのため、認証局の秘密署名鍵には一般的なウェブサイトのパスワードとは異なる責任が伴う。署名鍵が侵害されると、他のサイト向けに本物に見える証明書を作成するために悪用される可能性がある。

ヘルム氏によると、公開証明書から8個すべての鍵を1秒未満で回収できた。同氏が特定した秘密鍵の値には4や56が含まれており、鍵の回収に対する耐性がいかに低かったかを示している。同氏は、これらの鍵が2025年4月以降、露出した状態にあったと述べた。

Mozillaのバグチケットを読んだヘルム氏によると、eMudhraは鍵の設定スクリプトにあったバグが原因だと説明した。

取引ソフトウェアに個別の対策が必要な理由

暗号資産の利用者にとって、関連するリスクはブラウザーで取引所を開く場合に限られない。取引所のボット、取引スクリプト、ウォレットのバックエンドが、影響を受けたブラウザー以外のソフトウェアに依存している可能性がある。理論上、取引所APIの偽造証明書を使えば、同じネットワーク上にいる攻撃者がボットの通信を傍受したり改変したりできる可能性がある。

暗号資産への攻撃は報告されていない。Polygon Labsの最高技術責任者、ムディット・グプタ氏は、この脆弱性は暗号資産に特有のものではなく、一般的なソフトウェアセキュリティ上の問題であり、特に旧式または未修正のソフトウェアが懸念されると述べた。同氏は、ウォレット、取引ツール、デバイスを最新の状態に保つ利用者は、リスクが低いと述べた。

結論

ブラウザーの対応によって、証明書になりすます差し迫った経路は遮断されたが、ソフトウェア全体に及ぶ問題が解決したわけではない。残るリスクは、発行元が証明書を失効させたかどうかだけでなく、個々のツールが侵害された認証情報を拒否するかどうかに左右される。

ニュースをもっと読む

FinanceVelixのニュースをもっと読む

免責事項

本FinanceVelix記事は一般的な情報を提供するものであり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済情勢は変化する可能性があり、投資には損失のリスクが伴います。事実関係は公開時点で入手可能な資料に基づいており、変更される場合があります。重要な情報はご自身で確認し、必要に応じて資格を有する専門家に相談してください。資産、企業、サービスへの言及は推奨を意味するものではありません。