暗号・証明書

インドの認証局 eMudhra の鍵が破られ、ブラウザ各社が証明書を締め出した

ウェブサイトの暗号化（https の鍵マーク）を保証する「認証局」のひとつ、インドの eMudhra の中間証明書 8 つが危険にさらされたと報じられております。秘密鍵の値が「4」という、事実上だれでも分かる鍵だったとの指摘もございます。Google や Mozilla などのブラウザは eMudhra の証明書を締め出し、eMudhra は海外向けのウェブ証明書事業から撤退すると報じられております。一方で、Mac に初めから入っている curl（コマンドでウェブにつなぐ道具）は、締め出された証明書を信頼し続ける恐れがあると Mozilla の技術者が警告しております。実際に悪用された証拠は、まだ見つかっていないとされております。

分野

暗号・証明書

報じた媒体

17

最初の報道

10月20日

最新の報道

10月30日

何が怖いのか

1. 鍵マークは「このサイトは本物です」と第三者が保証した印でございます。保証する側の鍵が破られると、偽のサイトにも本物と同じ鍵マークを付けられる恐れがございます。
2. 銀行・役所・通販を装った偽サイトを、見た目でも鍵マークでも見分けられなくなる。これが、流出よりも根の深いところでございます。
3. ブラウザは更新で締め出しましたが、更新されない機器（古いスマホ、組み込み機器、古いサーバー）には古い信用の一覧が残ります。

あなたは関係ありますか

使っているみなさまが、いますぐなすべきこと

1. OS とブラウザを最新にする。自動更新を切っているなら、いま更新する。
2. 銀行やカードの手続きは、メールやSMSのリンクからではなく、ブックマークや公式アプリから開く。

作っている・管理しているみなさまが、いますぐなすべきこと

1. サーバー・コンテナ・CI の証明書の一覧を更新する。ベースイメージを作り直し、古いイメージを使い続けていないか確かめる。
2. Java・Python・Node.js など、OS とは別に証明書の一覧を持つ実行環境も更新する。
3. eMudhra の証明書を使っているサイトは、別の認証局の証明書に切り替える。
4. Mac 標準の curl に頼る処理は、Apple の修正が出るまで、大事な通信（お金・鍵・個人情報）を任せない。macOS のセキュリティ更新が出たらすぐ当てる。

備えに使える道具

パスワード管理の道具は、登録したサイトと違うアドレスでは自動で入力いたしません。鍵マークでは見分けられない偽サイトに、気づくきっかけになります。

• パスワード管理の道具は、なぜ要るのか →1 つの流出を、ほかのサービスに広げない。偽サイトでは自動で入力しない

報道（18本）

• Apple's Git still trusts the compromised eMudhra certificate.GIGAZINE10/30
• Check if eMudhra CA Is Still Trusted in Your Trust StoresSitePoint10/27
• The eMudhra certificate cleanup doesn’t end with your browserSpiceworks10/23
• eMudhra CA Key Compromise: Weak Keys, Risks and FixesSOCRadar10/23
• eMudhra CA compromise: eight private keys, and one of them is 4Aikido Security10/22
• eMudhra Intermediate CA Certificates Blocked by Chrome and FirefoxiNews Zoombangla10/22
• All eight certificate authorities compromised by eMudhra had private keys that were a mere '1 byte' each, and one of the private keys was '4,' linked to root certificates trusted by root programs in Mozilla, Microsoft, Apple, and Chrome, as well as many downstreaGIGAZINE10/22
• eMudhra CA Key Failure Is a Q-Day Rehearsal for Web PKIPostQuantum.com10/21
• eMudhra Intermediate CA Compromiseinfoq.com10/21
• Your Browser Blocks Compromised eMudhra Certificates? Run the TestPasquale Pillitteri10/21
• Internet panics after 8 eMudhra private keys get crackedCoinDesk10/21
• One eMudhra certificate key was the number 4, letting anyone forge any websiteMartin Cid Magazine10/21
• Cloudflare warns fixing botched eMudhra certs goes beyond browsersiTnews10/21
• Firefox 158.0.1 brings eMudhra certificate security fixesOMG! Ubuntu10/21
• 8 eMudhra certificates are compromised. Here's what you need to knowCloudflare Blog10/20
• Eight eMudhra CA Keys Compromised, Triggering Emergency Fixes Across Browsers and SoftwareThe Hacker News10/20
• Mozilla, Google, Apple block compromised eMudhra CA certificatesBleepingComputer10/20
• eMudhra incident compromises eight CA certificatesheise online10/20

本文は、本観測所が報道の見出しで確かめられたことだけをまとめたものでございます。版や期間などの細かな条件は、必ず開発元・提供元の公式の発表でご確認ください。報道の一覧は 1 時間ごとに取り直しております。

ほかの深刻な問題

• 予約の基盤航空会社の予約システム「アマデウス」に不正アクセス。JAL も大韓航空も、約 3 年分の予約が見られた恐れ
• 開発の基盤GitLab に深刻度 10.0 の欠陥が 2 つ。10 月 12 日に直したサーバーも、まだ危ない
• 開発の基盤Node.js に外から命令を実行される欠陥「Node2Shell」、22・24・26 系の全部が対象
• 開発の基盤Java の暗号の通信の部品に深刻度 9.1 の欠陥、Oracle が緊急の更新
• 通信アプリSignal、電話を切ったあとも音声がつながったままになる恐れのある欠陥
• サイトの部品WordPress のバックアップ部品 UpdraftPlus、盗まれた鍵でサイトに裏口
• AI の部品AI アプリの部品 LiteLLM に、鍵を盗むプログラムが仕込まれた（今年 2 回目）
• AI の道具AI コーディング道具 OpenCode、悪意ある MCP サーバーにつなぐだけでプログラムを実行される穴
• 開発の基盤アプリを動かす基盤 Railway と Zeabur が侵害、預けた秘密の値が読まれた恐れ
• 管理の道具ConnectWise のクラウドバックアップ経由で、多くの会社の Microsoft 365 に侵入
• 更新の仕組みバックアップソフト AOMEI の更新サーバーが乗っ取られ、更新としてマルウェアが配られた