EMudhra
.svg) | |
| 種類 | 公開会社 |
|---|---|
| 本社所在地 | インド・カルナータカ州ベンガルール |
| 設立 | 2008年 |
| 業種 | 認証局 |
| 外部リンク |
emudhra |
.svg)
eMudhra Limitedは、2008年に設立されたインドの認証局である。2026年現在、同社は6,000万以上のデジタル証明書を発行している[1]。
2026年10月21日、同社の8つの中間証明書の秘密鍵が極めて脆弱であることが判明し、ブラウザベンダーがこれらの証明書をブロックする事態となった。
歴史
2026年、eMudhraはLankaSignとの提携を開始した[2]。
2026年の中間証明書侵害
2026年10月17日、ブラウザのルートプログラムは、eMudhraの8つの中間証明書の秘密鍵が侵害されたという報告を受けた[3][4]。
秘密鍵は、4、56、66、115、155、156、230、および237であった[4]。P-384の楕円曲線暗号の秘密鍵は、通常約384ビットのエントロピーを持つが、これらの鍵は3から8ビットしか持っていなかった[4]。セキュリティ研究者のスコット・ヘルム（Scott Helme）は、証明書の公開鍵からいくつかの秘密鍵を1秒未満で復元したと述べた[1]。公開された証明書から鍵を復元できたため、ブラウザが信頼するあらゆるウェブサイトの証明書を発行するために、誰でもこれらの鍵を使用できた可能性がある[4][1]。2026年10月20日現在、脆弱な鍵が生成された原因は特定されていない。
Google ChromeとFirefoxは報告から数時間以内に証明書をブロックした。続いて10月19日にAppleが、10月20日にマイクロソフトが同様の措置を取った[3]。eMudhraはこれら8つの証明書を失効させた[1]。10月20日、Mozillaはそれらを発行したルート証明書である「emSign ECC Root CA – G3」をNSSから削除し、10月21日にGoogleは10月27日の朝までにChromeのルートストアからも当該ルート証明書を削除すると発表した[5][3]。多くのLinuxディストリビューション、組み込みデバイス、アプリケーションが独自のルート証明書のコピーを同梱しているため、このクリーンアップには長い時間がかかると予想されている[4][6]。
10月21日、eMudhraはこのインシデントに関する公式声明を発表した[7]。Aadhaarの発行元であるUIDAIや所得税ポータルなど、多くのインド政府のウェブサイトが証明書としてeMudhraを使用していた[8]。eMudhraの証明書が失効したことにより、インド食品安全基準局（FSSAI）やケーララ州の高等教育局などの政府機関のウェブサイトを含む、いくつかのウェブサイトがアクセス不能となった[9]。
関連項目
脚注
- 1 2 3 4 Sharwood, Simon (2026年10月20日). “Indian certification authority eMudhra’s private keys compromised – one of them was the number ‘4’” (英語). The Register. 2026年10月22日閲覧。
- ↑ “eMudhra and LankaSign announce strategic partnership to make digital signing seamless”. The Island (2026年1月2日). 2026年10月22日閲覧。
- 1 2 3 Firefox Security Team (2026年10月20日). “Protecting Firefox users following the compromise of eMudhra intermediate certificates”. Mozilla Security Blog. 2026年10月22日閲覧。
- 1 2 3 4 5 Goodin, Dan (2026年10月20日). “The Internet goes on high alert after discovery of 8 compromised TLS certs” (英語). Ars Technica. 2026年10月20日時点のオリジナルよりアーカイブ。2026年10月22日閲覧。
- ↑ “Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates” (英語). Google (2026年10月20日). 2026年10月22日閲覧。
- ↑ “認証局eMudhraの中間証明書、秘密鍵が「数ミリ秒」で復元可能な脆弱性 大手各社が緊急遮断”. ITmedia NEWS (2026年10月21日). 2026年10月22日閲覧。
- ↑ “eMudhra Statement on Recent Certificate Security Incident” (英語). emudhra.com (2026年10月20日). 2026年10月22日閲覧。
- ↑ “Eight web security keys of eMudhra firm used by Govt. and PSUs leaked”. The Hindu (Indian English). 2026年10月21日. 2026年10月22日閲覧.
- ↑ pranay (2026年10月21日). “SFLC.in’s Statement on eMudhra Private Key vulnerability” (英語). 2026年10月22日閲覧。