インターネットユーザーのデータを危険にさらしたセキュリティ欠陥「ハートブリード」を受けて、コモド社は数万件の新しいデジタル証明書を発行した。
ニュージャージー州に本社を置く Comodo の主要事業の 1 つは、ユーザーと Web サービス間のトラフィックを暗号化するデジタル証明書の発行であり、第三者によるスパイ行為からユーザーを保護する重要な盾となる。
Comodo の最高技術責任者であるロビン・アルデン氏は、ここ数日、ウェブサイト運営者からの新しいデジタル証明書のリクエストが急増していると述べた。
「ここ数日、交換率は1週間前の通常の10～12倍に達しています」とアルデン氏は述べた。「これは明らかに、今回の事態の影響です。」
この急増は、オペレーティングシステム、ルーター、ネットワーク機器で広く使用されているオープンソースソフトウェアパッケージ「OpenSSL」のいわゆる「ハートブリード」脆弱性が月曜日に公表されたことを受けて起きた。
この脆弱性により、攻撃者がSSL（Secure Sockets Layer）証明書の秘密鍵を入手できるようになる可能性があると考えられています。この秘密鍵を使用することで、攻撃者はブラウザの南京錠アイコンで示される検証テストに合格したSSL証明書を持つ偽のウェブサイトを作成できる可能性があります。
この脆弱性は、攻撃者が Web サーバーから 64K 単位の機密データ (最近サービスを利用したユーザーのログイン情報など) を取得するために利用される可能性もあります。
コモドのロビン・アルデン。
セキュリティを専門とし、ウェブサーバーの統計をまとめている英国企業、Netcraftは火曜日、OpenSSLの脆弱性が、信頼できる認証局が発行したデジタル証明書を使用している50万ものウェブサイトに影響を与えると書いた。
連邦金融機関検査協議会は木曜日、金融機関はハートブリードバグを修正した後、デジタル証明書の交換を検討すべきだと警告した。
攻撃はサーバーのログに痕跡を残さないと考えられているため、月曜日に一般公開される前にサイバー犯罪者または国家支援のハッカーがこの欠陥を悪用していたかどうかは不明である。
シマンテックのベリサイン部門に次ぐSSL証明書発行会社第2位のコモドは、顧客に連絡を取り、自社の証明書を使用しているウェブサイトの自動スキャンを実施して脆弱なサイトを見つけようとしているとアルデン氏は語った。
「私たちは影響を受けたサーバーを探し続け、そのサーバーが悪用される可能性があるかどうかを検出していきます」とアルデン氏は述べた。
アルデン氏によると、デジタル証明書を交換したコモドの顧客のうち約70%が古い証明書を失効させたという。有効期限が切れた証明書はブラックリストに登録され、その証明書を使用しているウェブサイトにアクセスしたブラウザには通常、警告が表示される。
アルデン氏によると、脆弱性の影響を受けたウェブサイトの次のステップは、パスワードが漏洩した可能性があるため、ユーザーにパスワードリセットを実施することだ。しかし、OpenSSLの広範な使用により問題の範囲が広いため、修復プロセスは長期化する可能性がある。
「この事件はまだ始まったばかりです」とオールデン氏は述べた。「今後、この事件の影響はさらに大きくなるでしょう。いずれ多くのユーザーがパスワードを変更せざるを得なくなるでしょう。」
