インドの認証局eMudhraに秘密鍵生成の脆弱性が発覚、世界中のブラウザが中間者攻撃防止のため緊急ブロック

BlockBeatsのニュース、10月21日、世界のサイバーセキュリティ界で大きな注目を集める認証局（CA）のセキュリティインシデントが明らかになった。インドのCA機関eMudhraは、セキュリティ研究者によって、発行した8つの中間証明書の秘密鍵に極めて深刻な生成欠陥があることが発見された。これらの本来極めて高いセキュリティ強度を持つべき秘密鍵は、実装上の誤りにより、実際の有効情報がごく小さな整数（例えば4、56、66など）に相当するものとなっており、セキュリティ担当者が1秒未満で完全に解読できてしまう状態だった。この脆弱性により、本来ネットワーク通信の安全を保障する信頼の基盤が形骸化してしまった。

中間証明書はHTTPS暗号化の信頼チェーンにおける重要な环节であり、その秘密鍵が容易に取得されると、攻撃者はそれを利用して信頼されたHTTPS証明書を偽造し、銀行、メール、あるいはあらゆる信頼されたウェブサイトに対して中間者攻撃を仕掛け、ユーザーの通信データを傍受、改ざん、または窃取することが可能となる。この事件の根源は外部ハッカーの悪意ある侵入ではなく、eMudhraが証明書生成の段階で壊滅的な実装ミスを犯し、安全性がほぼゼロの秘密鍵を生成してしまったことにある。

事件の暴露後、世界の主要なブラウザおよびソフトウェアベンダーは迅速に緊急防御措置を講じた。Chrome、Firefox、Apple、Microsoftはいずれもセキュリティアップデートをリリースし、これら8つのリスクのある中間証明書をブラックリストに登録し、それらが発行した偽造証明書へのユーザーのアクセスを阻止した。同時に、eMudhra社自身もこれらの欠陥のある証明書を正式に失効させた。さらに、多くのソフトウェアが自前の証明書信頼ストアに依存しているため、Go、Python、Rust、Electronなどの主要な開発言語やフレームワークも緊急アップデートを配信し、それぞれのエコシステム内で影響を受ける証明書を封鎖した。

現在までに、世界のセキュリティ機関はこれらの脆弱な秘密鍵が悪意ある目的で悪用され、偽造証明書が発行された証拠を発見していない。しかし、膨大なIoTデバイスや適時に更新されていない旧バージョンのシステムを考慮すると、このセキュリティリスクを完全に除去するには時間がかかる。セキュリティ専門家はユーザーに対し、現在最も直接的で有効な防御策はブラウザとオペレーティングシステムを最新バージョンに保ち、最新の証明書ブラックリストを適時に取得して自身のネットワークアクセスの安全を確保することだと注意を促している。