Windows向け臨時更新で証明書7件を削除
Microsoftは10月26日、Windows 11とWindows 10向けに、eMudhraの証明書問題に対応する定例外更新の提供を始めました。この更新では、影響を受けた証明書をWindowsの証明書信頼リストから削除します。対象は、Microsoftの証明書更新サービスに接続できない端末や、証明書信頼リストの自動更新を無効にした端末です。
削除対象は、eMudhraのG3ルート証明書6件と、AAA Certificate Servicesのクロスサイン証明書1件です。ルート証明書は証明書チェーンの信頼の起点で、中間認証局（CA）はルートと利用者側の証明書をつなぎます。クロスサイン証明書は、ある認証局の証明書を別の認証局が署名したものです。
Windows 11 26H1向けはKB5134134、24H2・25H2・26H2向けはKB5134133、23H2向けはKB5134130です。Windows 10 21H2・22H2向けにはKB5134125が提供されています。24H2、25H2、26H2向けのKB5134133は累積更新で、証明書の信頼情報を含む更新ペイロードを追加します。
秘密鍵の問題と証明書チェーンへの影響
問題となったのは、eMudhraの中間CA秘密鍵8件です。内訳はTLS用が6件、コード署名用が2件です。鍵を復元できる状態だったため、第三者が信頼されたCAから発行されたように見える証明書を作成したり、コンテンツに署名したりするおそれがありました。
TLSはウェブサイトやサービスとの通信を保護する仕組みです。影響を受けた鍵で不正な証明書が作られ、接続先を装う攻撃者が通信を中継した場合、利用者の通信を傍受する可能性がありました。コード署名用の鍵が悪用されれば、悪意あるソフトウェアを信頼できる発行元のものに見せるおそれもあります。
証明書を検証するとき、端末は利用者側の証明書から中間CAを経て、信頼するルート証明書までのチェーンを確認します。チェーン内の証明書が適切に発行され、有効であることが信頼の条件です。今回の削除が端末に適用されると、対象証明書を信頼の起点とするチェーンは、Windowsの該当する信頼リストを通じて既定では信頼されなくなります。
更新経路ごとに異なる対策
Microsoftは10月20日、影響を受けた認証局をブロックする証明書信頼リストの更新を公開しました。10月26日のWindows更新によるルート証明書などの削除は、このブロックとは別の信頼判断です。Microsoftは10月27日、同じ7件をMicrosoft Edgeの信頼リストからも削除しました。
EdgeとWebView2には、影響を受けたTLS証明書をブロックするCRLSetの更新も別途配信されます。この更新はコンポーネントの自動更新で届くため、ブラウザーの新しいバージョンをインストールする必要はありません。Windowsの信頼リストからルート証明書を削除する措置は、特定された中間CAの失効とは別で、より広い範囲の信頼判断に当たります。
Microsoftは、組織が互換性上の必要から証明書を端末内で個別に信頼する場合、各システムの検証方法とリスクを評価するよう求めています。影響を受けた階層への信頼を戻すと、失効確認やMicrosoftのブロックリストを適切に参照しないソフトウェアが、関連証明書を有効として扱う可能性があります。Microsoftは、残るeMudhraルート証明書を別途評価し、顧客の移行に合わせて変更を進めるとしています。
eMudhraの説明と端末管理上の確認点
eMudhraは、スクリプトの誤りで弱い鍵を発行したと認め、問題を確認してから14時間以内に影響を受けた中間CAを失効させたと説明しています。同社の調査時点では、対象の中間CAから公開信頼されるエンドエンティティ証明書は発行されておらず、インフラや顧客データの侵害もなかったとしています。
eMudhraは、影響を受けた顧客と影響を受けていないTLS顧客を代替証明書へ移行させており、影響顧客には代替の認証局による証明書を提供するとしています。Cisco Talosは、影響を受けた中間CAの秘密鍵があればウェブサイトやサービスを装えると指摘し、証明書失効を確認しないアプリケーションにも影響が及ぶ可能性を挙げています。
自動更新を受け取らないWindows端末では、管理者が更新手順に証明書信頼リストの更新を含める必要があります。Microsoftは、切断環境の端末やMicrosoftの証明書更新サービスに接続できない端末を確認するよう案内しています。対象証明書に依存する証明書を利用している組織には、依存関係を調べ、変更が端末に届く前に代替証明書または別の信頼チェーンへ移行するよう求めています。
