2026年10月25日の厳選テックニュース
インドの認証局eMudhraの弱い中間認証局鍵の問題とHTTPS信頼への影響
- 認証局(CA)は、ブラウザや機器が標準で信頼する最上位の機関である。Webサイトの HTTPS 証明書が本物かどうかを確かめる出発点なので、この機関の秘密鍵が漏えいすると、正常に見える偽の証明書を作られるおそれがある。
- 原文によると、eMudhraは鍵生成スクリプトのバグにより非常に弱い中間認証局鍵を作成し、この鍵が実際の運用に誤って採用された。原文は、上位47バイトが0であり、事実上1バイト相当の鍵だったと伝えている。この内容は外部分析者Scott Helme氏の記事を引用したものである。
- 筆者は、これほど弱い鍵であれば攻撃者が署名鍵を復元し、偽造証明書を作成して、公衆Wi-Fiなどでの中間者攻撃に使われうると解釈している。原文には実際の悪用事例が確認されたという記述はない。
- eMudhraは、発見から14時間以内に関連する認証局を失効させ、最終的な証明書は発行されず、データ漏えいもなかったと発表した。その後、世界的なTLS証明書事業から撤退すると発表したが、筆者はこの対応に責任の認めが不足していると批判している。
AIで作った技術図解を画風ごとに変え、GIFで動かす依頼方法
- 日本の開発者向け技術ブログ基盤Qiitaの執筆者は、生成AIが書いたように見える文章が増え、良い記事も読まれにくくなっていると書いた。そのため記事の合間に図解を複数枚入れる方法を選んだと述べており、この方法で閲覧数や「いいね」が増えたかどうかは原文に数値として出てこない。
- 執筆者は、SVGは絵を文字で記述したベクター画像ファイルなので、生成AIは文章の指示だけで直接描けると説明している。AWS Lambdaの解説でも、赤ペン先生、製図、雑誌の誌面、漫画など、画風だけを変えた依頼文を示している。
- 動くGIFは、先に作ったSVG図解を再度渡し、矢印に沿って依頼が流れ、箱が光るアニメーションを6秒周期で繰り返すよう求める依頼文として示されている。文字は読めるように動かさず、途切れなくループさせる条件も付いている。