要約:
先週、インドの Caotai Company の eMudhra 証明書の秘密キーの発行が業界全体の注目を集めました。同社が発行した 8 つの中間 CA 証明書はすべて弱いキーを使用していました。このうち、EM OV TLS CA-G3C 証明書の秘密キーは番号 4 のみに誇張されていたため、誰でもこの証明書を直接使用して他のドメイン名のサブ証明書を発行できます。
しかし、これらの問題のある証明書はブラウザやオペレーティング システムによって取り消されています。ただし、一部のデバイスでは証明書失効リストをチェックしないか、更新を取得できない場合があります。取り消された証明書は依然として信頼されており、発行に使用されたサブ証明書は引き続き使用できます。
そこで、愛好家たちは Google ドメイン名に対して 106,000 個の証明書を発行しました。
任意のドメイン名の証明書を発行するための eMudhra の使用をテストするには、最初に選択するドメイン名はもちろん Google です (国内ユーザーがインターネットに接続されているかどうかを確認するために Baidu を開いているのと同じです)。そのため、現在の CT 証明書の透明性ログには、愛好家が Google のメイン ドメイン名である Google.com に対して最大 106,000 の証明書を発行したことが記録されています。
現在、証明書の透明性ログには 107,000 件の発行レコードが記録されており、その 99% で Google ドメイン名がテスト オブジェクトとして使用されています。これらの証明書は CA 公開鍵によって認証できますが、中間証明書はブラウザによって失効しているため、(失効記録が確認できない場合を除き) 実際のアクセスはブロックされます。
自分が発行した証明書が CT に記録されるのはなぜですか:
証明書の発行と CT ログの登録は別のプロセスであるため、通常の状況では、CA はドメイン名制御を検証した後、中間 CA 秘密キーを使用して証明書を発行します。漏洩した秘密キーを持っている人は、ローカルで証明書を作成し、DNS 名フィールドに任意のドメイン名を書き込み、その秘密キーを使用して署名することができます。
RFC 9162 では、誰でも証明書を CT ログに送信し、ログ検査のために証明書チェーンを添付できると規定しています。 CT ログは、CA 発行ステータスの外部レビューのために証明書を記録および公開する役割を果たしますが、CA のドメイン名制御権限をレビューする責任はありません。そのため、証明書発行時にCTログに提出すれば愛好家を確認することができます。
コメント