認証局のeMudhraが、Mozillaルート調査の期限を無視し、その余波をソーシャルメディアのせいにしたとして非難されています。争点となっているのはBugzilla Bug 2083449で、5日前にCA Certificate Complianceコンポーネントの下で開かれ、現在も活動中です。
事の発端は10月17日でした。Chrome Rootプログラムから転送され、Wayneと名乗る記者からのものだった報告が、certificates@mozilla.org経由でMozillaに届きました。報告は、eMudhraの中間証明書8件の秘密鍵が侵害されたと主張し、8件すべてについて鍵の管理を示す証拠が添付されていました。Mozillaは証拠が有効であることを確認し、OneCRLを通じてFirefoxでこれらの証明書を信頼しない措置を進め、その手続きは協定世界時22時59分に完了しました。eMudhraはその夜遅くに報告を認め、影響を受けた一部の証明書をクロス署名していたSectigoに通知したと述べました。Mozillaは独自に秘密鍵を復元し、鍵生成プロセスに欠陥があり、悪用が極めて容易であることを示しました。
影響を受けた証明書のうち6件はTLS証明書で、Chrome、Mozilla、Microsoft、Appleのルートプログラムで信頼されています。残りの2件はMicrosoftで信頼されるコード署名証明書です。10月18日、eMudhraは8件の証明書を理由「CA Compromise」で失効済みとしてマークしました。
認証ファイル、CRL署名ファイル、HSMマッピングのスプレッドシート、質問のPDFを含む添付資料からは、調査が継続中であり、最新の更新がわずか37分前に投稿されたことが分かります。
出典: Hacker News · 要約：HeadlinesBriefing