Microsoft、インド認証局の証明書を無効化。384ビット秘密鍵の値が「4」

日経クロステックの見出しによると、Microsoftはインドの認証局の証明書を無効化した。この認証局では、384ビットであるはずの秘密鍵の値が「4」だったという。

確認できたのは見出しの範囲である。認証局の名称、問題がどのように発見されたのか、無効化の時期と方法、影響を受ける証明書や利用者の範囲、認証局側の説明は、今回の材料からは分からない。

技術面では、公開鍵暗号の安全性は、秘密鍵が推測できないほど大きな範囲から無作為に選ばれていることに支えられている。384ビットという長さは、その選択の範囲の広さを示すものである。値が「4」であれば、小さな数から順に試すだけで秘密鍵を割り出せることになり、鍵の長さは意味を失うとみられる。秘密鍵を知った第三者は、その認証局になりすまして証明書を発行できる恐れがある。鍵の生成で乱数が正しく使われなかったなど、生成の手順に問題があった可能性が考えられるが、原因は確認できない。

意味合いとしては、認証局の信頼が、鍵の生成という基本的な手順の正しさに依存していることを改めて示す事例である。Microsoftが無効化に踏み切ったのは、信頼の前提が崩れたと判断したためとみられる。