インドの認証局(CA)eMudhraが管理する中間CA証明書8件の秘密鍵が漏えいしたことを、MozillaとGoogleのChrome Root Programが10月20日に確認しました。これを受けて、主要なブラウザやソフトウェアが緊急の対応を進めています。
認証局とは、ウェブサイトが本物であることを保証する「デジタルの身分証」(SSL/TLS証明書)を発行する組織です。中間CAは、その認証局から権限を預かって実際に個々のサイトの証明書へ署名する役割を持っています。この署名に使う秘密鍵を第三者が手にすると、本物そっくりの証明書を勝手に作れてしまいます。つまり偽サイトが「安全な鍵マーク付き」で表示されたり、通信を途中で盗み見られたりする土台になりかねません。
こうした事態を防ぐため、プログラミング言語Goは10月20日にバージョン1.27.3と1.26.10を緊急リリースし、問題の8つの鍵を経由する証明書チェーンを拒否するようにしました。新しいGoで作られたプログラムは、該当の証明書を使うサイトやサービスへの接続を拒むことになります。ブラウザ側でも同様の遮断が行われています。
一般の利用者が自分で何かを設定する必要は基本的にありません。ただし、ブラウザやOS、使っているアプリを最新の状態に保つことが大切です。更新によって問題の鍵が信頼リストから外されるためです。企業や開発者は、eMudhra発行の証明書を使っている場合に接続エラーが出る可能性があるため、証明書の再発行や利用しているセキュリティホール情報とあわせて、Goなどの実行環境のアップデートを確認してください。