上位CAのEntrustから認証を受けた中間認証局であるDigicert Malaysiaは、強度の低い秘密鍵や他の深刻な欠陥を持つ22の証明書を交付したと、これらの企業は述べている。その失態には、失効情報やEKU、あるいは拡張鍵用途、指定を行っていないことが含まれており、これはすべてのCAがSSLシステムのセキュリティを保証するために従うべき義務に対する違反となる。
「どの証明書も不正に発行された兆候は見られないが、強度の低いこれらの鍵により、証明書の一部が改ざんされる可能性がある」と、MicrosoftのTrustworthy Computingグループ・スポークスマン、ジェリー・ブライアントがブログに書いている。「この下位CAは、明らかにCAとしてセキュリティの履行が貧弱であることを示しており、Microsoftは同中間認証局に対する信頼を取り消す予定だ。」
今回の非難の2カ月前には、ソフトウェアメーカーがDigiNotarの証明書を無効化している。このオランダベースの認証局が大きなセキュリティ侵害を受け、攻撃者が知名度の高いサービスに対し、531の偽証明書を発行することが可能になったという事実が発覚したためだ。偽証明書の少なくとも1つは、30万人以上のイランのGoogle Mailユーザーをスパイするために悪用された。
3月には、競合CA、Comodoの証明書リセラーに対するセキュリティ侵害を受け、Gmailに加え、Skype、Mozillaアドオン、Microsoftアップデートといった、DigiNotarの時と同じドメインの多くに関し、証明書が偽造される結果となった。4カ月前には、攻撃者達が同様にWebサイトのなりすましを可能にする証明書を獲得することはなかったものの、別のCA、イスラエル・ベースのStartSSLもハッキングされたと発表した。少なくとも他に4つのCAが…
※本記事は有料版に全文を掲載します
© The Register.
（翻訳：中野恵美子）
略歴：翻訳者・ライター
