不名誉に見舞われたインドの証明書発行事業者、証明書発行事業から撤退

何が起きたのか

eMudhra は、秘密鍵（暗号の鍵のうち、外に出してはいけない大事な部分）が簡単に推測できる状態だったことが公開報告で明らかになりました。同社は、世界向けのSSL/TLS証明書の事業をやめると発表しました。SSL/TLS証明書は、Webサイトが安全であることを示すための仕組みです。

主な数字と事実

• 問題の秘密鍵は8つで、値は 4、56、66、115、155、156、230、237 でした。
• 問題は10月17日に Mozilla に報告されました。
• 同社によると、SSL/TLS事業は全世界の売上の約1%にすぎません。
• 同社は、影響を受けた中間認証局は最終的な利用者向けの証明書を発行していないと主張しています。
• 同社は、発覚から14時間以内に、その中間認証局を取り消したと説明しています。

背景

認証局（CA）は、Webサイトが本物だと証明する役目を持つ会社です。秘密鍵が弱いと、攻撃者が偽の証明書を作れてしまうおそれがあります。eMudhra によると、弱い鍵は鍵を作る手順のミスで生まれ、本来の強い鍵と一緒に作られてしまったということです。

なぜ大事なのか

証明書は、ネットで買い物や銀行を使うときの安全を支える仕組みです。鍵が数字の「4」だったというのは、基本的な管理が不十分だったことを示します。今回の件は、証明書を発行する会社がどれだけ厳しく鍵を管理すべきかを、改めて考えさせる出来事です。

今後注目すべき点

• eMudhra が事業撤退をどのように進めるのか。
• 影響を受けた証明書や信頼のリストが、今後どう扱われるのか。
• ほかの認証局でも、同じような鍵管理の問題が見つからないか。