12/7号 ③ 登録ルート認証局の一つ、米諜報機関との関係が報じられMS・Mozillaが無効化

ニュース概要

– 11月8日、米ワシントンポスト等より、主要なWebブラウザー等に登録されているルート認証局の一つTrustCorが米国の諜報機関や法執行機関と関係を持ち、認証システムを濫用していた疑いがあると報じられています。

– TrustCorは、米政府機関に通信傍受サービス等を提供していた米Packet Forensics社と、複数のAndroidアプリに個人情報を収集するコードを提供したとされるパナマのMeasurement Systems社との関係が取りざたされている他、エンドツーエンドの暗号化をうたって提供しているサービスMsgSafe.ioについてもTrustCorが内容を読み取れる状態だったと研究者から指摘される等しています。

– Firefox開発元のMozillaおよびWindows・Edge開発元のMicrosoftが、一連の報道を受け、TrustCorが新たに発行する証明書を信頼しないことを決定したことが11月30日に報じられています。

AUSからの所感

証明書は、Webサイトが正規のものであることを証明する以外にも、いわゆるコードサインニングによるソフトウェアへの署名と検証等にも用いられます。

ルート証明書を提供する認証局が攻撃者に対して不正な証明書を発行したことにより、ルート証明書が無効化されたケースはこれまでも何度か発生しており、最も大規模なものとしては、Symantec社が所有していた複数の大手認証局について証明書発行プロセスの問題が指摘され、各ブラウザーにおいて証明書を信頼しない措置がとられた件が挙げられます。

組織内で独自に認証局を立ち上げ、随時証明書を発行するケースも多々あると思われますが、これについてもくれぐれも証明書発行のための秘密鍵等を奪取されないよう、厳密な管理を行うよう心掛けてください。