多くの認証局で、最小限の確認のみで証明書が発行されている問題(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.06.22(金)

多くの認証局で、最小限の確認のみで証明書が発行されている問題(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月30日、複数の認証局において、証明書発行時の確認が「特定のメールアドレスでのやりとりが可能であること」のみで行われている問題について「Japan Vulnerability Notes(JVN)」で発表した。CVSSによる最大Base Scoreは6.4。現時点で対策方法は公表されていない。

多くのルート認証局は、「ドメイン認証型(domain-authenticated)」、またはそれに類似する名前を持つ証明書の発行サービスを提供している。ドメイン認証型証明書は、証明書発行依頼者がドメイン管理者であることの最小限の確認のみで発行されている場合がある。たとえば、証明書を発行するドメイン名のメールアドレスを使って連絡可能であることを確認するだけで証明書を発行するサービスもある。

この場合、ドメイン管理に無関係な第三者によって当該ドメインの証明書を取得され、偽のHTTPSサイトを立ち上げられたり、クライアントに警告を出されることなくHTTPS通信を傍受される可能性がある。JVNではワークアラウンドとして、センシティブなメールアカウントを使わせないことを提案している。
《吉澤 亨史》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×