eMudhra認証局の中間証明書の秘密鍵 8個が短い計算で復元された事例、ブラウザ以外のプログラムでも証明書の信頼確認が必要(scotthelme.co.uk)

- 認証局(CA)は、ウェブサイトの証明書を保証する機関である。原文によると、eMudhraの中間証明書 8個の秘密鍵が危殆化した状態であることが確認され、MozillaとChromeはこれを遮断した。 - 原文の著者Scott Helmeは、秘密鍵の値が非常に小さく、公開証明書だけで 1秒未満に鍵を計算できたと、自身の実験結果として明かしている。これは著者の主張であり、第3者による独立した検証内容は原文にはない。 - Chromeは当該中間証明書をCRLSetで、FirefoxはOneCRLで遮断した。Mozillaは、NSSの更新によりeMudhraのルート証明書を削除したと原文に記されている。 - 原文は、Chromeが証明書の透明性(CT、証明書の発行履歴を公開記録する仕組み)を強制しており、当該CAで発行されたTLS証明書がCT記録に存在しなかったと説明している。一方で著者は、curl、Python、Nodeなど多くのブラウザ以外のプログラムが、初期設定では失効確認とCTを検査しないと記している。