インド政府が管理するデジタル認証局（CA）における最近のセキュリティ侵害の範囲は当初考えられていたよりも広く、Googleが所有するいくつかのドメイン名に加えて、Yahooが所有するドメイン名も標的にされていた。
グーグルは火曜日、１週間前にインド通信情報技術省傘下の国立情報センター（NIC）が許可なく発行したグーグルドメイン名の証明書を複数検出したと発表した。
証明機関は、要求されたドメイン名の所有者に対してのみデジタル証明書を発行することになっています。これは、攻撃者の手に渡った不正な証明書が、正規のウェブサイトになりすまし、そのサイトに接続するユーザーの暗号化された通信を盗聴するために利用される可能性があるためです。その際、接続が途中で傍受された場合に、その通信が盗聴される可能性があります。
NICは認証局として、インドの認証局管理者（India CCA）の傘下にあります。India CCAはMicrosoftルートストアに含まれており、Google ChromeやInternet Explorerなど、Windows上で動作するほとんどのプログラムがデフォルトで信頼する認証局です。Mozilla Firefoxは独自のルートストアを維持しており、India CCAは含まれていないため、今回のインシデントの影響を受けませんでした。Linux、Android、Mac OS Xで動作するWebブラウザも影響を受けませんでした。
当初、NIC が Google のドメイン名に対して不正な証明書を発行したのは人為的ミスによるものか、セキュリティ侵害によるものかは明らかではなかったが、インド CCA の調査により後者であることが判明した。
インドCCAは「NICの発行プロセスが侵害され、証明書が誤って発行されたのは4件のみで、最初のものは6月25日に発行された」と報告した。Googleのセキュリティエンジニア、アダム・ラングレー氏は水曜日、この問題に関する自身のブログ記事の更新で述べた。インドCCAが特定したNICが誤って発行した4件の証明書のうち、3件はGoogleのドメイン名用、1件はYahoo!のドメイン用だったとラングレー氏は述べた。
インドCCAとNICは、侵害がどのように発生し、その影響についてさらに情報を求める問い合わせにすぐには回答しなかった。
ラングレー氏によると、GoogleはインドCCAが指摘した4つの証明書以外にも、NICが発行した不正な証明書が存在することを認識しているという。そのため、同社は「侵害の範囲は不明であるとしか結論づけられない」とラングレー氏は述べた。
NIC自身のCA証明書は、今回の侵害を受けてインドCCAによって失効されており、同組織のウェブサイトには次のような通知が掲載されています。「セキュリティ上の理由により、NICCA（NIC認証局）は現在、証明書の発行を停止しています。すべての業務はしばらくの間停止しており、すぐに再開する予定はありません。」
この失効は、NICが発行したSSL証明書を使用しているインド政府のウェブサイトに影響を及ぼします。CA証明書を失効すると、そのCAが署名したすべての証明書が無効になるためです。例えば、インド政府の情報公開請求（RTI）ポータルであるhttps://rtionline.gov.in/にGoogle ChromeまたはInternet Explorerでアクセスしようとすると、セキュリティエラーが発生します。これは、この証明書がNICによって発行されており、信頼できなくなったためです。
ThinkstockNIC でセキュリティ侵害が発生しているにもかかわらず、Google は NIC の CA が自社の権限の下で運営されていたため、インドの CCA にも責任があると考えています。
「ルートCAは、その権限の下で発行されるすべての証明書に対して責任を負います」とラングレー氏は述べた。「これを踏まえ、今後のChromeリリースでは、ユーザー保護のため、インドCCAルート証明書を以下のドメインとそのサブドメインに限定します：gov.in、nic.in、ac.in、rbi.org.in、bankofindia.co.in、ncode.in、tcs.co.in」
インド CCA にチェーンバックするその他のドメイン名の SSL 証明書は、Chrome では受け入れられなくなります。
NICは、政府系認証局が不正な証明書を発行した最初の事例ではありません。2013年9月には、フランス財務省財務局が所有する認証局証明書が、複数のGoogleドメイン名に対して不正な証明書を発行するために使用されました。この事件は人為的なミスが原因でした。
2011年7月、オランダ政府が利用する認証局DigiNotarのインフラにハッカーが侵入し、有名ドメイン向けに数百件の不正な証明書を発行しました。DigiNotarはこのセキュリティ侵害を受けて破産申請を行いました。
このような事件は、公開鍵基盤（PKI）のセキュリティと信頼性に疑問を投げかけています。PKIでは、民間および公的機関が運営する数百の認証局が、インターネット上のあらゆるドメインに対して、ほとんどのブラウザやオペレーティングシステムが信頼する証明書を発行する権限を有しています。認証局の侵害による影響を抑えるための技術的解決策はいくつか提案されていますが、いずれも今のところ広く採用されていません。
Google Chromeには、公開鍵ピンニングと呼ばれる機能があり、一部の有名ドメイン名の事前定義された証明書のみを受け入れます。この機能は、NICが発行した不正なGoogle証明書がChromeユーザーに対して使用されるのを防ぐはずでしたが、このソリューションは限られた数の有名ドメインしか保護できません。
