eMudhraのCA秘密鍵8件、ミリ秒単位で復元可能だったと報告

eMudhraの中間認証局の秘密鍵が侵害されたと報告された問題で、Mozillaは10月20日（火）に一般に公表し、eMudhraのルート証明書を削除するNSSアップデートを提供した。Chromeも当該ルートをChrome Root Store v43で除外する方針を確認している。

Scott Helmeは、eMudhraの中間認証局の秘密鍵が公開証明書から復元可能だった経緯と検証結果を公開した。鍵はP-384曲線の楕円曲線鍵で、各鍵は1バイトに限られていたという。

発表内容

eMudhraのロゴ

10月17日（土）、セキュリティ研究者がApple、Google、Microsoft、Mozilla、eMudhraに対し、eMudhraの中間証明書8件の秘密鍵が侵害されたと報告した。同日夕方にChromeがCRLSetの更新で該当する中間証明書をブロックし、Mozillaも数時間後にOneCRLを通じてFirefoxでブロックした。

10月20日（火）、Mozillaが問題を公表し、eMudhraのルート証明書を削除するNSSアップデートを配布した。Chromeは、このルートがChrome Root Store v43で除外されることを確認した。

研究者のIan Carrollは次のように述べた。

「They are inherently weak single-byte keys that anyone can factor, and the issue cannot be contained.」

— Ian Carroll

影響を受けた証明書

影響を受けたのは次の中間認証局である。

TLS発行CA：6件（DV、OV、EVそれぞれ2世代）
コード署名CA：2件
証明書：16件（8つの鍵が、eMudhraとSectigoがそれぞれ1回ずつ発行した計2件の証明書で使われた）
露出期間：2025年4月から17か月
有効期限：July 2039

8件の中間認証局はいずれも2025年4月に作成され、2025年5月にSectigoのAAA Certificate Servicesルートによってクロス署名された。

検証結果

著者によると、eMudhraの鍵は47バイトのゼロに続く1バイトで構成されていた。P-384の秘密鍵は本来384ビットのランダムな数であるが、この鍵の取りうる値は256通りにとどまり、探索は最大255ステップで済んだ。

著者は16件の証明書すべてに総当たりを行い、いずれも即座に復元できたと述べている。復元された秘密鍵の値は、ある1つが4、ほかは56と115だった。また著者は、Claudeが一度のプロンプトでCAの秘密鍵を復元できたと述べている。

クライアントの挙動について、著者はローカルサーバーと api.stripe.com 向け証明書を使って検証した。Linux と macOS のすべてのマシンで、curlは「SSL certificate verify ok」と報告し、Pythonはハンドシェイクを完了し、Nodeは「authorized: true」と報告した。Windowsでは、失効確認を有効にしない限りCryptoAPIがチェーンを受け入れ、有効にした場合でも2つの経路のうち1つのみが失効と報告された。

2025年4月以降にこれらの証明書のいずれかを確認した者は、一般的なハードウェアでミリ秒単位で鍵を復元できた可能性がある。EM OV CS CA - G3B/G3Cで署名されたマルウェアは、失効を確認しない環境では実在の発行元による署名済みソフトウェアと同じに見える可能性がある。既定設定の大半のブラウザ以外のTLSクライアントは、失効確認もCTも既定では行わないとされる。

対応状況

Chromeは CT を強制しており、これらのCAに連なるTLS証明書はCTに現れていないという。ChromeとFirefoxは中間認証局を直接ブロックし、いずれもCTを必要とする。Safariも同様にCTを必要とする。一部のIoT機器向けのバンドルは2039年まで固定されている。

2026年10月20日 20:16 UTCの更新では、Mozillaがインシデントチケットを公開したことが伝えられた。eMudhraは、セレモニースクリプトのバグによりHSM上に脆弱な鍵ペアが二つ目に生成されたこと、および人為的ミスによりCSRに誤った鍵が使われたことを説明したとされる。

この記事は元記事の事実のみに基づいて自動生成されました。

筆者の見立て

主流で更新済みのブラウザは問題ないと予想している。
証明書に異常が見当たらない点を興味深いと論じている。
クライアントエコシステムの規模の大きさは見落とされやすいと論じている。
今回の問題は影響を受けるソフトウェアの氷山の一角にすぎない可能性を示唆している。
2039年までのバンドル固定は「封じ込められない」という指摘が現実になった例だと解釈している。
ChromeのCTに関する論点はブラウザにとって安心材料になると論じている。
助言は要するに更新することに尽きると解釈している。
問題は、更新できない、あるいは容易に更新できない機器にあると論じている。
ルーター、プリンター、テレビ、家電のファームウェアが固定されたままだと、有効期限まで当該証明書を信頼し続けると予想している。
わずか8ビットが、17か月の間、非ブラウザ系ソフトウェアの大半と偽造証明書との間を隔てる唯一の防壁だったと解釈している。

出典

メディア：Scott Helme
原題：Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds
URL：https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/
(Mozilla公開メーリングリスト、Mozilla Bugzilla、eMudhra公開ページの報道による)