eMudhra の中間CA証明書8件の秘密鍵が漏えいしました。これらの証明書は、Mozilla、Microsoft、Apple、Chrome のルートプログラムが信頼するルートに連鎖しており、多くの下流のトラストストアでも信頼されています。最初の報告者であるWayne氏は、8つの中間CAそれぞれの秘密鍵でメッセージに署名し、10月17日にルートプログラムチームへ報告することで漏えいを実証しました。パッケージにはメッセージ、証明書、公開鍵、署名が含まれており、誰でもOpenSSLを使って署名を検証できます。
ルートプログラムと多くの下流のトラストストアは対応を講じています。証明書は10月17日からFirefoxとChromeで、10月19日からAppleデバイスで、10月20日からMicrosoftでブロックされています。この問題は10月19日に下流のトラストストアへ責任ある形で開示され、多くのストアがアップデートを公開済みか準備中です。CAも漏えいした中間証明書を失効させました。
漏えいした秘密鍵のいずれかを保持する攻撃者は、あらゆるWebサイトやサービスになりすますことができます。Mozilla、Microsoft、Apple、Chromeは、CRLiteやCRLSetsなどの失効ツールを通じて自社ユーザー向けに対策を講じました。しかし、失効情報を利用しない他の多くのクライアントは、漏えいした中間証明書を信頼しないようにするためにソフトウェアのアップデートが必要です。ユーザーはブラウザとOSを速やかに最新版へ更新することが推奨されます。
Go、Electron、Python certifi、Rust webpki-roots、Homebrew ca-certificates、NSSなど、複数の開発ツールやパッケージには修正版が提供されていますが、報告時点ではNode.jsやComposerなど一部は保留中でした。Linuxの上級者は、ディストリビューションが更新されたca-certificatesパッケージを提供するまで、システムのトラストストアで影響を受けるルートを手動で信頼しないよう設定できますが、一般ユーザーにはこの方法は推奨されません。
出典: Hacker News · 要約：HeadlinesBriefing