EMudhra中級CA妥協

概要

2026年10月20日、eMudhraの8つの中間CA証明書の 秘密鍵漏洩 が発覚。 Mozilla、Microsoft、Apple、Chrome など主要なルートプログラムが影響。 各社は 迅速に証明書の信頼を無効化 し、ユーザー保護を実施。 攻撃者は該当CAを使って任意サイトのなりすましが可能 だったが、主要ブラウザ等は既に対策済み。 ユーザー・開発者・管理者 は、 ソフトウェアや証明書ストアのアップデート が必要。

eMudhra中間CA証明書の秘密鍵漏洩と対策

• 2026年10月20日、eMudhraの8つの中間CA証明書における 秘密鍵漏洩事件 発生。
• これら中間CAは、 Mozilla、Microsoft、Apple、Chromeのルート証明書プログラム および多くの下流信頼ストアに信頼されていた。
• 証拠として、 Wayne氏が各中間CAの秘密鍵で署名したメッセージ をルートプログラム運営チームに報告。
• opensslコマンド で署名検証可能な状態で公開され、透明性を確保。

対応状況

• Firefox、Chrome は10月17日から、 Appleデバイス は19日から、 Microsoft は20日から該当証明書をブロック。
• 下流信頼ストア にも19日に責任を持って情報公開、既に多くがアップデート済みまたは対応中。
• Mozilla、Microsoft、Apple、Chrome は OneCRL、CRLite、CRLSets などの仕組みでユーザーを保護。
• CA自身も中間証明書を失効処理 実施。

影響範囲とリスク

• 秘密鍵を取得した攻撃者 は、該当中間CAを使い 任意のWebサイトやサービスを偽装可能。
• 主要ブラウザやOS では既に対策済みだが、 一部クライアントや古いソフトウェア は手動でのアップデートが必要。
• 証明書失効情報を自動取得しないクライアント では、ソフトウェア更新が不可欠。

信頼性の確認方法

• curlコマンド 等で専用URLへアクセスし、証明書エラーが出れば「信頼していない」と判定可能。
• chains.zip には各ホストの証明書チェーンとOpenSSLでの検証手順を同梱。

ユーザー・開発者向け対応策

• 全ユーザー は、 ブラウザやOSを最新バージョンにアップデート 推奨。
• 開発者向け主要ソフトウェア の対応状況：
  • Ubuntu ca-certificates： 20260816ubuntu0.22.04.1 以降
  • Go： 1.27.3、 1.26.10
  • Electron： 44.9.1 など
  • Python certifi： 2026.10.19
  • Rust rustls-webpki： 0.103.16
  • Homebrew ca-certificates： 2026-09-25_1
  • Node.js、Composer等は 対応待ち
  • 詳細・追加情報は github.com/galadran/we-have-a-problem.com で公開。

OS別の手動ワークアラウンド

• macOS ：/etc/ssl/cert.pemから該当ルート削除（awkコマンド利用）、ただしcurlは失効チェック非対応。
• Linux（Debian/Ubuntu/Alpine/Fedora等） ：ca-certificates.conf編集やtrust extractコマンドで信頼解除。
• openSUSE/SLES/Arch Linux/NixOS ：各ディストリの信頼ストア操作コマンドで対応。
• NetBSD ：certctl untrustコマンドで信頼解除。

信頼ストア運営者向け情報

• Mozilla dev-security-policyフォーラム のスレッド参照。
• impacted-intermediates.json に影響中間CA一覧、 roots.json に関連ルート一覧。

参考・公開情報

• Dennis Jackson によるサイト公開、 GitHubでソース・PR歓迎。

---

重要ポイント

• 早急なアップデート と 信頼ストアの確認 が最優先。
• 攻撃リスクは重大 だが、主要プラットフォームは既に対応済み。
• 開発者やシステム管理者 は、特に手動対応や追加情報の確認が必要。