多くの認証局で、最小限の確認のみで証明書が発行されている問題（JVN）

IPAおよびJPCERT/CCは、複数の認証局において、証明書発行時の確認が「特定のメールアドレスでのやりとりが可能であること」のみで行われている問題について「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2015.4.1 Wed 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は3月30日、複数の認証局において、証明書発行時の確認が「特定のメールアドレスでのやりとりが可能であること」のみで行われている問題について「Japan Vulnerability Notes（JVN）」で発表した。CVSSによる最大Base Scoreは6.4。現時点で対策方法は公表されていない。

多くのルート認証局は、「ドメイン認証型（domain-authenticated）」、またはそれに類似する名前を持つ証明書の発行サービスを提供している。ドメイン認証型証明書は、証明書発行依頼者がドメイン管理者であることの最小限の確認のみで発行されている場合がある。たとえば、証明書を発行するドメイン名のメールアドレスを使って連絡可能であることを確認するだけで証明書を発行するサービスもある。

この場合、ドメイン管理に無関係な第三者によって当該ドメインの証明書を取得され、偽のHTTPSサイトを立ち上げられたり、クライアントに警告を出されることなくHTTPS通信を傍受される可能性がある。JVNではワークアラウンドとして、センシティブなメールアカウントを使わせないことを提案している。

《吉澤亨史（ Kouji Yoshizawa ）》