重大なセキュリティスキャンダルを受け、eMudhra社がTLS証明書市場から撤退
認証局（CA）であるeMudhra社は、SSL/TLS証明書市場から全面的に撤退する決定を発表しました。この決定は、同社が発行した8つの中間証明書に重大な脆弱性が存在することがセキュリティ研究者によって指摘されてからわずか数日後に行われました。これらの証明書の暗号鍵は驚くほど脆弱であり、一瞬で侵害される可能性がありました。
脆弱性の詳細
技術報告書によると、同社が発行したECC（楕円曲線暗号）鍵は本来高い複雑性（384ビット）を持つべきものでしたが、発見された鍵の強度はわずか3ビットから8ビットでした。これは鍵の組み合わせの可能性が極めて少ないことを意味し、何者であってもあらゆるウェブサイトやメールサーバーの信頼されたウェブ証明書を作成できる状態にありました。これはインターネットインフラに対する深刻なセキュリティ上の脅威です。
このニュースが重要な理由
この事件の危険性は、eMudhra社が発行した証明書が主要なブラウザやオペレーティングシステムから信頼されていた点にあります。脆弱性が発覚すると、ブラウザ各社は直ちにこれらの証明書をブロックせざるを得なくなりました。しかし、定期的なアップデートを受け取らないIoTデバイス、Dockerコンテナ、レガシーシステムなどは、信頼された証明書リストを更新できない可能性があるため、長期間にわたって危険にさらされたままとなります。
「鍵生成セレモニー」における人的および技術的ミス
eMudhra社は、この不具合が2025年4月に行われた「鍵生成セレモニー（Key Generation Ceremony）」の際に発生したと説明しました。同社は、使用されたソフトウェアにエラーがあり、強力な鍵と脆弱な鍵の2つのグループが生成されたと指摘しています。ラベル付けの人的ミスにより、脆弱な鍵が証明書の発行に使用され、ルートストアに配布されてしまいました。また同社は、本来の鍵での署名に失敗した後、根本的な原因調査を行わずに、欠陥のある鍵を使用して証明書失効リスト（CRL）の再署名を試みたことも認めました。
撤退の動機
同社会長のV.スリニヴァサン氏は、撤退の理由として、規制遵守コストの増大、無料証明書の普及による投資収益率の低下、そして事件後のメディアからの圧力や集中的な調査を挙げました。同社は、これらの調査が同社の事業ポートフォリオにおける当該事業の規模に対して「不釣り合い」であると述べています。