TrustwaveがSSL監視証明書の作成を認める〜上司のスタッフに対するスパイ行為は誤りと語る(The Register) | ScanNetSecurity
2024.05.13(月)

TrustwaveがSSL監視証明書の作成を認める〜上司のスタッフに対するスパイ行為は誤りと語る(The Register)

既にここ数ヶ月、Comodoへの侵入やDigiNotarのハッキング、SSL BEAST攻撃やその他の問題で揺らいでいた、デジタル認証局の信用モデル全体に対する信頼を、さらにぐらつかせるものだ。

国際 TheRegister
認証局Trustwaveが、クライアントの1つがあらゆるサーバに有効な証明書を発行できるデジタル証明書を取り消した。クライアントにより自社従業員の個人的な電子メールが傍受可能になるためだ。

この親鍵CA証明書は、情報漏洩対策(DLP)システム内で使用されるよう設計された、改ざん防止ハードウェアセキュリティ・モジュール(HSM)で提供された。DLPシステムは企業秘密や機密情報が偶発的、あるいは故意にリークされるのを防止するよう設計されている。

同システムを利用すると、ユーザーのブラウザもしくは電子メールクライアントは、セキュアな暗号化されたリンクを介して、Gmail、Skype、Hotmailとコミュニケーションしていると勘違いさせられる。実際は、本物のサーバに中継する前にコミュニケーションに割り込んだ、企業内のサーバとやりとりすることになる。このアプローチを成功させるためには、DLPシステムはオンザフライで複数のサービスから複数のデジタル証明書を発行できる必要があり、それはつまるところマン・イン・ザ・ミドル攻撃を意味している。

同じ原則のアプローチは、GmailやSkypeといったWebサービスを使用している自国民を密かに調査するなど、政府によるモニタリングに使用される可能性がある。昨年、オランダに本拠地を置く企業DigiNotarが発行したデジタル証明書が、国が後押ししたという確かな形跡は見うけられなかったものの、イランのユーザーのWebメール通信を盗み聞きするのに使用されたことを示す証拠がある…

※本記事は有料版に全文を掲載します

© The Register.


(翻訳:中野恵美子
略歴:翻訳者・ライター

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分

    護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分

  2. デジサートのEV証明書の記載フォーマットに誤り、再発行とサーバへの入れ替え呼びかけ

    デジサートのEV証明書の記載フォーマットに誤り、再発行とサーバへの入れ替え呼びかけ

  3. 東京電力エナジーパートナー、電力・ガス取引監視等委員会からの報告徴収に対する報告書提出

    東京電力エナジーパートナー、電力・ガス取引監視等委員会からの報告徴収に対する報告書提出

  4. ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ

    ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ

  5. 豊島のサーバにランサムウェア攻撃、復旧済みで業務に影響なし

    豊島のサーバにランサムウェア攻撃、復旧済みで業務に影響なし

  6. 新日本プロレスリングオフィシャルファンクラブ会員情報を保存した USB メモリ紛失

    新日本プロレスリングオフィシャルファンクラブ会員情報を保存した USB メモリ紛失

  7. 北 中華製AIを攻撃活用/北 DMARC不正利用/北 日本のアニメ制作関与か ほか [Scan PREMIUM Monthly Executive Summary 2024年4月度]

    北 中華製AIを攻撃活用/北 DMARC不正利用/北 日本のアニメ制作関与か ほか [Scan PREMIUM Monthly Executive Summary 2024年4月度]

  8. テレビ宮崎グループ会社にランサムウェア攻撃、請求書発行システムを停止

    テレビ宮崎グループ会社にランサムウェア攻撃、請求書発行システムを停止

  9. AI とドローン利活用最悪事例 ~ 米保険会社 住宅空撮し保険契約 猛烈却下

    AI とドローン利活用最悪事例 ~ 米保険会社 住宅空撮し保険契約 猛烈却下

  10. 脆弱な DMARC セキュリティ・ポリシーを悪用、北朝鮮スピアフィッシング詐欺

    脆弱な DMARC セキュリティ・ポリシーを悪用、北朝鮮スピアフィッシング詐欺

ランキングをもっと見る