概要
eMudhra社の中間証明書認証局（CA）で使用されていた8つのプライベートキーが漏洩しました。
Mozilla と Google の Chrome Root Program が2023年10月20日に緊急対応を実施し、該当証明書を信頼ストアから除外しました。
攻撃者がこれらのキーを入手すると、任意のドメインに対して有効なTLS証明書を発行でき、ブラウザは正規と判断してしまいます。
技術的詳細・特徴
中間CAはルートCAから委任された証明書で、ウェブサイトの証明書を署名します。今回漏洩したキーは8つの異なる中間証明書に対応し、RSA 2048 ビット鍵が使用されていました。
この問題はPKI全体の信頼性に対する警鐘となります。
- キー漏洩は内部管理ミスまたは外部侵入が原因と推測されています。
- 漏洩した証明書は複数のブラウザとOSの信頼ストアに含まれていたため、広範囲に影響が及びました。
- Chrome と Firefox は即座に証明書を無効化し、再発防止策としてキーのローテーションを強化しました。
影響・対策方法
現在、該当証明書で発行されたTLS証明書はすべて無効化され、ブラウザは警告を表示します。ウェブサイト運営者は以下を実施してください。
ユーザー側でもブラウザのバージョンを最新に保ち、警告が出た際はアクセスを中止してください。
- 証明書を新しいCAから再発行し、サーバーにデプロイする。
- ブラウザキャッシュやOSの証明書ストアを更新し、古い証明書が残っていないか確認する。
- 内部の鍵管理プロセスを見直し、HSM の導入やアクセス制御の強化を検討する。
出典
情報元: The Hacker News