Googleは2026年10月20日付の説明で、eMudhraの中間認証局(CA)の秘密鍵が、十分な乱数を使わずに生成されていたと公表しました。第三者が偽のHTTPS証明書を作れる問題で、GoogleはChromeとAndroid向けに遮断更新を配信しています。
さらにGoogleは、「emSign ECC Root CA – G3」をChrome Root Storeから削除する更新を、10月27日朝(米国太平洋夏時間、PDT)に一般配信する予定です。日本時間の目安は27日夕方〜28日未明で、具体的な配信時刻は公表されていません。公式案内は、このルートにつながる証明書を使うサイト運営者に、別の証明書階層へ直ちに移行するよう求めています。
正規のサイト証明書にも影響する予定
Chromeは日本時間10月18日、問題の鍵を遮断するCRLSet更新を配信しました。ブラウザーの更新や再起動は不要です。Googleは、Chrome Root Storeを利用しながらCRLSetを受け取らないソフトウェアも保護するため、追加でルート自体を削除すると説明しています。
ルート証明書は、サイトの証明書が信頼できる認証局から発行されたかを確認する起点です。今回のルート削除により、同じルートにつながる正規の証明書の一部も、Chromeで使えなくなります。
サイト運営者は、利用中の証明書のチェーンが「emSign ECC Root CA – G3」に達するかを、管理画面や証明書の提供元で確認してください。該当する場合は、Chrome Root Storeで信頼される別の階層から新しいTLS証明書を取得し、サーバーへ導入する必要があります。同じルートにつながる証明書の再発行では移行になりません。Googleは、eMudhraの他の認証局証明書をChrome Root Storeに残すかどうかも調べています。
CanaryやBetaなどの先行版では、一般配信より前に変更が届く予定です。eMudhraは利用者の移行に協力するとGoogleは説明しています。
なぜ証明書の遮断が必要になったのか
Googleは日本時間10月18日、TLS発行用の6つの中間CAを含む8つの下位CA証明書で、秘密鍵の問題を把握したと説明しています。鍵の生成時に十分な乱数が使われておらず、第三者が任意のサイトになりすます証明書を作り、遮断前のクライアントに信頼させうる状態でした。
AndroidとFirefoxにも遮断更新
Android端末などには、Google Play開発者サービスを通じて同等の更新が配信されています。Googleによると大半のAndroid端末には届いており、端末を再起動して更新を促すこともできます。
Mozillaも日本時間10月18日にOneCRLで対象証明書を遮断しました。Firefoxの更新や再起動は不要です。10月20日付の説明では、NSSの信頼するルート証明書の一覧からも削除すると発表しました。Mozillaは、OneCRLを使わないFirefox以外のソフトウェアでは、証明書を移行するまで一部のサーバーに接続できなくなると説明しています。
コメント