インドのデジタルトラストサービス企業eMudhraが運営する認証局（CA）の中間証明書において、署名に使用する秘密鍵が第三者によって容易に復元できる状態であったことが判明しました。Mozilla、Google、Microsoft、Appleなどの主要なルートプログラムが信頼する証明書が含まれており、事態は深刻です。研究者の報告により、8件の中間証明書が対象であることが明らかになりました。悪用された場合、攻撃者は正規のWebサイトになりすまして通信内容を盗み見たり、改ざんしたりすることが可能になります。主要なWebブラウザはすでに該当する証明書をブロックするなどの対応を進めています。
今回の脆弱性の原因は、鍵の生成プロセスにおける不備にあります。本来、膨大な範囲から無作為に選ばれるべき暗号鍵が、極めて単純な数値であったことが調査で判明しました。一部の鍵は「4」や「56」といった非常に小さな整数であり、ノートPCを用いた検証では1秒もかからず復元できるほどでした。eMudhraによると、2025年4月の作業時に使用したスクリプトの欠陥と、それに伴う人為的なミスが重なり、強度の低い鍵が誤って本番環境に適用されたとのことです。この問題は特定の期間に作成された中間証明書に限定されていますが、極めて高いなりすましリスクを孕んでいます。
Webブラウザ以外のソフトウェアにおける影響が強く懸念されています。curlやPython、Node.js、Goなどの開発環境やパッケージマネージャーの中には、標準では証明書の失効情報を確認しないものがあり、偽の証明書を検証してしまう恐れがあるためです。これに対し、Go言語の開発チームは修正版を公開し、Cloudflareなども自社アプリの更新を行いました。ユーザーは、WebブラウザやOSを最新バージョンにアップデートすることはもちろん、開発環境やシステムで使用しているライブラリについても、各ベンダーが提供するパッチを速やかに適用することが強く推奨されています。
eMudhraの中間証明書における秘密鍵の脆弱性は、Webサイトの信頼性を揺るがす重大な問題です。主要なブラウザは迅速に対策を講じていますが、ブラウザ以外のソフトウェアやライブラリでは、失効情報の確認が不十分なケースがあり、引き続き注意が必要です。各自が利用しているソフトウェア、特に開発用ツールやサーバー環境のアップデート状況を確認し、最新の状態を保つことが被害を防ぐ鍵となります。