本来推測不可能な秘密鍵にわずか1バイトの値を使っていたeMudhraがSSL/TLS証明書事業から撤退

ウェブサイトとユーザーの間で安全に通信するためには、通信内容を暗号化するSSL/TLSという仕組みが使われています。SSL/TLS証明書はウェブサイトの身元を確認する役割を持ち、認証局(CA)と呼ばれる組織が発行しています。

認証局が証明書を発行する際には「秘密鍵」という重要なデータが使われます。認証局の秘密鍵が第三者に知られると、偽の証明書を発行されて正規のウェブサイトになりすまされる危険性があります。

2026年10月17日にセキュリティ研究者から問題が報告されると、GoogleやMozillaなどは該当する中間認証局の証明書を信頼しないようにする対策を実施しました。Googleは影響を受けたルート証明書「emSign ECC Root CA - G3」をChromeの信頼済み証明書一覧から削除することも決定しており、2026年10月27日以降に正式版のChromeへ反映される予定です。該当するルート証明書を利用しているウェブサイトでは別の証明書への切り替えが必要になります。

eMudhraは問題が発覚してから14時間以内に影響を受けた認証局の証明書を失効させたと説明。また、問題の中間認証局から一般のウェブサイトなどに向けた証明書は発行しておらず、社内システムへの不正侵入やデータ流出も確認されていないとのこと。

一方、今回の問題を受けてeMudhraはSSL/TLS証明書事業そのものから撤退することを決定しました。

eMudhraのヴェンカトラマン・スリニバサン会長によると、世界向けSSL/TLS証明書事業が同社の売上高に占める割合は約1％とのこと。無料で証明書を発行するサービスとの競争に加え、各国の規制への対応にかかる費用が増加しており、事業の収益性が低下していたと説明しています。

さらに秘密鍵の問題がSNSなどで広く取り上げられた結果、事業規模に見合わないほどの厳しい監視や批判を受ける状況になり、eMudhraの取締役会は協議の末、SSL/TLS証明書事業からの撤退が会社と株主にとって適切だと判断したそうです。

なお、SSL/TLS証明書事業からの撤退に伴い、既存の顧客に対する証明書の切り替え支援も実施されます。eMudhraは「G1 RSA」系統のルート証明書によるサービスを移行完了まで維持するとともに、影響を受ける顧客に提携先が発行する代替証明書を無料で提供する方針です。

証明書の失効情報を確認するサービスについても、発行済み証明書がすべて期限切れになるか交換されるまで運用を続けるとのこと。

eMudhraは今後、電子署名サービスや企業向けの証明書管理、本人確認などの事業に注力する方針を示しています。世界向けSSL/TLS証明書事業とほかのサービスは別々の基盤で運用されているため、電子署名サービス「emSigner」や証明書管理プラットフォーム「CertiNext」などへの影響はなく、通常通り提供を続けると説明しています。

また、eMudhraは今回の問題について引き続き原因を調査し、ブラウザ開発各社に詳細な原因調査報告書を提出する予定とのことです。