[ITmedia News] 認証局eMudhra、SSL/TLS証明書事業から撤退へ 秘密鍵問題受け──既存顧客の証明書は無償で置き換え

　インドのデジタルトラストサービス企業eMudhraは10月22日（現地時間）、世界向けのSSL/TLS証明書事業から自主的に撤退すると発表した。同社の認証局（CA）が運用する中間証明書8件で、署名に使う秘密鍵が第三者でも簡単に復元できる状態だったと判明した問題を受けた判断だ。

　SSL/TLS証明書は、HTTPS通信で接続先のWebサイトが本物かどうかを確かめるための電子証明書。今回の問題は10月17日に研究者が報告し、米Mozillaや米Google、米Apple、米Microsoftが該当する中間証明書を相次いで遮断した。MozillaとGoogleは、上位のルート証明書「emSign ECC Root CA - G3」の信頼も取り消すとしていた。

　同社のV・スリニバサン会長は、問題の発覚から14時間以内に該当するCAを失効させ、速やかに公表したと説明。該当CAからWebサイト向けなどの証明書は発行されておらず、インフラへの侵入やデータ漏えいもなかったとしている。

　撤退の理由について同氏は、世界向けSSL/TLS事業は売上高の約1％にとどまると説明。データ主権やコンプライアンス要件の高まりで事業の複雑さとコストが年々増す一方、大手事業者が証明書を無償で発行していることもあり、収益性が大きく低下していたという。さらに今回の問題がSNSで拡散され、事業規模に見合わないほどの注目を集めたことも踏まえ、取締役会で撤退を正式決定したという。

　既存顧客への対応として、同社は移行が完了するまで、RSA方式のルート証明書「G1」系統の運用を継続する。影響を受ける顧客には同社から個別に連絡し、提携先が発行する証明書へ無償で置き換えるという。証明書の失効状況を確認するサービスは、発行済みの証明書が全て有効期限を迎えるか置き換えられるまで続ける。同社の証明書をWebサイトなどで使っている企業は、同社からの案内に沿って他社の証明書へ切り替えていくことになる。同社は、ブラウザ各社のルートプログラムに対し、根本原因の報告書の提出など残る義務も果たすとしている。

　一方、インド国内向けを含む電子署名用証明書（DSC）や「eSign」などの署名サービス、企業向けPKI製品「emCA」「CertiNext」、電子署名製品「emSigner」、認証製品「SecurePass」「emAS」などは、SSL/TLS事業とは別の基盤で運用しており、影響を受けず通常通り提供を続ける。