アップルは、詐欺師が正規のウェブサイトになりすますために悪用する恐れのあったWebセキュリティ証明書8件をブロックしたと発表しました。
問題の概要
今回の問題は「中間証明書」と呼ばれる種類の証明書に関係しています。これはウェブサイトの所有者であることを証明するために使われるもので、例えば利用者がアップルのサイトを訪れた際、Safariは本物のサイトに接続しているかを確認します。
しかし、これらの証明書を生成するスクリプトのエラーにより、256通りの数値を試すだけで簡単に発見できる秘密鍵が複数生じてしまいました。問題のある8件の証明書はすでに失効され、今後発行される証明書に脆弱性が影響しないよう対策が取られたということです。
各ブラウザの対応とMacの懸念
Bleeping Computerの報道によりますと、アップル、グーグル、モジラはそれぞれのウェブブラウザで問題のある証明書をブロックしています。しかし、モジラの暗号技術者デニス・ジャクソン氏は、Macでは引き続きこれらの証明書が信頼される可能性があると警告しています。
ジャクソン氏はさらに、macOSに組み込まれている「/usr/bin/curl」ユーティリティが、証明書の失効情報を確認しないため、問題のある証明書を信頼し続ける可能性があると指摘しています。
つまり、Macがすでにいずれかの証明書を受け入れている場合、その後も受け入れ続けるということです。ただし、現時点でこれらの証明書が実際に悪用された証拠はなく、アップルは今後のセキュリティアップデートで修正できる見通しです。
