Mac標準のcurl、問題の証明書をなお信頼　実機検証で判明

8件の鍵が弱く、各社が遮断

Mozillaは10月17日に報告を受け、8件の中間証明書の秘密鍵で偽のHTTPS証明書を発行できるおそれがあると説明しました。Firefoxには同日、再起動やアプリ更新なしで受け取れる遮断リストを配信。GoogleもChromeの遮断リストを更新し、AndroidにはGoogle Play開発者サービス経由の対策を配りました。

Googleによると、問題のうちWebサイト用の6件につながるTLS証明書は、遮断前の公開記録（CT）にありませんでした。CTを必須にするChromeなどでは、その条件からも悪用を防げたとしています。eMudhraは8件から一般向け証明書を発行しておらず、事故の調査中だと説明しています。これらは悪用が絶対になかったという証明ではありません。

Mac標準ツールは実機で接続に成功

iPhone ManiaはMacBook ProのmacOS 27.0.1で、問題の証明書を使う確認用サイトに接続しました。標準のcurlとpython3はともにHTTP 200を返し、gitもTLSの検証段階を通過。curlの詳しい表示では、証明書ファイル「/etc/ssl/cert.pem」を使い、検証成功と示されました。これは同媒体による1台の実機試験で、すべてのMacや別途導入したツールの挙動を示すものではありません。

macOSのブラウザーでの接続と、標準ツールが読む証明書ファイルは同じ経路ではありません。Macでターミナルから機密情報を送る作業をする人は、使用するツールと証明書の更新状況を確認する必要があります。証明書の検証を無効化したり、システムの証明書ファイルを安易に書き換えたりする対処は避けるべきです。

ルート証明書の入れ替えは続く

Googleは問題の中間認証局を束ねる「emSign ECC Root CA - G3」をChromeの信頼リストから10月27日に外す予定です。正規のサイトでも、このルートにつながる証明書は交換が必要になります。eMudhraは対象の顧客と移行を進めていると説明しています。Mac標準ツールが参照する証明書ファイルの更新時期については、今回確認した資料では確定できません。