多くの認証局で、最小限の確認のみで証明書が発行されている問題(JVN) | ScanNetSecurity
2020.10.26(月)

多くの認証局で、最小限の確認のみで証明書が発行されている問題(JVN)

IPAおよびJPCERT/CCは、複数の認証局において、証明書発行時の確認が「特定のメールアドレスでのやりとりが可能であること」のみで行われている問題について「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月30日、複数の認証局において、証明書発行時の確認が「特定のメールアドレスでのやりとりが可能であること」のみで行われている問題について「Japan Vulnerability Notes(JVN)」で発表した。CVSSによる最大Base Scoreは6.4。現時点で対策方法は公表されていない。

多くのルート認証局は、「ドメイン認証型(domain-authenticated)」、またはそれに類似する名前を持つ証明書の発行サービスを提供している。ドメイン認証型証明書は、証明書発行依頼者がドメイン管理者であることの最小限の確認のみで発行されている場合がある。たとえば、証明書を発行するドメイン名のメールアドレスを使って連絡可能であることを確認するだけで証明書を発行するサービスもある。

この場合、ドメイン管理に無関係な第三者によって当該ドメインの証明書を取得され、偽のHTTPSサイトを立ち上げられたり、クライアントに警告を出されることなくHTTPS通信を傍受される可能性がある。JVNではワークアラウンドとして、センシティブなメールアカウントを使わせないことを提案している。
《吉澤 亨史( Kouji Yoshizawa )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★10/15~11/30迄 創刊22周年記念価格提供中★★
★★10/15~11/30迄 創刊22周年記念価格提供中★★

2020年10月15日(木)~11月30日(月) の間 ScanNetSecurity 創刊22周年記念価格で提供。

×