認証局eMudhra、SSL/TLS証明書事業から撤退へ 秘密鍵問題受け──既存顧客の証明書は無償で置き換え

何が起きたのか

eMudhraは10月22日（現地時間）、世界向けのSSL/TLS証明書事業から自主的に撤退すると発表しました。同社の認証局が使う中間証明書8件で、署名に使う秘密鍵を第三者が簡単に復元できる状態だったことが分かったためです。今回の問題は10月17日に研究者が報告しました。その後、Mozilla、Google、Apple、Microsoftが該当する中間証明書を相次いで遮断しました。

数字で見る主な事実

• 中間証明書は8件
• 問題は10月17日に研究者が報告
• 会長によると、世界向けSSL/TLS事業の売上高は約1％
• 問題の発覚から14時間以内に該当CAを失効させた
• 該当CAから、Webサイト向けなどの証明書は発行されていない

そもそもSSL/TLS証明書とは

SSL/TLS証明書は、HTTPS通信で接続先のWebサイトが本物かどうかを確かめるための電子証明書です。認証局は、この証明書を発行する会社や団体のことです。秘密鍵は、署名に使う大切な「合いかぎ」のようなものなので、外に漏れると大きな問題になります。

なぜ大切なのか

今回の問題は、秘密鍵が守られていなかったことです。同社の会長は、インフラへの侵入やデータ漏えいはなかったと説明しています。一方で、事業の複雑さとコストが増える中、無償の証明書を出す大手も多く、収益が下がっていたとも述べています。既存の顧客は、今後は別の会社の証明書へ切り替える必要があります。

今後注目すべき点

• 既存顧客が、同社の案内に沿って他社の証明書へ無事に切り替えられるか
• 同社が、ブラウザ各社に根本原因の報告書を提出するか
• 同社のルート証明書「G1」系統の運用が、移行完了までどのように続くか
• 電子署名などの別サービスが、今後も通常通り提供されるか