Skip to footer

tech

認証局eMudhraの中間証明書、秘密鍵が「数ミリ秒」で復元可能な脆弱性 大手各社が緊急遮断

eMudhraの中間証明書8件で、秘密鍵が第三者でも復元可能な脆弱性が見つかり、主要Webブラウザが緊急遮断。

Updated 4 min read

Published by Agyata NewsroomEditorial policyCorrections

Archived — last updated

ポイント

  • eMudhraの中間証明書8件で、秘密鍵が第三者でも復元可能な状態だったことが判明。
  • eMudhraは、影響は特定の証明書に限られ、他の証明書やルート証明書には影響しないと説明。

なぜ重要か。 この脆弱性が悪用されると、Webサイトのなりすましが可能になり、通信内容の盗み見や改ざんのリスクが生じます。主要Webブラウザは既に遮断措置を取っており、悪用は確認されていませんが、セキュリティ上の懸念は残っています。

更新 情報源: Itmedia

インドの認証局eMudhraが運営する中間証明書8件で、署名用の秘密鍵が第三者でも簡単に復元できる状態だったと判明した。米Mozillaが10月20日に公式ブログで公表し、GoogleやCloudflareなども対応を明らかにした。悪用されれば任意のWebサイトになりすますことが可能になるが、主要Webブラウザは既に該当証明書を遮断しており、悪用は確認されていない。eMudhraは影響は2025年4月の鍵生成作業で作った特定の中間証明書に限られると説明している。

Latest updates

認証局eMudhraの中間証明書、秘密鍵が「数ミリ秒」で復元可能な脆弱性 大手各社が緊急遮断

インドの認証局eMudhraの中間証明書8件で、秘密鍵が第三者でも瞬時に復元可能な状態だったと判明した。悪用されればWebサイトのなりすましが可能になる。主要Webブラウザは遮断し悪用は確認されていないが、失効検証機能が標準で働かない非ブラウザ環境向けにGo開発チームなどが緊急修正を配布した。 公開 2026年10月21日 09時17分 インドのデジタルトラストサービス企業eMudhraが運営する認証局（CA）の中間証明書8件について、署名に使う秘密鍵が第三者でも簡単に復元できる状態状態にあったと判明した。 米Mozillaが10月20日（現地時間）に公式ブログで公表し、米Googleや米Cloudflareなども対応を明らかにした。 悪用されれば任意のWebサイトになりすますことが可能になる。 主要Webブラウザは既に該当証明書をブロックしているが、ブラウザ以外のソフトウェアではアップデートが必要になる。 Webサイトとの通信を暗号化するHTTPSでは、「TLS」という仕組みを使い、接続先のWebサイトが本物かどうかを電子証明書（TLS証明書）で確認している。 この証明書を発行するのがCAだ。 WebブラウザやOSに組み込まれた「ルート証明書」を起点に、その下にある「中間証明書」が実際にWebサイト向けの証明書に署名する仕組みになっている。 中間証明書の秘密鍵は、いわば証明書に押す「実印」に当たる。 この鍵を第三者が手にすると、どのドメインに対しても、Webブラウザが正規と認める証明書を発行できてしまう。 Mozillaは、利用者の通信に割り込める攻撃者がこうした証明書を使えば、Webサイトになりすまして通信内容を盗み見たり改ざんしたりできる恐れがあると説明している。 Mozillaの バグ管理システム「Bugzilla」 で公開された経緯によると、Wayneと名乗る研究者が10月17日（協定世界時）に米Apple、Google、米Microsoft、Mozilla、eMudhraへ報告した。 報告には、8件それぞれの秘密鍵で署名したメッセージが添えられており、実際に鍵を持っていることを証明していた。 8件のうち6件はWebサイト（TLS）用で、Google、Mozilla、Microsoft、Appleの各ルートプログラムで信頼されている。 残る2件はMicrosoftが信頼するコード署名用だ。 問題の原因は鍵の作り方にあった。 今回の鍵は「P-384」という楕円曲線暗号の鍵で、本来は膨大な範囲から無作為に選んだ数でなければならない。 ところがMozillaの調査では、8件の秘密鍵はすべて256未満の整数だった。 最後の1バイト以外は実質的にゼロで、ほぼ瞬時に復元できるという。 Mozillaは報告者の手法を知らないまま独自に鍵を復元できたほか、手元のAIエージェントに簡単な指示を与えただけでも1回目で復元できたとしている。 セキュリティ研究者のスコット・ヘルム氏は 自身のブログ で、鍵の1つは「4」、ほかに「56」「115」というものもあり、ノートPCで1秒もかからず全て復元できたと報告している。 スコット・ヘルム氏のX投稿 eMudhraは20日に 公式サイトで声明を出し 、影響は2025年4月の鍵生成作業で作った特定の中間証明書に限られると.

Itmedia

インド認証局eMudhraの中間証明書8件、秘密鍵が瞬時に復元可能な脆弱性

インドのデジタルトラストサービス企業eMudhraが運営する認証局（CA）の中間証明書8件について、署名に使う秘密鍵が第三者でも数ミリ秒で復元可能な状態だったことが判明した。米Mozillaが10月20日に公式ブログで公表し、米Googleや米Cloudflareも対応を明らかにした。悪用されれば任意のWebサイトになりすますことが可能になる。主要Webブラウザは既に該当証明書をブロックしており、現時点で悪用は確認されていない。ただし、失効検証機能が標準で働かない非ブラウザ環境向けに、Go開発チームなどが緊急修正を配布した。.

Itmedia

Sources

AI-assisted summary of the reporting above. Quotes are kept to one sentence. Copyright concern? See our DMCA takedown page.