eMudhraの中間CA証明書8件の秘密鍵が侵害され、主要ブラウザ・OSで証明書をブロック

eMudhraの中間CA証明書8件について秘密鍵が侵害されたことが判明した。原報告者のWayneが10月17日に各秘密鍵で署名したメッセージをルートプログラムチームへ報告し、Firefox、Chrome、Apple、Microsoftの各環境で証明書のブロックが進んでいる。

本件は、eMudhraの中間CA（認証局）証明書8件の秘密鍵が侵害されたことに関するものである。これらの中間CA証明書は、Mozilla、Microsoft、Apple、Chromeの各ルートプログラムが信頼するルートにつながっており、多くの下流の信頼ストアにも及んでいる。

侵害の経緯

Wayneは、8つの中間CAそれぞれの秘密鍵を使って次のメッセージに署名し、10月17日にルートプログラムチームへ報告した。

「We have a problem here - Wayne」

— Wayne

Wayneは『We have a problem here - Wayne』と述べた。侵害された中間CAのいずれかの秘密鍵を持つ攻撃者は、任意のWebサイトやサービスになりすます可能性がある。

各ストアの対応

• Firefox・Chrome：10月17日からブロック
• Apple製品：10月19日からブロック
• Microsoft：10月20日からブロック

10月19日には、下流の信頼ストアへ問題が責任ある形で開示された。Mozilla、Microsoft、Apple、Chromeは、OneCRL、CRLite、CRLSetsを通じて利用者向けに対処を進めた。認証局は侵害された中間証明書を失効させた。

公開された資料

サイトはDennis Jacksonが公開している。公開資料には、影響を受けた8つの中間CAとSectigoのクロス署名を一覧したimpacted-intermediates.jsonと、それらがチェーンするルートを示したroots.jsonが含まれる。

筆者の見立て

• 失効情報を参照しない多くの他のクライアントでは、侵害された中間CAを信頼しないようにするためにソフトウェアの更新が必要になることを示唆している。

この記事は元記事の事実のみに基づいて自動生成されました。

出典

• 媒体：we-have-a-problem.com
• 原題：eMudhra Intermediate CA Compromise
• URL：https://emudhra.we-have-a-problem.com/
• Sectigo の報道による