消費者として、私たちはブラウザのアドレスバーに表示される南京錠アイコンを信じるように教えられてきました。それはウェブサイトとの通信が安全であることを示すサインだと教えられてきました。しかし、今週発生したGoogleとトルコのセキュリティ企業を巻き込んだ事件は、その考えを覆すものです。
トルコトラスト社は今週、2011年8月に2つの「団体」に誤って2つのマスターキーを発行したことを明らかにした。マスターキーは中間証明書と呼ばれ、これらの団体はインターネット上のあらゆるドメインに対してデジタル証明書を作成できる。
デジタル証明書は、ウェブサイトが本当にそのウェブサイトであることを確認するために使用される暗号化キーです。例えば、銀行の証明書は、オンラインバンキングを利用する際に、ブラウザに対して、実際に銀行と通信していることを証明します。
証明書は、あなたとウェブサイト間の情報を暗号化するためにも使用されます。ブラウザのアドレスバーに緑色の南京錠が表示されている場合は、証明書が使用されていることを意味します。ブラウザは、ウェブサイトの信頼性を検証した後、Secure Sockets Layer（SSL）を使用してウェブサイトと通信しています。
偽の証明書を持つインターネット上の悪意ある人物が、あなたと信頼できるウェブサイト間の通信を傍受し、ブラウザを騙して信頼できるサイトと通信していると信じ込ませ、通信を乗っ取ることができます。これは、犯人があなたと信頼できるサイトの間に介入することから「中間者攻撃」と呼ばれます。
エラーは修正されましたが、問題は解決していません
TurkTust のミスは、Google の Chrome ブラウザ プラットフォームの機能によってクリスマスイブに発見されました。この機能は、誰かが不正な証明書を使用してプラットフォームを利用しようとすると、Google に警告を発するものです。
証明書の問題を発見した後、Google は TurkTrust に状況を報告したほか、Microsoft と Mozilla にも報告し、3 社は中間証明機関で作成された不正な証明書をブロックするようにブラウザ プラットフォームを修正しました。
今回の証明書問題騒動は、既存のデジタル証明書発行システムの見直しが必要であることを示す最新の兆候に過ぎません。例えば、2011年3月には、証明書発行機関であるComodo傘下の企業が侵入を受け、9件の偽造証明書が発行されました。
同年後半、ハッカーがオランダの認証局DigiNotarに侵入し、Googleのものも含め数十件の偽造証明書を発行しました。この事件の影響で、同社は倒産に追い込まれました。
次世代セキュリティを求む
証明書にまつわるセキュリティ問題に対処するために、いくつかの提案が発表されています。
Convergenceという機能があります。これは、ブラウザがユーザーが選択したソースから証明書に関するセカンドオピニオンを取得できるようにするものです。「素晴らしいアイデアですが、企業ネットワークに接続し、プロキシやネットワークトランスレータの背後にいると、すぐに破られてしまう可能性があります」と、ソフォスのセキュリティアドバイザーであるチェット・ウィズニエフスキー氏はインタビューで述べています。
DNSSECがあります。これは、ドメインネーム解決システム（ウェブサイトの一般的な名前を数字に変換するシステム）を利用して、ユーザーとウェブサイトの間に信頼できるリンクを構築します。このシステムは理解しにくいだけでなく、実装には何年もかかる可能性があります。
「DNSSECの問題は、そのメリットを享受できるようになるまでに、新しい技術の導入とインフラの協調的なアップグレードが必要になることです」とウィズニエフスキ氏は述べた。「これまでの導入率を考えると、10年か15年は解決策が確立されないことになります。これでは不十分です。」
また、類似した 2 つの「ピンニング」手法、つまり HTTP の公開キー ピンニング拡張と証明書キーの信頼されたアサーション (TACK) も提案されています。
これにより、ウェブサイトはHTTPヘッダーを修正して、信頼する証明機関を特定できるようになります。ブラウザはその情報を保存し、ウェブサイトが信頼する証明機関によって署名された証明書を受け取った場合にのみ、ウェブサイトへの接続を確立します。
ウィスニエフスキー氏によると、証明書問題を解決するために採用される可能性が最も高いのはピンニング提案だという。「短期間で採用される可能性があります」と彼は述べた。「高度なセキュリティを利用したい人はすぐに利用できるようになりますが、更新されていない既存のウェブブラウザに悪影響を与えることはありません。」
ブラウザメーカーが証明書問題への対策としてどのような対策を採用するにせよ、早急に実施する必要があります。さもなければ、問題が蔓延し続け、インターネットの信頼性は取り返しのつかないほど損なわれる可能性があります。
