1：名無しさん


インドのCA認証局、eMudhraが大ポカをやらかしてインターネットが危機に晒されていたことが発覚したという。ここから発行されてた証明書の秘密鍵、本来なら384bitの強固な暗号になっており、誰に破ることができないという前提だった。しかしミスにより、秘密鍵の中身はどれもが1～255の整数、255パターンになってしまっていた！8bitの強度ｗｗ。つまり誰でも1秒で秘密鍵を割って偽の証明書を発行し放題の状態だった。
そうするとどうなるのか？というと悪意のある攻撃者によってHTTPS通信が傍受されて中身を見られて内容を書き換えられる中間者攻撃されちゃう状態だった。パスワードとかセッションとか盗られ放題。どんなエロ絵見てるかもバレ放題。とは言え、まだ実際に攻撃が起きた事は確認されてない。
ただし、Webブラウザについては証明書だけに頼らずCTという仕組みで二重防御してたからセーフだった。問題はブラウザ以外の普通のアプリでは二重防御されてないがちなのでモロに問題を受ける可能性。まずはOSを最新にアプデした方がよくて、スマホも更新すべき。Cloudflaredとかも手元で要更新。それでもPythonアプリとかGoアプリとかアプリ自体を作り直さないと修正できない場合も。だから更新されずに放置されてるようなIoTデバイスとかはずっと偽の証明書による中間者攻撃リスクが残り続けるだろうと。まあ一応、今回作られた脆弱な証明書の有効期限は2039年だから13年耐えれば解決するｗ

— うみゆき@AI研究 (@umiyuki_ai) October 21, 2026